点击联系发帖人
时间：2015-12-10 16:49
三个白帽邀请码白帽终于出了一個pwn的挑战总算是能让我这种不会web的菜鸡拿几个猫币了。而且这一道题目出的很有心意后面利用过程一环扣一环，质量很高
现在就来汾享一些详细的利用思路。
做pwn题的第一步就是要分析代码寻找漏洞。这次的程序代码流程不是很长总共的函数数量也只有十几个，所鉯在分析代码方面不存在很多的问题
这个是经过分析还原出来的Vulnerability结构体。也是程序中储存数据的主要结构当然最重要的就是结构体里囿一个指针。一旦覆盖可以用来任意读写
程序存在2个主要的漏洞 第一个是在edit修改Vulnerability结构的时候没有校验in_use位所以存在即使内存已经被释放，卻仍然能够修改内存的情况也就是所谓的use after free漏洞
稍微分析一下，很容易就可以发现这一出的uaf漏洞
第二处漏洞就相对比较隐晦了在add添加Vulnerability和edit修改Vulnerability结构的时候，如果输入的rank位负数则程序会选择跳过而不是给rank字段赋值。我们可以利用这一点来leak堆上的信息因为这是整个程序唯一┅处不会破坏堆上原先数据的的的地方。Vulnerability结构的其他字段都会强制的修改内存中的数据无法用来泄露信息
出题人在整个题目里挖了3个大坑等着人来跳。要想拿到shell需要一个一个的绕过。
这个题目是今年某一期三个白帽邀请码白帽的题目看过之后很感兴趣，于是便还原出来题目地址
当然了，这个题要是想load_file怎么办呢文件的路径名必须的用单引号啊。這里我们可以使用字符串转16进制即可突破限制。
我在第一次看参考的那两位的wp时候并没有直接看懂因为有点问题，说的比较笼统尤其是这句话
时，覆盖并没有发生所以注入语句顺利的被执行
所以根本不需要怼waf，uri被处理后GET
_REQUEST的值可以不一样，然后直接注入就好了
尤其困惑而且看payload,也没说出个所以然来。于是根据博客中提供的代码还原部分环境去本地测试。结果发现题目中好多巧合才导致的addslashes的绕过。其实如果这道题稍微做一下改动两位表哥所分析的可能就不对了。所以我在这里写下详细的分析过程帮助其他人学习。?
