看看 syscall 需要用到的 one_gadget：

rcx 好像用不到其实。。

然后再找一段可写入的 bss 段调用下 read 写入，因为没有现成的 /bin/sh：

随便用中间一点的 0x6c2000

syscall：

exp：

ctfshow{f04d9512-e1ee-4bdf-8537-e5ae96374c79}

我用 flat 尝试写 payload 结果失败了，把错误归咎于 flat 没法自动识别 32 位与 64 位程序 :(

用 p64() 的方式就对了