有UAF

有UAF，基本就不用说了，随便一种就行:

利用tcache/fastbin
1. 利用释放后的tcache next指针>>12，可获取堆地址
利用unsorted bin
1. 利用释放后的unsorted bin的fd和bk , 可获取libc地址
2. 释放两个堆块(这两个堆块不连续，否则会合并)，让他们进入unsorted bin，可同时获取libc和堆地址，前提是输出不被截断

无UAF,但是输出不截断

主要是利用了堆块申请出来不会主动清空fd和bk 还有fd_nextsize和bk_nextsize

1
add(0,0x418)
2
add(1,0x10)
3
add(2,0x4f8)
4
free(0)
5
free(2)
6
add(3,0x418)
7
show(3)   //不截断输出

利用效果也是这样 Pasted image 20260331110658 2. 利用large bin

1
add(0,0x418)
2
add(1,0x10)
3
free(0)
4
add(2,0x4f8)
5
add(3,0x418)
6
show(3)    //不截断输出

Pasted image 20260331111257

Thanks for reading!

周一 3月 31 2025

173 字 · 1 分钟