[Toddler's Bottle] UAF

문제 !

소스는

#include <fcntl.h>

#include <iostream> 

#include <cstring>

#include <cstdlib>

#include <unistd.h>

using namespace std;

class Human{

private:

virtual void give_shell(){

system("/bin/sh");

}

protected:

int age;

string name;

public:

virtual void introduce(){

cout << "My name is " << name << endl;

cout << "I am " << age << " years old" << endl;

}

};

class Man: public Human{

public:

Man(string name, int age){

this->name = name;

this->age = age;

        }

        virtual void introduce(){

Human::introduce();

                cout << "I am a nice guy!" << endl;

        }

};

class Woman: public Human{

public:

        Woman(string name, int age){

                this->name = name;

                this->age = age;

        }

        virtual void introduce(){

                Human::introduce();

                cout << "I am a cute girl!" << endl;

        }

};

int main(int argc, char* argv[]){

Human* m = new Man("Jack", 25);

Human* w = new Woman("Jill", 21);

size_t len;

char* data;

unsigned int op;

while(1){

cout << "1. use\n2. after\n3. free\n";

cin >> op;

switch(op){

case 1:

m->introduce();

w->introduce();

break;

case 2:

len = atoi(argv[1]);

data = new char[len];

read(open(argv[2], O_RDONLY), data, len);

cout << "your data is allocated" << endl;

break;

case 3:

delete m;

delete w;

break;

default:

break;

}

}

return 0;

}

음 uaf가 있다는 거는 알겠고, 그럼 분석을 대충이라도 해볼까요

Heap 데이터를 어떻게 분석하는지 모르는 저는 ida로 뒤져봤더니

이딴게 나오더군요.

근데 왜 give_shell( ) 저기 있는건데..?

는 이걸 보시길

저기 보이는 add $0x8, %rax 에서 0x8 을 더하니까 

결국 가르키는건 introduce 구나,,

아 그럼 동적할당 시킬때 give_shell( ) 주소를 넣는데 -0x8 만큼 해서 넣어야 하네

    

일단 먼저 free 시켜 버리고 2를 눌러서 give_shell( ) - 0x8 을 할당시켜 버리고 use 하면 ㅇㅋ? ㅇㅇㅋ

그럼 ㄱㄱ

give_shell( ) => 0x0000000000401570  - 0x8 = 0x0000000000401568

이때 쉘이 안뜨는 이유는

introduce 가 1번 allocate 로는 안덮입니다.

고로 2번

쨋든 클리어;