[ Dreamhack ] tcache_dup2

https://dreamhack.io/wargame/challenges/67/

tcache_dup2

 

이 문제에서는 주의해야할 점이 있다.

바로 tc_idx가 낮은값을 갖지 않게 해야한다.

왜냐하면 tc_idx는 빈에 들어간 청크의 개수를 세는 녀석인데 0이면 tcache에 청크가 없다고 판단해서

할당할 때 tcache를 참조하지 않기 때문이다.

 

double free 를 이용하여 쉘을 획득하기 위해서는

allocate를 총 3번해야한다.

1. 더블 프리 후 tcached의 연결리스트를 조작하기 위해 할당

2. tcache의 연결리스트 조작 후 조작된 연결리스트를 재할당받기 위해 처음 double free에 이용한 청크 할당

3. 조작된 청크 할당

 

하지만 fd를 조작하여 free list에 tcache 청크는 충분히 있지만

tc_idx는 free를 할 때만 증가하는데 우린 free를 두번 했고 조작된 청크는 우리가 강제로 넣어준 것이기 때문에

2번만 할당이 가능하다.

이를 해결하기 위해 같은 크기의 청크를 넣어줌으로써 tc_idx의 값을 allocate 할 만큼 만들어줘야 한다..