n_hhxx的博客

原创 [CISCN 2019华南]PWN3

而这个地址一看就是栈上面的，所以只要算出这个地址和binsh地址的相对偏移，就可以在程序每次执行的时候算出binsh的地址了！注意：最后只执行了 ret（只会影响rsp的指向），并没有leave指令：mov rbp，rsp | pop rbp，所以old rbp没有被pop出去，rbp的指向不变，ret直接把rbp的值作为返回地址弹入rip，所以我们要ROP的话offset只需要0x10。write可以将buf中0x30内容输出,但是buf只有0x10的大小，之后还会打印出buf之后0x20的数据。