【BUUCTF - PWN】ciscn_2019_s_3

checksec一下，栈溢出 IDA打开看看，main函数内只有一个call vuln 注意到vuln函数末尾并无使用leave指令，即直接把以前push的rbp看成return address 咱们要ROP的话offset只须要0x10 程序里还给了一些gadget，注意到当rax=0x3b时syscall为execve，只须要让rdi="/bin/sh"、rsi=0、rdx=0便可get sh

>>阅读原文<<