这道题目帮助我学习了realloc这个函数，是一道十分经典的题目，我会尽量的把exp的每一步都说清楚 例行检查我就不放了 讲程序放入ida中 比较简单的流程，没有show功能，所有我们需要通过爆破stdout这个函数来获得libc 我先放上我学习的俩位师傅的博客 (16条消息) BUUCTF-PWN roarctf_2
tcache stashing unlink + tcache 的入链操作 smallbin 入链操作 tcache stash 源码 #if USE_TCACHE /* While we're here, if we see other chunks of the same size, stash them in the tcache. */ size_t tc_idx = csize2tidx (nb); if
前言 对于 malloc 过程，以 __libc_malloc 函数为入口开始分析，对于 free 过程，以 __libc_malloc (size_t bytes) void * __libc_malloc (size_t bytes) { mstate ar_ptr; void *victim; _Static_assert (PTRDIFF_MAX <= SIZE_MAX / 2, "PTRDIFF_MAX is not
花了半天的时间去理解吃透这道题目，也参考了大佬的wp (1条消息) 【pwn】SWPUCTF_2019_p1KkHeap_Nothing-CSDN博客、 (1条消息) swpuctf2019 p1KkHeap 详细题解_seaaseesa的博客-CSDN博客 有关程序的分析我就不说了，只讲述做题目的思路 因为这道题目的限定，常规的tcachebin攻击肯定不
author: moqizou 堆源码的知识总是看一点忘一点，导致堆的学习非常缓慢。这里我还是开个文章记录一下，堆源码的知识吧。 Chunk Extend and Overlapping 这是一种通过改变chunk head来达到伪造chunk大小，从而把用户区申请到相邻的chunk上去，达到溢出修改其他chunk的目的。 主要利
程序调用的是calloc，这个函数不会从tcache中取chunk。所以直接add free 重复填满tcache，利用uaf泄露heap和libc tcache per thread struct是来管理链表上堆块的数量的，大小一共是0x250，在heap开头。其中counts一共占0x40，每一个字节都代表一个大小范围正好对应64个entry，第一个字节
前言： 如今glibc已经发布了glibc 2.31版本，利用也变得越来越难，主要原因是新的版本中加入了更多的check，不过现在大多数的题目还是基于glibc2.23 2.27和2.29这3个版本。我们知道，glibc2.29相对于glibc2.23加入了更多的保护措施，而glibc2.29下对unsortedbin的保护措施相当于直接扼杀了uns
目录sctf_2019_one_heap总结题目分析checksec函数分析mainmenu_get_choicenew_notedelete_note漏洞点利用思路知识点利用过程EXP调试过程完整exp引用与参考 sctf_2019_one_heap 总结 根据本题，学习与收获有： tcache_perthread_struct这个结构体也是阔以释放的，并且可以将它释放到uns
今天是四月十九，想在五月份之前把how2heap中的高版本(2.31)的例子过一遍。所以这个系列目前还是在更新中。如果比较简单就几句话带过了，遇到难一点的会写的详细一点。 fastbin_dup 源代码： 1 #include <stdio.h> 2 #include <stdlib.h> 3 #include <assert.h> 4 5 int ma
这篇文章介绍了两种tcache的利用方法，tcache dup和tcache house of spirit，两种方法都是用how2heap中的例题作为讲解。由于tcache attack这部分的内容比较多，所以分开几篇文章去写。例题后补，写完例题后可能会进行重新排版，内容不会少的！！！ 往期回顾： 好好说话之Tcache Attack（1）：tcache
回顾double free手法 在glibc2.27之前，主要是fastbin double free： fastbin在free时只会检查现在释放的chunk，是不是开头的chunk，因此可以通过free(C1), free(C2), free(C1)的手法绕过并在在fastbin取出时，会检查size字段是不是属于这个fastbin，因此往往需要伪造一个sizeglibc2.27~
逆一下 add函数，注意bss段有heaparray之类的东西，然后可以申请九次，然后add的时候无法向chunk写入内容 delete函数，明显的UAF漏洞 edit函数，只能用一次 后门函数，ptr是bss段上的变量 一开始的思路是劫持got表，因为是ubuntu18并且有UAF，可以直接利用double free来申请到atoi@got，然后改
