【pwn】 roarctf_2019_realloc_magic

例行檢查 保護全開，分析程序邏輯。發現沒有輸出堆內容的函數，想要泄露libc地址只能經過修改IO_FILE結構體實現。realloc函數有兩個trick。在size爲0時，free掉指針指向的堆塊，返回0；在分配超過當前指針指向堆塊大小時若是有剩餘空間則擴大堆塊大小。node 利用思路 1.堆塊free 8次放進unsortbin中，在fd上獲得arena地址，經過realloc擴大堆塊的特性形成

>>阅读原文<<