有些时候 pwn 题目中为了增加难度（实际是为了恶心选手），会使用类似 seccomp 的函数来禁用一部分系统调用，往往会把 execve 这种系统调用禁用掉，基本上拿 shell 是不可能了，但是我们 pwn 题是面向 flag 的，所以还是可以通过 orw（ open-read-write ）的方法来读出 flag 的。在栈上的 orw 和 普通 rop 其实没有什么特别大的区别，这里主要谈一谈堆利用中的白名单绕过。

…

周末两天都在打这个比赛，毕竟是高质量的国际赛，难度确实是有点大，我也只做出了这道比较传统并且简单的题目。

首先是程序的逆向，不知道对 binary 做了什么处理，反正用 IDA 分析乱的一塌糊涂，但是和动调结合还是可以理解清楚程序的功能的。总体来讲在 manage movie 和 manage friend 中仅有一个 share movie with friend 这个功能存在有限的 UAF，也就是通过先分享电影给朋友，然后删掉朋友，仍然是可以输出朋友的信息的，通过这样的方法可以 leak 出堆地址和 libc 地址。比较坑爹的是，在靶机使用的 libc 下，main_arena + 0x60 的偏移的最低一字节正好是 \x00，无法输出。但是由于可以申请大小为 \x90 的 chunk，所以可以通过把 unsorted bin 压入 small bin 的方法来 leak。

…