参考博客：Glibc堆利用之house Of系列总结 | roderick - record and learn!
参考博客：【我的 PWN 学习手札】House of Karui —— tcache key 绕过_tcache key怎么找-CSDN博客
适用范围：2.26~2.32
利用原理：修改tcachebin的size，然后使其被放到不同大小的tcachebin链表里面去。

实验

实验1

可以修改size位，使得堆块被放入不同的tcache中。

// gcc -g -o lab1 lab1.c
#include<stdio.h>
#include<malloc.h>
int main()
{
        unsigned long long int *p[10];
        int i;
        for(i=0;i<10;i++)
        {
                p[i] = malloc(0x30);
        }
        p[1][-1] = 0x71; //模拟堆溢出漏洞,将堆块的size位给修改了
        free(p[1]);
        return 0;
}

先申请10个堆块，这10个堆块的size位都是0x40

之后我们修改p[1]指向的堆块中的size位修改为0x71

这时我们free后就会出现如下现象：chunk原本应该被放入0x40大小下的tcache中，但是释放后却被放入到了0x70大小的tcache中。

实验2

可以修改size位，并且进行堆块的伪造，可以触发unlink或者是将堆块放入unsortedbin等其他bins中。这个其实在tcache_unlink中的内容，但是也算是对house of kauri进行一点扩展吧。

// gcc -g -o lab2 lab2.c
#include<stdio.h>
#include<malloc.h>
int main()
{
        unsigned long long int *p[10];
        int i;
        for(i=0;i<10;i++)
        {
                p[i] = malloc(0xf0);
        }
        p[1][-1] = 0x4f1; //模拟堆溢出漏洞,将堆块的size位给修改了
        free(p[1]);
        return 0;
}

题目1_pwn1

题目代码来源：【我的 PWN 学习手札】House of Karui —— tcache key 绕过_tcache key怎么找-CSDN博客

#include<stdlib.h>
#include <stdio.h>
#include <unistd.h>
 
char *chunk_list[0x100];
 
void menu() {
    puts("1. add chunk");
    puts("2. delete chunk");
    puts("3. edit chunk");
    puts("4. show chunk");
    puts("5. exit");
    puts("choice:");
}
 
int get_num() {
    char buf[0x10];
    read(0, buf, sizeof(buf));
    return atoi(buf);
}
 
void add_chunk() {
    puts("index:");
    int index = get_num();
    puts("size:");
    int size = get_num();
    chunk_list[index] = malloc(size);
}
 
void delete_chunk() {
    puts("index:");
    int index = get_num();
    free(chunk_list[index]);
}
 
void edit_chunk() {
    puts("index:");
    int index = get_num();
    puts("length:");
    int length = get_num();
    puts("content:");
    read(0, chunk_list[index], length);
}
 
void show_chunk() {
    puts("index:");
    int index = get_num();
    puts(chunk_list[index]);
}
 
int main() {
    setbuf(stdin, NULL);
    setbuf(stdout, NULL);
    setbuf(stderr, NULL);
 
    while (1) {
        menu();
        switch (get_num()) {
            case 1:
                add_chunk();
                break;
            case 2:
                delete_chunk();
                break;
            case 3:
                edit_chunk();
                break;
            case 4:
                show_chunk();
                break;
            case 5:
                exit(0);
            default:
                puts("invalid choice.");
        }
    }
}

PWN堆house-of-kauri

实验

实验1

实验2

题目1_pwn1

题目2_