0x0off

结合 ctfshow pwn031 复盘在 PIE 开启场景下的 ret2libc 利用思路，重点整理基址泄露、ebx 修复与两阶段 payload 的构造过程。

结合 ctfshow pwn30 复盘 ret2libc 的基本打法，以及题目不给 libc 时用 LibcSearcher、glibc-all-in-one 和 patchelf 缩小并验证候选环境的思路。

这题的关键在于 `stdout` 被关闭后，如何把输出重定向回可见通道。核心思路是把标准输出重定向到标准输入对应的终端或管道方向，从而重新拿到可见输出。

这题的关键不是复杂利用，而是分清 shell 重定向里 `>` 和 `>>` 的区别。远程环境里只能在第一次读取时拿到真实 flag，后续内容会被覆盖或追加污染。

这道题的关键不在栈溢出，而在 `system()` 调用前对用户输入做了拼接，最终可以利用命令分隔符和通配符绕过等待逻辑，直接读出 flag。

第一次做 ORW 题的完整复盘，重点记录 scanf 与 read 混用、二段栈迁移误区，以及远程 flag 路径不一致时的处理思路。t