#function-pointer

Mango 객체를 Apple 로 다운캐스트하는 static_cast 한 줄이 전부다. 두 클래스의 멤버가 같은 오프셋 +8 에 놓여 있는데 한쪽은 함수 포인터, 다른 쪽은 char 배열이라 strncpy 로 8바이트를 쓰면 함수 포인터가 통째로 바뀐다. PIE 가 꺼져 있어 getshell 주소는 고정이고, strncpy 의 NUL 패딩 덕에 3바이트만 보내도 포인터가 정확히 완성된다.

ptr = malloc(0x20) 과 over = malloc(0x20) 이 힙에서 연속으로 잡히는데 scanf("%s", ptr) 에 길이 제한이 없다. ptr 청크를 지나 over 청크의 첫 멤버인 함수 포인터 over->table 까지 덮어, main 끝의 over->table() 호출을 get_shell 로 돌렸다. 오프셋은 타깃 glibc 2.23 기준 0x28(40) 이었고, 로컬 glibc 와 달라 한 번 헤맸다.