pwn

常回家看看之Tcache Stashing Unlink Attack在开始了解这个攻击手法的前提，需要先了解一个函数也就是calloc函数，众所周知，当libc版本大于等于2.27的时候会引入tcachebin，而Tcache Stashing Unlink Attack就是发生在2.27版本以上，那么这个和calloc有什么关系呢，周知所众，当tcahchebin里面有符合条件的空闲堆块的时候，malloc会优先去tcachebin里面拿堆块，然而calloc不是这样，它会越过tcachebin来拿取堆块，这个特殊的机制，还有接下来的一个忽略的检查导致Tcache St

想拿 0day 的脚步小子

从ctfwiki开始的pwn之旅 5.ret2csu在 64 位程序中，函数的前 6 个参数是通过寄存器传递的，但是大多数时候，我们很难找到每一个寄存器对应的 gadgets。这时候，我们可以利用 x64 下的 __libc_csu_init 中的 gadgets。这个函数是用来对 libc 进行初始化操作的，而一般的程序都会调用 libc 函数，所以这个函数一定会存在。我们先来看一下这个函数 (当然，不同版本的这个函数有一定的区别)

PWN(栈溢出漏洞)-原创小白超详细[Jarvis-level0]题目来源：Jarvis OJ https://www.jarvisoj.com/challenges题目名称：Level0

【我的 PWN 学习手札】House of RomanHouse of Roman核心思想是利用了地址随机化，从而概率的获得指向目标地址的指针目录前言一、ASLR

ctf-pwn: 数组越界数组越界（Array Out-of-Bounds）通常发生在以下两种情况下：假设有一个C语言程序：在这个示例中，array数组的长度是5，合法的访问下标应该是0到4。然而，for循环的条件是 i <= 5，这意味着当 i 等于5时，array[i] 将访问到数组边界之外的内存位置。这就是一个典型的数组越界漏洞。

雪痕春风天音九重色

Re:从零开始的pwn学习（栈溢出篇）写在前面：本文旨在帮助刚接触pwn题的小伙伴少走一些弯路，快速上手pwn题，内容较为基础，大佬轻喷。本文默认读者明白最基础的汇编指令的含义，并且已经配置好linux64位环境，明白基础的Linux指令。

BUU刷题-Pwn-codegate2018_melong(ARM的ret2libc)泄露或修改内存数据：题目类型： ARM_Pwnlibc版本： wp借鉴：ARM PWN：Codegate2018_Melong详细讲解-爱代码爱编程 (icode.best) ctf-wiki ARM ROP Codegate2018_Melong题解_elf 32-bit lsb executable, arm, eabi5 version 1 (s-CSDN博客 ARM PWN：Codegate2018_Melong详细讲解_pwn arm melong-CSDN博客

HWS赛题入门 MIPS Pwn-Mplogin(MIPS_shellcode)泄露或修改内存数据：题目类型： MIPS_Pwnstrncmp的利用 MIPS 与 x86 函数栈帧的开辟和恢复对比

malloc源码分析之 ----- 你想要啥chunkmalloc源码，这里以glibc-2.29为例：上面在tcache中取出chunk即tcache_get函数中，对取出的chunk本身的修改值局限于key字段清0 ，再无其他修改，申请出来的next字段没有清空，也没有任何检查。（在glibc-2.28以及之前，没有tcache的double free检查）

【我的 PWN 学习手札】tcache stash unlink目录前言一、相关源码二、过程图示1. Unlink 过程2. Tcache stash unlink 过程

常回家看看之house of kiwi我们看看触发的源码可以看见__malloc_assert调用了__fxprintf和fflush，而这个函数调用后会调用_IO_file_jumps中的sync指针。

Large Bin Attack 源码调试分配跟 large bin 有关的 chunk，要经过 fastbin，unsorted bin，small bin 的分配，建议在学习 large bin attack 之前搞清楚 fastbin，unsorted bin 分配的流程。

【pwnable.kr】0x02-collision Writeup拉取文件分析源码阅读源码后，执行样例测试输入2个参数 / 1个参数，程序输出如下先随意输入一个值，进一步分析

FSOP，glibc-2.23攻击IO_list_allFSOP 是 File Stream Oriented Programming 的缩写，根据前面对 FILE 的介绍得知进程内所有的 _ IO_FILE 结构会使用 _ chain 域相互连接形成一个链表，这个链表的头部由_IO_list_all 维护。

看星猩的柴狗

2024 HNCTF PWN（hide_flag Rand_file_dockerfile Appetizers TTOCrv_）https://docs.qq.com/doc/p/641e8742c39d16cd6d046b18bcb251fd3ab0cd6d

PHP pwn 学习 (2)上一篇blog中，我们学习了一些PHP extension for C的基本内容，下面结合一道题来进行分析，同时学习一些题目中会涉及的新内容。

unsortedbin attackUnsorted Bin 在管理时为循环双向链表，若 Unsorted Bin 中有两个 bin，那么该链表结构如下，改进了一下wiki上的图:

想拿 0day 的脚步小子

9.pwn 栈溢出函数中的存储在栈中的局部变量数组边界检查不严格发生越界写，造成用户输入覆盖到缓冲区外的数据内容，由于栈中同时存在着与函数调用参数的相关信息，栈溢出可以导致控制流劫持

想拿 0day 的脚步小子

5.pwn Linux的延迟绑定机制我们程序开发过程中都会用到系统函数，比如read，write，open等等这些系统函数不需要我们实现，因为系统已经帮你完成这些工作，只需要调用即可，存放这些函数的库文件就是动态链接库。通常情况下，我们对于pwn题接触到的动态链接库就是libc.so文件: