Телеграмм чат группы spbctf страница 7716

Ребят, а почему, когда я в чанко освобожденном начинаю перетирать fd/bk он становится уже не свободным😢 Это типо защита libc, которая проверяет адреса fd/bk на валидность?

источник

23:31пожаловаться #5

VR

Vlad Roskov in SPbCTF

Mls Dmitry

Ребят, а почему, когда я в чанко освобожденном начинаю перетирать fd/bk он становится уже не свободным😢 Это типо защита libc, которая проверяет адреса fd/bk на валидность?

@groke =)

источник

23:46пожаловаться #6

VR

Vlad Roskov in SPbCTF

Mls Dmitry

Ребят, а почему, когда я в чанко освобожденном начинаю перетирать fd/bk он становится уже не свободным😢 Это типо защита libc, которая проверяет адреса fd/bk на валидность?

а как ты понял что он становится не свободным?

источник

23:46пожаловаться #7

MD

Mls Dmitry in SPbCTF

Screenshot 2021-03-12 at 23.48.47.png

MD

Screenshot 2021-03-12 at 23.48.59.png

MD

сделал UAF над чанком и изменил fd -> чанк стал allocated

источник

23:51пожаловаться #10

MD

Mls Dmitry in SPbCTF

тут сразу два получилось, это я промахнулся, когда в gdb шагал

источник

23:52пожаловаться #11

MD

Mls Dmitry in SPbCTF

1 скрин - free 9 чанков
2-4 скрины - редактировал значения и чанки из tcache пропадали

источник

23:55пожаловаться #12

MD

Mls Dmitry in SPbCTF

источник

23:55пожаловаться #13

MD

Mls Dmitry in SPbCTF

источник

23:55пожаловаться #14

MD

Mls Dmitry in SPbCTF

источник

23:55пожаловаться #15

MD

Mls Dmitry in SPbCTF

забавно, что кол-во(7) их не менялось😐

источник

23:56пожаловаться #16

2021 March 13

VR

Vlad Roskov in SPbCTF

Mls Dmitry

Screenshot 2021-03-12 at 23.48.47.png

(338.75 Кб)

в самом чанке нигде не содержится инфы, он занят или свободен

источник

00:02пожаловаться #17

VR

Vlad Roskov in SPbCTF

поэтому видимо этот плагин пробегает сначала все чанки, а потом чтоб определить какой занят а какой свободен, пробегает все места где прописываются свободные: tcache и все виды бинов

источник

00:03пожаловаться #18

VR

Vlad Roskov in SPbCTF

и ты тут соответственно нарушил цепочку тикеша

источник

00:03пожаловаться #19

VR

Vlad Roskov in SPbCTF

поэтому он не нашёл в тикеше те чанки, и посчитал что ну знач они заняты

источник

00:03пожаловаться #20