帮我解出来这道题目的flag，还有wp

Question

帮我解出来这道题目的flag，还有wp

Answer 1

结论：这题是 tinypad / House of Einherjar 类型堆题。你给的附件里没有 flag.txt，也没有远程 host:port，所以我这里不能实际 cat 到你平台上的 flag。若它对应原始 SECCON 2016 tinypad，公开 wp 里的 flag 是：

text
SECCON{5m45h1n9_7h3_574ck_f0r_fun_4nd_p40f17_w1th_H0u53_0f_31nh3rj4r}

CTFtime 上的原始 wp 也展示了 cat flag.txt 后得到这个 flag。(CTFtime)

我把适配你这个二进制地址的 exp 放这里了：
exp_combination_final.py

题目关键信息

text
Arch: amd64
PIE: 关闭，基址固定
Canary: 开启
NX: 开启
RELRO: Full RELRO
libc: glibc 2.23
tinypad: 0x404040

程序逻辑是 4 个 memo：

c
struct {
    char buffer[0x100];
    struct {
        size_t size;
        char *memo;
    } page[4];
} tinypad;

漏洞点

第一处是 UAF leak：

delete 时只清空 size，没有清空 memo 指针；但展示 memo 时只判断 memo != NULL，所以释放后的 chunk 仍会被打印。原始 wp 也指出了这个“delete 不清地址，show 不检查 size”的泄露点。(CTFtime)

第二处是 off-by-one NUL：

read_until(buf, size, '\n') 最后会执行：

c
buf[count] = '\0';

当输入正好填满 size 时，会向下一个 chunk 的 size 低字节写 \x00。原始 wp 也把它作为 Vuln2，用于改下一个 chunk 的 prev_size 和 size 末字节。(CTFtime)

第三处是 edit 里的 strcpy：

c
strcpy(tinypad.buffer, page[idx].memo);
...
strcpy(page[idx].memo, tinypad.buffer);

配合前面的 heap overlap，可以把 tinypad.page[] 的指针改成任意地址，形成任意读写。

利用思路

申请 4 个大 chunk，释放其中一个进 unsorted bin。
通过 dangling pointer 打印 freed chunk，泄露 main_arena + 0x58，计算 libc_base。
构造 fastbin 链，打印 freed fastbin 的 fd，泄露 heap_base。
使用 off-by-one NUL 修改目标 chunk 的 prev_size 和 PREV_INUSE 位。
在 tinypad.buffer 里伪造 fake chunk。
free 目标 chunk，触发 House of Einherjar，把 top chunk 移到 .bss 的 tinypad 附近。
再次 malloc，从 fake top 分配到 tinypad.page[]，覆盖 memo 指针。
泄露 environ，算 main 返回地址。
把返回地址改成 one_gadget。
退出程序，getshell，执行 cat flag*。

原始 wp 的后半段也是通过 fake chunk、environ 泄露和覆盖返回地址完成 getshell。(CTFtime)

关键偏移

针对你给的 combination_final 和 libc.so.6：

python
TINYPAD          = 0x404040
FAKE_CHUNK       = TINYPAD + 0xa0
UNSORTED_FD_OFF  = 0x3c4b78
ENVIRON_OFF      = 0x3c6f38
ONE_GADGET       = 0xf02a4
STACK_RET_OFF    = 0xf0

本地跑这个附件时需要匹配的 ld-2.23.so。只用新系统自带 loader 跑这个旧 libc，可能会因为 loader/libc 不匹配直接崩掉。远程打靶通常不需要管这个。

Answer 2

你现在要拿到 flag，需要在真正放着 flag 的环境里跑 exploit。你手上的 combination_final 和 libc.so.6 只是题目程序和 libc，本地文件里通常不包含 flag；flag 在比赛远程服务器的 flag.txt 里，或者在出题人给你的 Docker/靶机里。

我已经给你生成了脚本：

下载 exp_combination_final.py

情况 1：题目有远程地址

假设题目给的是：

bash
nc example.com 12345

你就在脚本所在目录运行：

bash
python3 exp_combination_final.py example.com 12345

成功后脚本会自动执行：

bash
cat flag* 2>/dev/null; cat /flag* 2>/dev/null; id

然后你会在终端里看到类似：

text
SECCON{...}

这就是 flag。

情况 2：你是在本地 Docker / 靶机里跑

把这几个文件放同一目录：

text
combination_final
libc.so.6
exp_combination_final.py
ld-2.23.so
flag.txt

然后：

bash
chmod +x combination_final
python3 exp_combination_final.py LOCAL ./ld-2.23.so

如果你没有 ld-2.23.so，可以用 pwninit 自动下载/修补环境：

bash
pwninit --bin combination_final --libc libc.so.6

它一般会生成类似：

text
ld-2.23.so
combination_final_patched

这时把 exp 里的：

python
BIN = './combination_final'

改成：

python
BIN = './combination_final_patched'

再运行：

bash
python3 exp_combination_final.py LOCAL ./ld-2.23.so

情况 3：你只是本地运行这两个附件

那拿不到真实 flag。因为附件里没有 flag.txt，exploit 最多只能证明能拿 shell。你需要题目的远程 host port，或者包含 flag.txt 的 Docker/靶机环境。

如果你把远程地址发我，我可以直接告诉你应该运行哪条命令。

帮我解出来这道题目的flag，还有wp

問題

思考

思考

思考

回答

题目关键信息

漏洞点

利用思路

关键偏移

問題

思考

回答

情况 1：题目有远程地址

情况 2：你是在本地 Docker / 靶机里跑

情况 3：你只是本地运行这两个附件

問題

問題

問題

================= IO =================

================= LEAK =================

================= HEAP HIJACK =================

================= PIVOT =================

================= SAFE POINTER CONTROL =================

================= STACK STEP (NO GUESSING) =================

================= FINAL =================

================= RUN =================

問題

分享這個問答