针对网页木马（CVE-2011-1260）的分析与实践

本文假设你对漏洞挖掘，漏洞分析，汇编这些不太了解，但是对C，C++有一定了解。首先我们找一个具体的公开的例子——CVE-2011-1260，释放后重用漏洞。首先我们上网找一下这个漏洞的POC，得到如下（运行环境XP SP3，IE8，开启DEP（稍后解释什么是DEP））：

 
 
 
 

  
  
  
  
 
  
  
  
  
 
  
  
  
  
 
  
  
  
  
document.body.innerHTML+="TAG_1"; 
  
  
  
  
document.body.innerHTML+="TAG_3"; 
  
  
  
  
document.body.innerHTML += "AAAAAAA"; 
  
  
  
  
document.body.innerHTML+="TAG_11"; 
  
  
  
  
 
  
  
  
  
 
  
  
  
  
 
 
 
 
 

0×1 漏洞分析

我们双击打开，发现IE崩溃了，到底是什么原因呢？
我们用windbg附加进程（调试IE最好还是用微软的调试器，毕竟微软主场）：附加后，按g，回车，如果限制了activeX控件运行，就按允许，然后windbg在崩溃的时候停止了：

从eax+70的地址取出数据，显然这个地址不合法，所以导致错误。我们按knL回车，从栈查看函数的调用情况：

不清楚栈的看这里，清楚的跳过：函数调用有很多种，这里指stdcall，在每一次调用之前，都会将参数压栈，从右到左，比如Void A（int a，int b），汇编就类似push，push，call，Call指令会将call指令的下一条指令的地址压栈，所以最后栈看起来是这样的：（注意，压栈是从高往低压）

 对应源代码：

所以我们从栈中可以看出崩毁之前调用过什么函数，以及现在在什么函数里面,函数返回地址等等很多信息。

 这里我们可以看到是在CElement：：Doc函数里面崩毁，看看附近的汇编指令：

 取ecx地址的内容返回给eax，但是eax是0，导致后来的内存读取错误，显然ecx出了问题。一般情况下，在thiscall中，第一个参数是this指针(用ecx传递)，而对象+0x0h的地方储存的是虚函数表的地址，所以可得这里是取虚函数表偏移0×70的地方的虚函数指针，再调用这个虚函数。

显然这里的ecx就是CElement对象，这个对象是IE里面很多元素的父类，如(CObjectElement，对应