简单分享一下解题过程。
下载题目，里面有三个文件，如图：
DockerFIle文件：
net.sh文件：
shell文件是一个elf，文件情况：
64位，Full RELO，NX，PIE
丢进IDA看一下，只有一个main和一个sub：
函数功能是：
（1）main 循环 50 次接收输入的命令，并交给 sub 处理；
（2）命令 ‘exit’ 退出程序；
（3）命令 ’ls‘ ，调用 puts 输出一个 “file.txt” 字符串
（4）命令 ‘cat’ ，从 open 的 file.txt 中读 100 个字节
（5）命令 ‘echo ’ ，将字符串 ‘echo ’ 后面的字符串写入 stream 。
分析函数的问题，很明显，在子函数里，一个字符串溢出漏洞：
打开Linux，根据DockerFile搭好环境............................
连接IDA开始调试，在 printf 处下断点观察栈的情况，蓝色位置是此时的 rsp 位置，观察栈上的数据，有 libc、main、和栈指针可以利用，
考虑到是 x64 程序 + Full Relro保护，漏洞思路就是构建栈指针链，实现任意地址读写。
接下来就是找指针链，发现参数 17 的 指向 参数 45 ，而参数 45 也是一个在栈上的地址
参数 17：
参数 45：
这样一来，通过参数 17 修改 参数45 的最低位，就可以改写参数 45 指向的一个完整的 QWORD 数据，实现任意地址读写
接下来就是找 get shell 的办法，观察程序内可利用的函数或者代码段，，，，，
------------------没有-----------------------
除了几个初始化的函数，就是 main、sub、跳转用的 bnd jmp 和 extern，，，，那只能自己构建ret2system了。
程序是 x64 ，所以我们在选择 ret2 的方法时，还要考虑 system 参数的构造问题，这里通过动态调试，发现 fclose 函数在结束之后，rdi 会指向一个不变的堆地址：
并且这个堆地址和 main 函数下变量 s 的偏移是 0x258
为了保证在调用 system 时，rdi 的值不被覆盖，这里要求控制 main 的循环次数，使 sub 返回到 main 时，循环正好结束并执行 leave retn，执行流程如图所示（丑不拉几的线条）：
所以接下来就是枯燥无聊的写 python 脚本，
要完成的任务有：
（1）在栈的高处构建 system 的栈空间（我选了 main 栈上方 0x3000处，为了防止栈数据被其他函数覆盖），并保证 ret2system 时，rsp 对齐到 0x10；
（2）main 的返回地址定向到 main 的 leave，这样进行 两轮 mov rsp , rbp pop rbp 之后，就可以开辟出 system 调用需要的栈空间；
（3）在 fclose 返回时 rdi 的地址处写入字符串 ‘/bin/sh\n’ ，这里要注意从高地址向地址写，因为这里的 rdi 低位数据里存放了堆的数据，修改掉之后会导致 fopen 异常；
（4）修改 main 函数存放 for 循环次数的变量 i ，并且要求 i 的值满足：最后一轮向 fclose 返回的 rdi 地址写入数据后，main 函数的 for 循环结束（如果不结束循环，rdi的值会被覆盖）
main 函数的栈空间修改效果（修改了 rbp，这里本来是 0 ，修改了 ret 的返回栈，这里原本是 libc_start_main + 0xXX
main + 0xA4：
为调用 system 构造的高位栈空间：
然后大功告成：
写在最后，本人是个纯纯 0 基础菜鸟，以前只学过一丢 win 逆向，从这道题目我才开始接触 linux 和格式化字符串的漏洞，，，，，，
文章是赶时间写的，如果有什么不正确的地方或者疑惑的地方，欢迎留言交流讨论~~~
总的来说，我对ruby还比较陌生，我正在为我正在创建的对象编写一些rspec测试用例。许多测试用例都非常基础，我只是想确保正确填充和返回值。我想知道是否有办法使用循环结构来执行此操作。不必为我要测试的每个方法都设置一个assertEquals。例如:describeitem,"TestingtheItem"doit"willhaveanullvaluetostart"doitem=Item.new#HereIcoulddotheitem.name.shouldbe_nil#thenIcoulddoitem.category.shouldbe_nilendend但我想要一些方法来使用
我有一个字符串input="maybe(thisis|thatwas)some((nice|ugly)(day|night)|(strange(weather|time)))"Ruby中解析该字符串的最佳方法是什么？我的意思是脚本应该能够像这样构建句子:maybethisissomeuglynightmaybethatwassomenicenightmaybethiswassomestrangetime等等，你明白了......我应该一个字符一个字符地读取字符串并构建一个带有堆栈的状态机来存储括号值以供以后计算，还是有更好的方法？也许为此目的准备了一个开箱即用的库？
我的目标是转换表单输入，例如“100兆字节”或“1GB”，并将其转换为我可以存储在数据库中的文件大小(以千字节为单位)。目前，我有这个:defquota_convert@regex=/([0-9]+)(.*)s/@sizes=%w{kilobytemegabytegigabyte}m=self.quota.match(@regex)if@sizes.include?m[2]eval("self.quota=#{m[1]}.#{m[2]}")endend这有效，但前提是输入是倍数(“gigabytes”，而不是“gigabyte”)并且由于使用了eval看起来疯狂不安全。所以，功能正常，
在我的Rails(2.3，Ruby1.8.7)应用程序中，我需要将字符串截断到一定长度。该字符串是unicode，在控制台中运行测试时，例如'א'.length，我意识到返回了双倍长度。我想要一个与编码无关的长度，以便对unicode字符串或latin1编码字符串进行相同的截断。我已经了解了Ruby的大部分unicode资料，但仍然有些一头雾水。应该如何解决这个问题？ 最佳答案 Rails有一个返回多字节字符的mb_chars方法。试试unicode_string.mb_chars.slice(0,50)
对于具有离线功能的智能手机应用程序，我正在为Xml文件创建单向文本同步。我希望我的服务器将增量/差异(例如GNU差异补丁)发送到目标设备。这是计划:Time=0Server:hasversion_1ofXmlfile(~800kiB)Client:hasversion_1ofXmlfile(~800kiB)Time=1Server:hasversion_1andversion_2ofXmlfile(each~800kiB)computesdeltaoftheseversions(=patch)(~10kiB)sendspatchtoClient(~10kiBtransferred)Cl
大约一年前，我决定确保每个包含非唯一文本的Flash通知都将从模块中的方法中获取文本。我这样做的最初原因是为了避免一遍又一遍地输入相同的字符串。如果我想更改措辞，我可以在一个地方轻松完成，而且一遍又一遍地重复同一件事而出现拼写错误的可能性也会降低。我最终得到的是这样的:moduleMessagesdefformat_error_messages(errors)errors.map{|attribute,message|"Error:#{attribute.to_s.titleize}#{message}."}enddeferror_message_could_not_find(obje
我试图获取一个长度在1到10之间的字符串，并输出将字符串分解为大小为1、2或3的连续子字符串的所有可能方式。例如:输入:123456将整数分割成单个字符，然后继续查找组合。该代码将返回以下所有数组。[1,2,3,4,5,6][12,3,4,5,6][1,23,4,5,6][1,2,34,5,6][1,2,3,45,6][1,2,3,4,56][12,34,5,6][12,3,45,6][12,3,4,56][1,23,45,6][1,2,34,56][1,23,4,56][12,34,56][123,4,5,6][1,234,5,6][1,2,345,6][1,2,3,456][123
我正在使用的第三方API的文档状态:"[O]urAPIonlyacceptspaddedBase64encodedstrings."什么是“填充的Base64编码字符串”以及如何在Ruby中生成它们。下面的代码是我第一次尝试创建转换为Base64的JSON格式数据。xa=Base64.encode64(a.to_json) 最佳答案 他们说的padding其实就是Base64本身的一部分。它是末尾的“=”和“==”。Base64将3个字节的数据包编码为4个编码字符。所以如果你的输入数据有长度n和n%3=1=>"=="末尾用于填充n%
我有一大串格式化数据(例如JSON)，我想使用Psychinruby同时保留格式转储到YAML。基本上，我希望JSON使用literalstyle出现在YAML中:---json:|{"page":1,"results":["item","another"],"total_pages":0}但是，当我使用YAML.dump时，它不使用文字样式。我得到这样的东西:---json:!"{\n\"page\":1,\n\"results\":[\n\"item\",\"another\"\n],\n\"total_pages\":0\n}\n"我如何告诉Psych以想要的样式转储标量？解
在我的应用程序中，我需要能够找到所有数字子字符串，然后扫描每个子字符串，找到第一个匹配范围(例如5到15之间)的子字符串，并将该实例替换为另一个字符串“X”。我的测试字符串s="1foo100bar10gee1"我的初始模式是1个或多个数字的任何字符串，例如，re=Regexp.new(/\d+/)matches=s.scan(re)给出["1","100","10","1"]如果我想用“X”替换第N个匹配项，并且只替换第N个匹配项，我该怎么做？例如，如果我想替换第三个匹配项“10”(匹配项[2])，我不能只说s[matches[2]]="X"因为它做了两次替换“1fooX0barXg
