IO_FILE hack 修改vtable

最新推荐文章于 2024-02-25 10:30:15 发布

Akura@lan

最新推荐文章于 2024-02-25 10:30:15 发布

阅读量475

点赞数

分类专栏：二进制漏洞

本文链接：https://blog.csdn.net/qq_46441427/article/details/119799306

版权

提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档

IO_file hack

IO调用的vtable函数
- fread
- fwrite
- fclose
思路
例题
- 2018 HCTF the end
- - 分析
  - 思路：
  - 利用

IO调用的vtable函数

fread

_IO_sgetn函数调用了vtable的_IO_file_xsgetn。
_IO_doallocbuf函数调用了vtable的_IO_file_doallocate以初始化输入缓冲区。
vtable中的_IO_file_doallocate调用了vtable中的__GI__IO_file_stat以获取文件信息。
__underflow函数调用了vtable中的_IO_new_file_underflow实现文件数据读取。
vtable中的_IO_new_file_underflow调用了vtable__GI__IO_file_read最终去执行系统调用read。

fwrite

_IO_fwrite函数调用了vtable的_IO_new_file_xsputn。
_IO_new_file_xsputn函数调用了vtable中的_IO_new_file_overflow实现缓冲区的建立以及刷新缓冲区。
vtable中的_IO_new_file_overflow函数调用了vtable的_IO_file_doallocate以初始化输入缓冲区。
vtable中的_IO_file_doallocate调用了vtable中的__GI__IO_file_stat以获取文件信息。
new_do_write中的_IO_SYSWRITE调用了vtable_IO_new_file_write最终去执行系统调用write。

fclose

在清空缓冲区的_IO_do_write函数中会调用vtable中的函数。
关闭文件描述符_IO_SYSCLOSE函数为vtable中的__close函数。
_IO_FINISH函数为vtable中的__finish函数。

思路

代码来自于ctf-wiki

#define system_ptr 0x7ffff7a52390;

int main(void)
{
   
    FILE *fp;
    long long *vtable_addr,*fake_vtable;

    fp=fopen("123.txt","rw");
    fake_vtable=malloc(0x40);

    vtable_addr=(long long *)((long long)fp+0xd8);     //vtable offset d8 is offset

    vtable_addr[0]=(long long)fake_vtable; //让头指针指向伪chunk

    memcpy(fp,"sh",3);

    fake_vtable