堆之UAF(Use_after_free)及调试-hitcontraining_uaf

https://wiki.x10sec.org/pwn/heap/use_after_free/

一个很直接的想法是修改note的put字段为magic函数的地址，从而实现在执行print note 的时候执行magic函数。 那么该怎么执行呢？

我们可以简单来看一下每一个note生成的具体流程
程序申请8字节内存用来存放note中的put以及content指针。
程序根据输入的size来申请指定大小的内存，然后用来存储content。
   +-----------------+                       
   |   put           |                       
   +-----------------+                       
   |   content       |       size              
   +-----------------+------------------->+----------------+
                                          |     real       |
                                          |    content     |
                                          |                |
                                          +----------------+
那么，根据我们之前在堆的实现中所学到的，显然note是一个fastbin chunk（大小为16字节）。我们的目的是希望一个note的put字段为magic的函数地址，那么我们必须想办法让某个note的put指针被覆盖为magic地址。由于程序中只有唯一的地方对put进行赋值。所以我们必须利用写real content的时候来进行覆盖。具体采用的思路如下

申请note0，real content size为16（大小与note大小所在的bin不一样即可）

申请note1，real content size为16（大小与note大小所在的bin不一样即可）

释放note0

释放note1

此时，大小为16的fast bin chunk中链表为note1->note0

申请note2，并且设置real content的大小为8，那么根据堆的分配规则

note2其实会分配note1对应的内存块。

real content 对应的chunk其实是note0。

如果我们这时候向note3的chunk部分写入magic的地址，那么由于我们没有note1为NULL。当我们再次尝试输出note1的时候，程序就会调用magic函数。