i春秋的一篇关于格式化字符串文章把任意地址的读和写讲的很清晰：
https://bbs.ichunqiu.com/thread-43624-1-1.html
方法一：先输入一个 %p 泄露出数组的首地址，再retn处下个断点，用返回地址减去数组的首地址，计算出他们之间的相对偏移。因为栈的地址每次都是变化的，所以我们每次都要泄露栈的地址，然后计算出返回地址。
重要的步骤就是利用fmtstr_payload0往bss段写shellcode，然后将返回地址改为bss段的shellcode的处。
方法二：这里有个while循环，我们直接泄露一个已经执行的got表，利用LibcSearcher找到对应的libc版本，算出基址，紧接着算出system的真实地址，利用fmtstr_payload 修改一个已经执行的函数的got表为system，并且输入‘/bin/sh’
