-
-
CVE-2012-4792分析遇到的问题
-
发表于: 2013-6-6 00:29
-
在查看对CVE-2012-4792的分析过程中发现如下问题不是很明白。原谅我这个弱菜吧。
（1）对于CButton的构造函数地址和析构函数的偏移地址的获取不知道怎么获取（也就是说不知道CButton的构造和析构函数在哪里）。在回复的第一个里面作者回答是通过找到CButton的构造和析构函数的地址。
ps：正因为不知道偏移地址，所以无法打印出正确的日志。
下面是作者自己找到的偏移，在我机器上偏移可能不一样，所以打印出来的结果很郁闷，竟然没构造函数就直接析构了，所以猜测可能是偏移搞错了，不能照搬作者的偏移。
1:025> bp !mshtml + 0x414c27 “.printf \”Created CButton at %p\”, eax;.echo;g”
1:025> bp !mshtml + 0x414ae1 “.printf \”Deleting CButton at %p\”, eax;.echo;g”
（2）在sxe ld:mshtml过程中发现该模块已经加载，如何才能在这个模块加载之前下断点呢。。
我是先打开windbg，然后打开ie，然后windbg attach上去，但是一附加上去就已经加载好了mshtml了，所以就很尴尬啊。。哎，弱菜的悲哀。
221K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3u0D9L8$3N6Q4x3X3g2W2P5r3!0V1N6i4y4A6L8Y4c8W2L8q4)9J5k6h3y4G2L8g2)9J5c8U0t1H3x3e0y4Q4x3V1j5H3x3g2)9J5c8U0l9J5i4K6u0r3K9r3q4H3M7s2W2Q4x3X3c8F1k6i4N6Q4x3X3c8&6k6h3q4J5i4K6u0V1j5h3&6S2L8s2W2K6K9i4y4Q4x3X3c8G2k6W2)9J5k6r3y4$3k6g2)9J5k6o6t1H3x3e0u0Q4x3X3b7@1y4K6V1J5i4K6u0r3
（1）对于CButton的构造函数地址和析构函数的偏移地址的获取不知道怎么获取（也就是说不知道CButton的构造和析构函数在哪里）。在回复的第一个里面作者回答是通过找到CButton的构造和析构函数的地址。
ps：正因为不知道偏移地址，所以无法打印出正确的日志。
下面是作者自己找到的偏移，在我机器上偏移可能不一样，所以打印出来的结果很郁闷，竟然没构造函数就直接析构了，所以猜测可能是偏移搞错了，不能照搬作者的偏移。
1:025> bp !mshtml + 0x414c27 “.printf \”Created CButton at %p\”, eax;.echo;g”
1:025> bp !mshtml + 0x414ae1 “.printf \”Deleting CButton at %p\”, eax;.echo;g”
（2）在sxe ld:mshtml过程中发现该模块已经加载，如何才能在这个模块加载之前下断点呢。。
我是先打开windbg，然后打开ie，然后windbg attach上去，但是一附加上去就已经加载好了mshtml了，所以就很尴尬啊。。哎，弱菜的悲哀。
221K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3u0D9L8$3N6Q4x3X3g2W2P5r3!0V1N6i4y4A6L8Y4c8W2L8q4)9J5k6h3y4G2L8g2)9J5c8U0t1H3x3e0y4Q4x3V1j5H3x3g2)9J5c8U0l9J5i4K6u0r3K9r3q4H3M7s2W2Q4x3X3c8F1k6i4N6Q4x3X3c8&6k6h3q4J5i4K6u0V1j5h3&6S2L8s2W2K6K9i4y4Q4x3X3c8G2k6W2)9J5k6r3y4$3k6g2)9J5k6o6t1H3x3e0u0Q4x3X3b7@1y4K6V1J5i4K6u0r3
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
