基本信息 * SVG相关漏洞 * 发现者：ifratric (Project Zero) PoC 37 feConvolveMatrix是SVG的一个滤镜元素，设置滤镜的一些效果。filter标签用来定义滤镜 图形元素对滤镜的引用，给图形添加滤镜 38 出错的点在于feConvolveMatrix元素中的kernelUnitLength属性值的处理。 kernelUnitLength in W3C: The first number is the value. The second number is the value. A negative or zero value is

Read More

这个漏洞是在5.30号正式公布的，国内有很多文章有关于该漏洞的预警，也就是介绍下影响范围，版本之类的信息，而且基本都是一份的各种转载。在freebuf上有一个比较详细的介绍，但是也主要是以翻译为主，并未讲的很透彻。 http://www.freebuf.com/vuls/136156.html 因此准备对这个漏洞进行分析，并依据github上公布的PoC对该漏洞复现。 主要解决两个问题： 1. 造成该漏洞的原因是什么? 补丁如何修补 2. 利用该漏洞能够达到怎样的效果 漏洞成因与补丁修复 原因是在Linux执行sudo操作的时候，需要获取进程的tty设备号，而获取的地方是在/proc

Read More

nginx 提权漏洞 只是一个复现的过程，环境搭建。具体分析见创宇的一篇文章，写的很详细。 http://blog.knownsec.com/2016/11/nginx-exploit-deb-root-privesc-cve-2016-1247/ 安装说明 8 参考： http://bbs.77169.com/forum.php?mod=viewthread&tid=355577 安装过程 首先尝试安装nginx 1.4.6-1ubuntu3，但是报错。 9 因此安装一下nginx-full=1.4.6-1ubuntu3 10 因此安装步骤 11 安装版本为 12 查看文件夹权限

Read More

基本信息 该漏洞出现在 IIS 6.0 的WebDAV服务上，经过分析确定是在httpext.dll中进行处理，其中PoC以及相关的出错函数也已经给出，在ScStoragePathFromUrl中，大致看一下该函数，就是将传入的URL存储。最后的一个memcpy将最终导致覆盖到虚表指针 导致任意代码执行。 附加的是w3wp.exe @Keoyo_k0shl 参考：https://www.seebug.org/vuldb/ssvid-92834 环境： Win server 2003 sp2 IIS 6.0 开启 WebDAV 断点进入(关键断点位置) 50 第一次命中 edx 作为参

Read More

UAF 元素创建 分配了多大内存, 一般静态分析（用于后面的占位） 元素释放 重用 1. 一般来说 开启hpa ust能够追踪到异常 内存的创建，释放 重用 过程 2. 直接断点 所有创建 的元素 与 后面重用的元素对象的地址 来判断 是那个对象 的UAF crash info 0 1 create https://github.com/jostw/gecko 确定元素创建的函数 2 核心函数 ur继续查看反汇编代码 uf查看整个函数反汇编代码 ub以该地址为结束地址 第一个 3 第二个 4 找到对应汇编函数偏移 设置断点 确定为 第二个 地址偏小的一个 5 运行后拿到信息

Read More

调试前 分析用的PoC来自于泉哥的漏洞战争一书。PoC见文章最后。 跟着PoC走一遍，crashme函数中基本都是在对v:stroke在进行处理，包括对其dashstyle属性的操作，Google一下v:stroke msdn，该部分属于VML（矢量标记语言），类似于IE中的画笔，绘制图形之类的。 环境 win7 sp1 32 IE8 8.0.7601.17514IS 在已经装了IE11的机器上卸载更新达到IE8后，表示无法触发Crash（建议使用一个纯IE测试） 分析 其实这个PoC已经能够很明显控制到EIP了， 21 发现是在访问edx+70h时出现错误，而edx+70h = 4b5f

Read More

几个核心的函数 HeapCreate 63 HeapAlloc

Read More

windbg 调试来看XpSp3 heap 基本概念 堆 一个进程能有多个堆，+0x58指向堆中的第一个堆段，C++一般用HeapCreate创建，每个堆至少有一个堆段 堆段 一个堆最多有64个堆段，+0x20(FirstEntry)指向堆段中的第一个堆块，C++一般用HeapAlloc创建 堆块 实际的堆内存使用 关于堆的实际分配使用 堆管理器通过Windows虚拟内存管理器分配一大块内存(堆段)，这块内存将被分为大小不同的堆块来满足实际的分配。 当一个堆段耗尽所有空间后，堆管理器将创建另一个新的堆段。 堆管理流程 堆管理包括前端堆管理和核心堆层管理两个部分，前端堆管理 主要用于快速的堆

Read More