matrosov Dec 23 2010 at 18:17

8 (CVE-2010-3971)

2 min

1.1K

Information Security*

+36

Comments 15

Volshebnyi Dec 23 2010 at 19:05

>> А точнее использовалась особенность загрузки mscorie.dll от .NET Framework 2.0, которая была скомпилирована без флага и загружается всегда по одинаковому базовому адресу (0х63f00000).
Объясните пожалуйста. Эксплоит обращается к dll по этому адресу или подменяет код по этому адресу своим? То есть, что было бы, если бы dll была скомпилирована с флагом, название которого не упоминается?

matrosov Dec 23 2010 at 19:10

mscorie.dll скомпилирована с фиксированным базовым адресом от которого идет адресация загружаемого в память модуля. Если бы использовалась опция для радномизации базового адреса, тогда он менялся при каждой загрузке этого модуля и код эксплойта не мог бы использовать его для выполнения ROP.

ixSci Dec 23 2010 at 20:47

Под флагом имеется ввиду ASLR.

DemonShi Dec 23 2010 at 19:39

Буду благодарен, если дадите посмотреть как эксплойт выглядит сейчас.
Тк возможности запустить скрипт на Ruby сейчас нету..(

negodnik Dec 23 2010 at 20:11

До времен CSS были рекурсивные и window.open ;)

negodnik Dec 23 2010 at 21:29

рекурсивные iframe & frameset =)

negodnik Dec 23 2010 at 20:16

рекурсивные

negodnik Dec 23 2010 at 20:24

шутка не удалась

UFO landed and left these words here

Laytlas Dec 23 2010 at 20:34

Почему я опять не удивлен?

bolk Dec 24 2010 at 01:28

Не знаю почему. Чем популярнее браузер, тем больше дыр в нём находят.

Например, релизы FireFox 3.6.13/3.5.16 исправляют 13 уязвимостей (!), 11 из них — критические. Плюс ещё 20 ошибок приводят к краху. Proof: www.opennet.ru/opennews/art.shtml?num=28953

Klaus Dec 23 2010 at 21:42

а что за код такой интересный?

3ced63a5 8bff это листинг или это часть кода?

AlexanderYastrebov Dec 23 2010 at 22:18

3ced63a5 8bff mov edi,edi

3ced63a5 — адрес инструкции
mov edi,edi — инструкция
8bff — машинный код инструкции

А вот насчет mov edi, edi — очень интересно, это двухбайтовая заглушка (она ничего не делает) для поддержки патчинга запущенной программы на лету.
При компиляции программы с поддержкой хотпатчинга, компилятор перед каждой функцией оставляет 5 байт «пустыми».
Теперь если надо пропатчить запущенную программу, на место этих пяти байт пишется инструкция перехода на код патчинга JMP XXXX (5 байт), затем на место mov edi,edi (2 байта) пишется инструкция ближнего перехода на эту инструкцию JMP XXXX.
Почему mov edi, edi, а не два nop — для того чтобы перезаписать за один раз. Иначе может получится что в потоке, исполняющем эту функцию, адрес текущей команды (IP) пришелся как раз на второй nop.

Klaus Dec 24 2010 at 19:07

Спасибо, про «хотпатчинг» не слыхал, почитаю

usatikov Apr 8 2011 at 01:42

В чём именно выражается использование ROP при написании эксплойта?
Ваша ссылка на Metasploit уже не работает, я нашел только такой вариант: www.breakingpointsystems.com/community/blog/ie-vulnerability/. Там всё предельно банально, без ROP. Или я что-то не так понял?