Init. Commit

2026-09-17 00:50:07 +03:00
commit 880d8698d6
115 changed files with 7611 additions and 0 deletions
@@ -0,0 +1,47 @@
+<h1 align="center">HeifTrack</h1>
+
+<p align="center">
+  <img src="https://img.shields.io/badge/category-PWN-blueviolet" alt="PWN"/>
+  <img src="https://img.shields.io/badge/difficulty-medium-orange" alt="medium"/>
+</p>
+
+HeifTrack проверяет последовательности кадров с камер. Он загружает chunk, привязывает его к воспроизведению и сверяет таблицы. В ELF `heiftrack` обнаруживаем, что ошибочный chunk удаляется, но воспроизведение продолжает ссылаться на него.
+
+## Решение
+
+Chunk занимает 108 байт:
+
+```c
+struct chunk {
+    uint32_t magic;
+    uint32_t frames;
+    char label[32];
+    uint32_t approved;
+    char pad[64];
+};
+```
+
+Экспорт проверяет два поля по указателю `playback`: `magic == 0x48454946` и `approved == 0x54524143`. У обычного загруженного объекта `approved` равен нулю.
+
+Сначала выбираем `1) load chunk`, затем `2) bind track`. Теперь и `chunk0`, и `playback` указывают на один объект. В `3) validate tables` вводим несовпадающие значения `1`, `2`, `3`. Валидация делает `free(chunk0)` и обнуляет `chunk0`, но про `playback` забывает. Получаем **use-after-free**.
+
+Остаётся занять освободившуюся память своими данными. Пункт `4) add metadata item` выделяет блок того же размера, 108 байт. Готовим поддельный chunk:
+
+```python
+import struct
+
+payload = struct.pack("<II", 0x48454946, 9)
+payload += b"approved-track".ljust(32, b"\x00")
+payload += struct.pack("<I", 0x54524143)
+payload = payload.ljust(108, b"\x00")
+```
+
+Поле `approved` оказывается на смещении `40`, как и у настоящего объекта. Выбираем `4) add metadata item`, на запрос `metadata bytes:` передаём строку `108`, затем на `payload:` отправляем 108 байт payload без добавленного перевода строки. Аллокатор переиспользует освобождённый блок, поэтому висячий `playback` теперь указывает на поддельный объект.
+
+Выбираем `5) verify playback`. Обе проверки проходят, и сервис выводит флаг.
+
+[Солвер](solve/solve.py).
+
+## Флаг
+
+`caplag{conflicting_track_tables_kept_the_chunk_alive}`