ret2text Ctfhub

简单的栈溢出gets函数v4在ebp-0x70shiftF12先传入形参因为是64位可以查看是将sh写入rdi寄存器中之后调用函数system将常量区的地址写入rdi寄存器中之后对rdi进行寄存器间接寻址.rodata字符串在常量区的位置secure0x41:为该字符串被函数调用的位置查看secure函数确实有我们需要的地址如下或者自己计算函数地址0x41最后编写ebp的起始地址为ebp0所以需要覆盖ebpform pwn import * ioprocess(./pwn) payloadflat([bA*0x70]p64(0x1111)p64(0x0x4007B8)]) io.send(payload) io.interactive()tips程序中本存在的字符串是存放在常量区的当函数引用的时候是讲字符串地址写进地址而scanf等输入是将内容直接写入地址中当引用这两种字符串时都为间接寻址只不过一个地址在常量区一个地址在栈上