1000levevls(xctf)

0x0 程序保护和流程

保护：

流程：

main()

输入1进入go()，输入2进入hint()，输入3退出程序。

go()

根据输入数字的大小确定check()的递归次数。

可以发现存在栈溢出漏洞。

hint()

如果unk_20208C的值不为零就输出system函数的地址。

0x1 利用过程

1.因为程序开启了pie所以无法通过栈溢出泄露地址。只能看一下能否修改unk_20208C的值输出system函数的地址，但是找不到修改unk_20208C的方法。

2.只能看一下system函数的地址是否在内存中出现过。

发现只要进入hint()就会将system函数的地址存放到当前rbp-0x110的位置。而go()中的v5变量也位于rbp-0x110的位置，并且只要输入的level小于等于零v5就不会被初始化。也就是调用完hint()后再调用go()的时候只要输入的level小于等于零v5的值就是system函数的地址。之后还可以输入一个有符号的值与v5进行计算，只要减去system函数的基地址在加上one_gadget的地址就可以在栈上留下one_gadget的地址了。由于地址的大小肯定比100大，所以在第100次时的rsp+0x18的地方存放着one_gadget的地址。

就像上图一样，此时rbp=0x7FFC438DCD50。

3.但是如何使得ret指令指向rsp+0x18的位置就有点难度了，因为至今为止没有泄露过libc和elf的基地址，无法使用"pop | ret"。通过查找资料知道了vsyscall这个每次加载不会改变其地址的gadget。