fastbin_attack中的Arbitrary Alloc（例题）具体例子原理网上很多，这里就不再赘述了，这里讲解一道fastbin_attack中的Arbitrary Alloc
题目来源：0ctf 2017 BabyHeap参考资料：https://blog.csdn.net/qq_36495104/article/details/106202135 #思路CTF-wikihttps://www.yuque.com/hxfqg9/bin/bp97ri#sKWXZ #payloadhttps://bl...
House Of Force（控制top_chunk）（基础）
参考资料：CTF-wiki：https://ctf-wiki.github.io/ctf-wiki/pwn/linux/glibc-heap/house_of_force-zh/附件下载：链接: https://pan.baidu.com/s/1NiEZbuBUCFJrMOjqlazPUA 密码: np57–来自百度网盘超级会员V3的分享 House Of Force是一种堆的利用方法，其主要原理是控制heap中的top_chunk并ma...
DES12345678910111213141516171819202122232425262728293031323334353637383940414243444546474849505152535455565758596061626364656667686970717273747576777879808182838485868788899091929394959697989910010110210310410510610710810911011111211311411511611711811912012...
利用条件
1.fastbin 的堆块被释放后 next_chunk 的 pre_inuse 位不会被清空2.fastbin 在执行 free 的时候仅验证了 main_arena 直接指向的块，即链表指针头部的块。对于链表后面的块，并没有进行验证。
该漏洞是指将同一个chunk free两次，通常情况下free两个chunk会报错是无法编译的，监测机制也很简单，就仅仅是对free变量与前一个进行对比，所以可以中间夹一个其他的实现：
123free(shangu1)free(shangu2)free(shan...
同样是house of storm，但是如果程序开启了沙箱，禁用了system函数，那我们常规把hook函数改为system函数的方法就失效了，若是沙箱没有禁用open，read，write函数，这里我们可以考虑用orw。
例题rctf_2019_babyheap在这里插入图片描述
在这里插入图片描述保护全开，禁用了execve就是禁用了system，因为system函数通过调用execve函数才能执行。看一下ida
main函数可以看到是实现了四个功能，增改删查
1234567891011121314151...
House of storm结合了unsorted_bin_attack和Largebin_attack的攻击技术,实现任意地址分配chunk，任意地址写。
利用条件:1234561.需要攻击者在largebin和unsorted_bin中分别布置一个chunk ， 这两个chunk需要在归位之后处于同一个largebin的index中， 且unsortedbin中的chunk要比largebin中的大2.需要unsorted_bin中的bk指针可控3.需要largebin中的bk指针和bk_nextsi...
该技术的核心在于在目标位置处伪造 fastbin chunk，并将其释放，从而达到分配指定地址的 chunk 的目的。
要想构造 fastbin fake chunk，并且将其释放时，可以将其放入到对应的 fastbin 链表中，需要绕过一些必要的检测，即
12345fake chunk 的 ISMMAP 位不能为 1，因为 free 时，如果是 mmap 的 chunk，会单独处理。fake chunk 地址需要对齐， MALLOC_ALIGN_MASKfake chunk 的 size 大小需要满足对应的...
