劫持TLS绕过canary pwn88
首先了解一下这个东西的前提条件和原理
前提：
-
溢出字节够大，通常至少一个page（4K）
-
创建一个线程，在线程内栈溢出
原理：
在开启canary的情况下，当程序在创建线程的时候，会创建一个TLS（Thread Local Storage），这个TLS会存储canary的值，而TLS会保存在stack高地址的地方。
那么，当我们溢出足够大的字节覆盖到TLS所在的地方，就可以控制TLS结构体，进而控制canary到我们想要的值，实现ROP
然后具体写一下这个题目，毫无疑问canary是开启的
ida打开看一下
main函数里面就这些，我来解释一下pthread_create这个函数，相当于创建了一个进程去执行start函数，而pthread_join让
一个线程等待另一个线程结束。如果代码中没有pthread_join主线程就会很快结束从而使整个进程结束，从而使创建的线程没有机会开始 执行就结束了。
加入pthread_join后，主线程会一直等待直到等待的线程结束自己才结束，使创建的线程有机会执行。
跟进start函数看一下
跟进lenth和readn
相当于，我们一开始输入一个长度，然后readn函数会把我们再次输入的东西放入s中，因为长度最大可以到0x10000，而s长度只有0x1010所以有栈溢出
有canary保护我们可以通过覆盖高地址来覆盖掉TLS，然后就是正常的ROP然后栈迁移到bss段执行one_gadget
exp:
这里覆盖的长度应该大于等于0x1900,否则可能无法覆盖掉TLS进而覆盖掉canary
标签：TLS,覆盖,pwn89,创建,canary,线程,pthread From： https://www.cnblogs.com/CH13hh/p/18117401