BUUCTF qwb2018_opm

参考了这位师傅的writeup

基础知识：
（1）首先要知道用gets()读取数据时，是读不到换行符,读取的换行符会被转换为null值。
（2）程序系统函数的地址的高位字节是一样的，只有低位不同

查看保护：
查看保护 发现可以修改got表

漏洞
add函数中的gets函数存在栈溢出。add函数中有两个gets函数，都可以用来修改存储在栈上的结构体指针。
细节如下：
（1）（此时还不能修改存储在栈上的指向结构体的堆指针）add函数先为结构体申请堆地址，然后在结构体里写入了输出函数的地址
（2）调用gets函数读入name，此时就可以修改存储在栈上的指向结构体的堆指针，并使程序将存储name的堆地址和name的长度写入被修改后的结构体的指针指向的位置
（3）再次调用gets函数写入punch时也可以覆盖一次结构体的指针，并以这次的修改的指针调用输出函数

利用如下

构造堆布局
（1）需要将堆布局的地址抬到0x…00xx（需要进行多次几次），构造堆布局的代码如下：

	add(0x70*'a',20)
	add(0x70*'b',20)
	add(0x20*'c',20)
	add(0x70*'d',20)

代码不唯一，只要能将堆布局抬到0x…00xx即可
进行完堆布局后，离topchunk最近的一个结构体和该结构体的name区域的堆地址分别是0x…0030 和0x…0060

泄露heap地址
这时就可以利用栈溢出漏洞修改结构体指针了

add(0x80*'e'+'\x60','1'*0x80+'\x30')
io.recvuntil('dddddddd')
heap_addr1=u64(io.recv(6).ljust(8,'\x00'))
heap_addr2=heap_addr1-0x2b0
io.success("heap_addr2:0x%x" % heap_addr2)

此时将新申请的结构体的存放name的堆指针写入到了0x…0068，也就是上一个结构体的存放name的区域，然后再将栈上的结构体指针改为0x…0030，也就是上一个结构体的指针，这样就可以利用上一个结构体泄露heap的地址

泄露代码段的地址和strlen函数的地址
因为已经泄露了heap的地址，所以我们可以在堆的可写区域伪造一个结构体，先泄露代码段的基址，但要注意不要覆盖topchunk的size域，利用第二个gets函数将topchunk的size域重新写入即写入60961（根据本地的环境调试出来的）

function_addr=heap_addr2&