基础知识:
(1)首先要知道用gets()读取数据时,是读不到换行符,读取的换行符会被转换为null值。
(2)程序系统函数的地址的高位字节是一样的,只有低位不同
查看保护:
查看保护 发现可以修改got表
漏洞
add函数中的gets函数存在栈溢出。add函数中有两个gets函数,都可以用来修改存储在栈上的结构体指针。
细节如下:
(1)(此时还不能修改存储在栈上的指向结构体的堆指针)add函数先为结构体申请堆地址,然后在结构体里写入了输出函数的地址
(2)调用gets函数读入name,此时就可以修改存储在栈上的指向结构体的堆指针,并使程序将存储name的堆地址和name的长度写入被修改后的结构体的指针指向的位置
(3)再次调用gets函数写入punch时也可以覆盖一次结构体的指针,并以这次的修改的指针调用输出函数
利用如下
构造堆布局
(1)需要将堆布局的地址抬到0x…00xx(需要进行多次几次),构造堆布局的代码如下:
add(0x70*'a',20)
add(0x70*'b',20)
add(0x20*'c',20)
add(0x70*'d',20)
代码不唯一,只要能将堆布局抬到0x…00xx即可
进行完堆布局后,离topchunk最近的一个结构体和该结构体的name区域的堆地址分别是0x…0030 和0x…0060
泄露heap地址
这时就可以利用栈溢出漏洞修改结构体指针了
add(0x80*'e'+'\x60','1'*0x80+'\x30')
io.recvuntil('dddddddd')
heap_addr1=u64(io.recv(6).ljust(8,'\x00'))
heap_addr2=heap_addr1-0x2b0
io.success("heap_addr2:0x%x" % heap_addr2)
此时将新申请的结构体的存放name的堆指针写入到了0x…0068,也就是上一个结构体的存放name的区域,然后再将栈上的结构体指针改为0x…0030,也就是上一个结构体的指针,这样就可以利用上一个结构体泄露heap的地址
泄露代码段的地址和strlen函数的地址
因为已经泄露了heap的地址,所以我们可以在堆的可写区域伪造一个结构体,先泄露代码段的基址,但要注意不要覆盖topchunk的size域,利用第二个gets函数将topchunk的size域重新写入即写入60961(根据本地的环境调试出来的)
function_addr=heap_addr2&