Chunk Extend & Overlap

顾名思义，堆扩展和堆重叠

我的理解是堆扩展是为堆重叠服务的，chunk overlap之后我们可以控制堆的内容

overlap在先前Unlink一文中已经提及过向前overlap，向前也是主要的利用方法，因为它更容易实现

extend的原理比较简单不再赘述，主要讲overlap

最小二乘法和高斯牛顿方程的Python实现

应用背景：消除误差或忽略无关细节，从干扰数据中提取信号或找出趋势，将大量数据降低到可管理的数量或用简单的近似来代替复杂函数。

UAF patch

测试用例

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

#include<stdlib.h>
#include<stdio.h>

int main()
{
	int *ptr[10],idx;
	puts("Index:");
	scanf("%1d",&idx);
	printf("idx is %d\n",idx);
	ptr[idx] = malloc(0x80);
	printf("ptr[%d] is %p\n",idx,ptr[idx]);
	puts("Now free");
	free(ptr[idx]);
	printf("ptr[%d] is %p\n",idx,ptr[idx]);
	if(ptr[idx] != 0x0)
	{	
		puts("uaf exist!");
		return 0;	
	}
	puts("uaf fixed!");
	return 0;
}

//gcc uaf.c  -o uaf

patch

找到free的地方

1
2
3
4
5

.text:0000000000400762                 mov     eax, [rbp+var_74]
.text:0000000000400765                 cdqe
.text:0000000000400767                 mov     rax, [rbp+rax*8+ptr]
.text:000000000040076C                 mov     rdi, rax        ; ptr
.text:000000000040076F                 call    _free

可以看到free的参数是[rbp+rax*8+ptr]

ptr在main函数开头可以看见

1
2
3

.text:00000000004006D6 var_74          = dword ptr -74h
.text:00000000004006D6 ptr             = qword ptr -70h
.text:00000000004006D6 var_18          = qword ptr -18h

在eh_frame段找一个地方写上我们的汇编代码，我这里找的是0x400900

1
2
3
4
5
6
7
8

call 0x400560;这里的地址是_free的地址，这里有大坑
mov eax,[rbp-0x74];[rbp-0x74]对应[rbp+var_74]
cdqe;
lea rdx,ds:0[rax*8];
lea rax,[rbp-0x70];[rbp-0x70]对应rbp
mov r8,0;
mov [rbp+rax],r8;
jmp 0x00400774;跳转回去

然后把原函数cal _free的地方改成jmp 0x400900即可

大坑

IDA告诉你它patch完了，但是它其实patch歪了

比如这里，call 0x400560的机器码是E8 5B FC FF FF

但是它给你patch成了 E8 5B FC BF 8C

所以你得用010 editor手动改一下机器码

沙盒逃逸

prctl 函数

1
2

#include <sys/prctl.h>  
int prctl(int **option**, unsigned long arg2, unsigned long arg3, unsigned long arg4, unsigned long arg5);

CTF中一般只关注两种option：PR_SET_NO_NEW_PRIVS(38)和PR_SET_SECCOMP(22)：

Unlink

Principle

House of Spirit

Free a fake fastbin chunk to get malloc to return a nearly-arbitrary pointer. said How2Heap

fastbin attack的要点在于通过fastbin单链表的特性申请到敏感地址完成任意地址写，一种是类似double free和UAF这种申请真的chunk，另外一种方法就是伪造chunk。

Arm Pwn 初体验

Example

2018上海大学生网络安全赛 baby_arm

checksec

1
2
3
4
5
6

[*] '/home/tty18pwn/Desktop/baby_arm/pwn'
    Arch:     aarch64-64-little
    RELRO:    Partial RELRO
    Stack:    No canary found
    NX:       NX enabled
    PIE:      No PIE (0x400000)

开启了NX

异构Pwn调试工具

虎符杯给我看傻了，pwn是两道aarch64和两道区块链

感觉异构pwn的环境还是有必要搭建一下

静态的话比较方便，arm架构直接就能分析，mips的话IDA装了插件也可以直接F5

主要还是linux里用来的动态调试的插件

UAF

Trying to pass CET-6 and get used to using English in daily life (Nu1l ‘s Write up looks so cool.)

If this make it inconvenient for you to read this article, please use translation tools of browsers.