ba0bab

보호되어 있는 글입니다.

보호되어 있는 글입니다.

보호되어 있는 글입니다.

보호되어 있는 글입니다.

보호되어 있는 글입니다.

보호되어 있는 글입니다.

Summary tcache dup Analysis add 0~6까지 총 7개 할당가능. 1024(0x400) 사이즈까지만 할당가능. (unsorted bin 사이즈의 할당이 불가능함. 그래서 tcache poisoning으로 size를 바꾸고 free해줘서 libc leak.) edit 값을 수정할 수 있음. 따로 초기화 하지 않아 delete이후에도 edit가능. delete 청크를 free해줌. 따로 초기화 하지 않아 double free 가능. check 청크 안에 값들을 보여줌. Libc leak add(0, 32, "") delete(0) delete(0) check(0) s.recvuntil(":") heap_base=u64(s.recv(6)+"\x00\x00")-0x260 print(hex(..

거의 2년전에 알았던 문젠데 이제야 풀다니.. Summary main_arena+88(unsorted bin) leak fastbin duplicate Analysis 분석을 해보면 mmap으로 매핑된 주소에서 힙 청크들을 관리한다. Allocate size입력 받은 만큼 메모리 할당 fill 할당 된 버퍼에 write 할 수 있다. size컨트롤이 가능해 heap overflow취약점이 발생한다. free 메모리 해제 dump 할당된 청크의 적힌 데이터를 볼 수 있다. Iibc leak fastchunk 4개 할당(0x20)(idx 0~3) smallchunk 1개 할당(0x80)(idx 4) free(1) free(2) fill(0)에서 fastchunk(2)의 fd를 smallchunk의 위치로 1..