#

# I IO_buf_base 劫持技术，

# 文章写的会比较凌乱，是在一边解题同时记录

# 环境以及保护

giantbranch@ubuntu:~/Desktop/pwnabletw/hijack_io_buf_base$ strings libc.so.6 | grep ubuntu 
GNU C Library (Ubuntu GLIBC 2.23-0ubuntu11) stable release version 2.23, by Roland McGrath et al.
<https://bugs.launchpad.net/ubuntu/+source/glibc/+bugs>.
giantbranch@ubuntu:~/Desktop/pwnabletw/hijack_io_buf_base$ checksec --file=tw2017parrot
[*] '/home/giantbranch/Desktop/pwnabletw/hijack_io_buf_base/tw2017parrot'
    Arch:     amd64-64-little
    RELRO:    Full RELRO
    Stack:    No canary found
    NX:       NX enabled
    PIE:      PIE enabled
giantbranch@ubuntu:~/Desktop/pwnabletw/hijack_io_buf_base$ file tw2017parrot 
tw2017parrot: ELF 64-bit LSB shared object, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 2.6.32, BuildID[sha1]=00fbccd873daf9400480cbb4dbd48845f1bb97b8, not stripped
giantbranch@ubuntu:~/Desktop/pwnabletw/hijack_io_buf_base$

ubuntu2.23 下的题目，只有 canary 保护没有开启，没有思路

# 主要代码

int __cdecl __noreturn main(int argc, const char **argv, const char **envp)
{
  size_t size; // [rsp+8h] [rbp-18h] BYREF
  void *buf; // [rsp+10h] [rbp-10h]
  unsigned __int64 v5; // [rsp+18h] [rbp-8h]

  v5 = __readfsqword(0x28u);
  setvbuf(stdin, 0LL, 2, 0LL);
  setvbuf(stdout, 0LL, 2, 0LL);
  sleep(3u);
  while ( 1 )
  {
    puts("Size:");
    _isoc99_scanf("%lu", &size);
    getchar();
    if ( !size )
      break;
    buf = malloc(size);
    puts("Buffer:");
    read(0, buf, size);
    *((_BYTE *)buf + size - 1) = 0;			//这个很关键
    write(1, buf, size);
    free(buf);
  }
  exit(0);
}

# 分析

# 初步印象

代码很简单，malloc,free 没有多余的操作，但是 malloc 不会清空申请的堆块中的内存，同时我们可以输入空。但是只有一个堆块，紧邻 topchunk, 无法利用 unsortedbin 泄露 main_arena, 铃响其他办法

malloc 的一个机制

当我们在应用层调用 malloc 申请堆的时候，在 glibc 中实际上调用的是_lib_malloc 函数，但是_lib_malloc 函数只是用来简单的封装_int_malloc 函数的，_int_malloc 函数才是申请堆的核心函数。
_int_malloc 会根据应用层用户申请的内存块大小，从而分配相应的 chunk 给用户使用。

函数的分配堆内存的主要执行流程
①请求大小在 fastbin 的范围内：在 fastbins 中找是否有对应的 chunk 可以使用。
②请求大小在 smallbin 的范围内：在 smallbin 中找是否有对应的 chunk 可以使用。
③请求大小在 largebin 的范围内：先调用 malloc_consolidate 对 fastbins 进行整理加入 unsortedbins。然后在 unsortedbin 中查看是否有满足要求的 chunk 可以使用。
④在 largebin 中寻找可用的 chunk 来使用。
⑤寻找较大的 bin 链中是否有可用的 chunk 来使用。
⑥切割 topchunk 来使用。
⑦topchunk 也不够了，再次调用 malloc_consolidate 整理 fastbins。
⑧topchunk 不够用，再次 malloc_consolidate 之后还没有可以用的，最终调用 sysmalloc（系统调用）申请内存。

pwndbg> p *(struct _IO_FILE_plus *)stdin
$1 = {
  file = {
    _flags = -72540021, 
    _IO_read_ptr = 0x7f0883e32964 <_IO_2_1_stdin_+132> "", 
    _IO_read_end = 0x7f0883e32964 <_IO_2_1_stdin_+132> "", 
    _IO_read_base = 0x7f0883e32963 <_IO_2_1_stdin_+131> "\n", 
    _IO_write_base = 0x7f0883e32963 <_IO_2_1_stdin_+131> "\n", 
    _IO_write_ptr = 0x7f0883e32963 <_IO_2_1_stdin_+131> "\n", 
    _IO_write_end = 0x7f0883e32963 <_IO_2_1_stdin_+131> "\n", 
    _IO_buf_base = 0x7f0883e32963 <_IO_2_1_stdin_+131> "\n", 
    _IO_buf_end = 0x7f0883e32964 <_IO_2_1_stdin_+132> "", 
    _IO_save_base = 0x0, 
    _IO_backup_base = 0x0, 
    _IO_save_end = 0x0, 
    _markers = 0x0, 
    _chain = 0x0, 
    _fileno = 0, 
    _flags2 = 0, 
    _old_offset = -1, 
    _cur_column = 0, 
    _vtable_offset = 0 '\000', 
    _shortbuf = "\n", 
    _lock = 0x7f0883e34790 <_IO_stdfile_0_lock>, 
    _offset = -1, 
    _codecvt = 0x0, 
    _wide_data = 0x7f0883e329c0 <_IO_wide_data_0>, 
    _freeres_list = 0x0, 
    _freeres_buf = 0x0, 
    __pad5 = 0, 
    _mode = -1, 
    _unused2 = '\000' <repeats 19 times>
  }, 
  vtable = 0x7f0883e316e0 <_IO_file_jumps>
}

这是正常的 stdin 的 IO_FILE_plus 结构体，_IO_buf_base 是输入缓冲区开始的地方（其实应该是 read_base 是开始的地方，但是这里肯可能是说 read_base = buf_base），记得程序代码那个末尾写 0 吗。在这里将 _IO_buf_base 最低位改为 0. 这个地址其实是_IO_write_base, 这里就可以实现_IO_FILE_plus 的覆盖

pwndbg> p *(struct _IO_FILE_plus *)stdin
$3 = {
  file = {
    _flags = -72539989, 
    _IO_read_ptr = 0x7f0883e32901 <_IO_2_1_stdin_+33> "", 
    _IO_read_end = 0x7f0883e32928 <_IO_2_1_stdin_+72> "", 
    _IO_read_base = 0x7f0883e32900 <_IO_2_1_stdin_+32> "", 
    _IO_write_base = 0x0, 
    _IO_write_ptr = 0x0, 
    _IO_write_end = 0x0, 
    _IO_buf_base = 0x7f0883e347a8 <__free_hook> "", 
    _IO_buf_end = 0x7f0883e347b8 <next_to_use> "", 
    _IO_save_base = 0x0, 
    _IO_backup_base = 0x0, 
    _IO_save_end = 0x0, 
    _markers = 0x0, 
    _chain = 0x0, 
    _fileno = 0, 
    _flags2 = 0, 
    _old_offset = -1, 
    _cur_column = 0, 
    _vtable_offset = 0 '\000', 
    _shortbuf = "\n", 
    _lock = 0x7f0883e34790 <_IO_stdfile_0_lock>, 
    _offset = -1, 
    _codecvt = 0x0, 
    _wide_data = 0x7f0883e329c0 <_IO_wide_data_0>, 
    _freeres_list = 0x0, 
    _freeres_buf = 0x0, 
    __pad5 = 0, 
    _mode = -1, 
    _unused2 = '\000' <repeats 19 times>
  }, 
  vtable = 0x7f0883e316e0 <_IO_file_jumps>
}

writeup

#