UAF patch

测试用例

#include<stdlib.h>
#include<stdio.h>

int main()
{
	int *ptr[10],idx;
	puts("Index:");
	scanf("%1d",&idx);
	printf("idx is %d\n",idx);
	ptr[idx] = malloc(0x80);
	printf("ptr[%d] is %p\n",idx,ptr[idx]);
	puts("Now free");
	free(ptr[idx]);
	printf("ptr[%d] is %p\n",idx,ptr[idx]);
	if(ptr[idx] != 0x0)
	{	
		puts("uaf exist!");
		return 0;	
	}
	puts("uaf fixed!");
	return 0;
}

//gcc uaf.c  -o uaf

patch

找到free的地方

.text:0000000000400762                 mov     eax, [rbp+var_74]
.text:0000000000400765                 cdqe
.text:0000000000400767                 mov     rax, [rbp+rax*8+ptr]
.text:000000000040076C                 mov     rdi, rax        ; ptr
.text:000000000040076F                 call    _free

可以看到free的参数是[rbp+rax*8+ptr]

ptr在main函数开头可以看见

.text:00000000004006D6 var_74          = dword ptr -74h
.text:00000000004006D6 ptr             = qword ptr -70h
.text:00000000004006D6 var_18          = qword ptr -18h

在eh_frame段找一个地方写上我们的汇编代码，我这里找的是0x400900

call 0x400560;这里的地址是_free的地址，这里有大坑
mov eax,[rbp-0x74];[rbp-0x74]对应[rbp+var_74]
cdqe;
lea rdx,ds:0[rax*8];
lea rax,[rbp-0x70];[rbp-0x70]对应rbp
mov r8,0;
mov [rbp+rax],r8;
jmp 0x00400774;跳转回去

然后把原函数cal _free的地方改成jmp 0x400900即可

大坑

IDA告诉你它patch完了，但是它其实patch歪了

比如这里，call 0x400560的机器码是E8 5B FC FF FF

但是它给你patch成了 E8 5B FC BF 8C

所以你得用010 editor手动改一下机器码