【BUUCTF - PWN】ciscn_2019_s_3

checksec一下，棧溢出 IDA打開看看，main函數內只有一個call vuln 注意到vuln函數末尾並無使用leave指令，即直接把以前push的rbp看成return address 咱們要ROP的話offset只須要0x10 程序裏還給了一些gadget，注意到當rax=0x3b時syscall爲execve，只須要讓rdi="/bin/sh"、rsi=0、rdx=0便可get sh

>>阅读原文<<