一. PWN1
题目：nc 114.116.54.89 10001
1. 直接kali里面跑nc
2.ls看看有啥
3.明显有一个flag
cat查看一下
搞定
二 . PWN2
题目：给了nc 114.116.54.89 10003还给了一个附件
1.放到ubantu中file一下，，64位，动态链接
2.用64位的ida打开
看一下main函数按f5，可知read函数有一个缓冲区漏洞
后面还有一个getshell函数
那么思路也就是把溢出的地址改为getshell函数执行的地址
在gdb动态调试程序
按c继续执行
click 100，整100个字符串测试偏移地址
cyclic 100
aaaabaaacaaadaaaeaaafaaagaaahaaaiaaajaaakaaalaaamaaanaaaoaaapaaaqaaaraaasaaataaauaaavaaawaaaxaaayaaa
看看栈的情况，第一行这个栈保存了44个字符
看看寄存器的情况，可以知道ret之前保存了44个字符，也就说另外56个字符是填满了ret后面的区域
那么56个字符之后就是getshell的地址（写poc getshell地址的时候记得小端法）
三.pwn4
1.首先拿到程序不要慌 看看是什么文件，有没有什么保护措施
file pwn4 很清楚是64位 动态的
checksec看看有没有保护措施 很显然没有
2.知道没有什么保护措施 我们就放到ida 深入分析一下
mian函数进去看看是啥，很明显哈 可以看到read这个函数出现缓冲区溢出的问题
这个时候 我们清楚是缓冲区溢出了 ，就要看看这个程序里面有没有什么shell 或者什么'/bin/sh'
目的是为了溢出之后直接覆盖让他执行shell
shift+F12：查找字符串
可以i看见有个shll 双击进去看看
可以发现这个shell就是个字符串没啥用
我们直接搜一下有没有'/bin/sh'
ROPgadget --binary pwn4 --string '/bin/sh'
可以发现啥都没有重新查看一下字符串，可以发现有个$0这个在linux就可以当作shell，
接下来的思路就是把这个$0当参数传进system函数，为啥要传入system函数呢
原因就是因为system()会调用fork()产生子进程，由子进程来调用/bin/sh -c string来执行参数string字符串所代表的命令，此命令执行完后随即返回原调用的进程。
意思就是 system可以调用fork（）产生子进程 让$0执行，不然$0是不是只是一个字符串呢，不能当作程序执行就没有意义，system函数就饿可以执行它
好，既然要把$0当参数传进system函数，我们就要知道三个东西
1.因为64位依赖寄存器传参 当然有很多寄存器 这玩意是由顺序的，不是说哪个存都行，这里面就一个参数 所以rdi先存，顺序是分别用rdi、rsi、rdx、rcx、r8、r9来传递参数。所以得知道rdi的地址
2.得知道$0的地址吧
3.system地址得知道吧
好一个个来
先是rdi，可以看见是0x00000000004007d3
$0的地址 0x000000000060111f
system直接看0x000000000040075A
3.就可以写exp把他们串起来
emmm思路是这样
先先填充缓冲区，大小为0x10，然后覆盖rbp，因为是64位所以8个字节，传入rdi，咋传呢 pop就行了 然后传入ret的地址和$0,将栈中$0的地址弹出，存入rdi作为参数，再传入system地址进行调用
exp借用deedmind老哥！感谢
成功拿到flag