Ta的论坛

30799F92  |. A1 B4C48530    MOV EAX,DWORD PTR DS:[3085C4B4]
30799F97  |. 8945 F4        MOV DWORD PTR SS:[EBP-C],EAX
30799F9A  |. 8D45 B0        LEA EAX,DWORD PTR SS:[EBP-50]
30799F9D  |. 6A 00          PUSH 0
30799F9F  |. 50             PUSH EAX
30799FA0  |. A3 B4C48530    MOV DWORD PTR DS:[3085C4B4],EAX
30799FA5  |. E8 0ADD86FF    CALL EXCEL.30007CB4
30799FAA  |. 85C0           TEST EAX,EAX
30799FAC  |. 59             POP ECX
30799FAD  |. 59             POP ECX
30799FAE  |. 74 20          JE SHORT EXCEL.30799FD0
30799FB0  |. 8B45 F4        MOV EAX,DWORD PTR SS:[EBP-C]
30799FB3  |. 6A 10          PUSH 10
30799FB5  |. FF75 F8        PUSH DWORD PTR SS:[EBP-8]
30799FB8  |. A3 B4C48530    MOV DWORD PTR DS:[3085C4B4],EAX
30799FBD  |. FF15 6C608530  CALL DWORD PTR DS:[3085606C]             ;  mso.__MsoPvFree@8
30799FC3  |. 6A 06          PUSH 6
30799FC5  |. FF35 B4C48530  PUSH DWORD PTR DS:[3085C4B4]
30799FCB  |. E8 B35692FF    CALL EXCEL.300BF683
30799FD0  |> 8B75 18        MOV ESI,DWORD PTR SS:[EBP+18]
30799FD3  |. 8B0E           MOV ECX,DWORD PTR DS:[ESI]

栈顶偏移18数值传入ESI，这个参数在调用时压入：

30007CB4  /$ 8B5424 04      MOV EDX,DWORD PTR SS:[ESP+4]
30007CB8  |. A1 009E8530    MOV EAX,DWORD PTR DS:[30859E00]
30007CBD  |. 8902           MOV DWORD PTR DS:[EDX],EAX
30007CBF  |. 896A 04        MOV DWORD PTR DS:[EDX+4],EBP
30007CC2  |. 895A 08        MOV DWORD PTR DS:[EDX+8],EBX
30007CC5  |. 897A 0C        MOV DWORD PTR DS:[EDX+C],EDI
30007CC8  |. 8972 10        MOV DWORD PTR DS:[EDX+10],ESI
30007CCB  |. 8962 14        MOV DWORD PTR DS:[EDX+14],ESP
30007CCE  |. 8B0424         MOV EAX,DWORD PTR SS:[ESP]
30007CD1  |. 8942 18        MOV DWORD PTR DS:[EDX+18],EAX
30007CD4  |. 33C0           XOR EAX,EAX
30007CD6  \. C3             RETN

往上追溯了几个栈，依然不知道这个参数从何而来，与畸形文件又有什么关系。
唯一知道的是改变iax畸形数值可以索引到特定的堆块。
但不能劫持eip

过了这么久，大大们没关注呢。。。

jvjvlglg 雪币： 29 活跃值： (25) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 13 粉丝 0 关注私信	jvjvlglg 2012-1-10 10:53 0 [求助]帮忙看下ms11-087 thank you very much! 唉关注的地方还是少我都不知道。。。
jvjvlglg 雪币： 29 活跃值： (25) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 13 粉丝 0 关注私信	jvjvlglg 2012-1-9 09:27 0 [求助]帮忙看下ms11-087 麻烦给个地址让我看看呗？没找到另：给我发邮件的各位大大，我都已经回附件了。周末在家没上邮箱，呵呵不过话说qq邮箱的防火墙有点微NB啊，唯一一个把poc拦截的。
jvjvlglg 雪币： 29 活跃值： (25) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 13 粉丝 0 关注私信	jvjvlglg 2012-1-6 16:34 0 [求助]帮忙看下ms11-087 呃这么多人看怎么没人管我要文档呢。里面有很多细节的
jvjvlglg 雪币： 29 活跃值： (25) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 13 粉丝 0 关注私信	jvjvlglg 2011-12-2 15:05 0 [求助]大牛帮忙看下，这个pe如何定位函数下断点麻烦说的详细点呗~~
jvjvlglg 雪币： 29 活跃值： (25) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 13 粉丝 0 关注私信	jvjvlglg 2011-12-2 13:14 0 [求助]大牛帮忙看下，这个pe如何定位函数下断点这么多人看，木有人回呢。。。难道要我在每次call kernel32里面的函数的时候都下断点然后挨个看吗？是这样么？
jvjvlglg 雪币： 29 活跃值： (25) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 13 粉丝 0 关注私信	jvjvlglg 2011-11-11 15:20 0 [原创]简单分析南极星MiniSMTP缓冲区溢出漏洞呵呵好经典的溢出场景~
jvjvlglg 雪币： 29 活跃值： (25) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 13 粉丝 0 关注私信	jvjvlglg 2011-10-18 10:02 0 [求助][求助]Excel解析BIFF格式XLS文件漏洞，大侠给点思路木有结果。。。。看来还是不容易利用这个漏洞啊
jvjvlglg 雪币： 29 活跃值： (25) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 13 粉丝 0 关注私信	jvjvlglg 2011-10-11 16:31 0 [求助][求助]Excel解析BIFF格式XLS文件漏洞，大侠给点思路 OffVis Tool 你发什么啦？
jvjvlglg 雪币： 29 活跃值： (25) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 13 粉丝 0 关注私信	jvjvlglg 2011-10-11 11:01 0 [求助][求助]Excel解析BIFF格式XLS文件漏洞，大侠给点思路工作电脑不能qq。。。晚上8点后能。。。谢谢关注~ jvjvlglg@gmail.com
jvjvlglg 雪币： 29 活跃值： (25) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 13 粉丝 0 关注私信	jvjvlglg 2011-10-10 17:19 0 [求助][求助]Excel解析BIFF格式XLS文件漏洞，大侠给点思路抛砖引玉 30799F92 \|. A1 B4C48530 MOV EAX,DWORD PTR DS:[3085C4B4] 30799F97 \|. 8945 F4 MOV DWORD PTR SS:[EBP-C],EAX 30799F9A \|. 8D45 B0 LEA EAX,DWORD PTR SS:[EBP-50] 30799F9D \|. 6A 00 PUSH 0 30799F9F \|. 50 PUSH EAX 30799FA0 \|. A3 B4C48530 MOV DWORD PTR DS:[3085C4B4],EAX 30799FA5 \|. E8 0ADD86FF CALL EXCEL.30007CB4 30799FAA \|. 85C0 TEST EAX,EAX 30799FAC \|. 59 POP ECX 30799FAD \|. 59 POP ECX 30799FAE \|. 74 20 JE SHORT EXCEL.30799FD0 30799FB0 \|. 8B45 F4 MOV EAX,DWORD PTR SS:[EBP-C] 30799FB3 \|. 6A 10 PUSH 10 30799FB5 \|. FF75 F8 PUSH DWORD PTR SS:[EBP-8] 30799FB8 \|. A3 B4C48530 MOV DWORD PTR DS:[3085C4B4],EAX 30799FBD \|. FF15 6C608530 CALL DWORD PTR DS:[3085606C] ; mso.__MsoPvFree@8 30799FC3 \|. 6A 06 PUSH 6 30799FC5 \|. FF35 B4C48530 PUSH DWORD PTR DS:[3085C4B4] 30799FCB \|. E8 B35692FF CALL EXCEL.300BF683 30799FD0 \|> 8B75 18 MOV ESI,DWORD PTR SS:[EBP+18] 30799FD3 \|. 8B0E MOV ECX,DWORD PTR DS:[ESI] 栈顶偏移18数值传入ESI，这个参数在调用时压入： 30007CB4 /$ 8B5424 04 MOV EDX,DWORD PTR SS:[ESP+4] 30007CB8 \|. A1 009E8530 MOV EAX,DWORD PTR DS:[30859E00] 30007CBD \|. 8902 MOV DWORD PTR DS:[EDX],EAX 30007CBF \|. 896A 04 MOV DWORD PTR DS:[EDX+4],EBP 30007CC2 \|. 895A 08 MOV DWORD PTR DS:[EDX+8],EBX 30007CC5 \|. 897A 0C MOV DWORD PTR DS:[EDX+C],EDI 30007CC8 \|. 8972 10 MOV DWORD PTR DS:[EDX+10],ESI 30007CCB \|. 8962 14 MOV DWORD PTR DS:[EDX+14],ESP 30007CCE \|. 8B0424 MOV EAX,DWORD PTR SS:[ESP] 30007CD1 \|. 8942 18 MOV DWORD PTR DS:[EDX+18],EAX 30007CD4 \|. 33C0 XOR EAX,EAX 30007CD6 \. C3 RETN 往上追溯了几个栈，依然不知道这个参数从何而来，与畸形文件又有什么关系。唯一知道的是改变iax畸形数值可以索引到特定的堆块。但不能劫持eip 过了这么久，大大们没关注呢。。。

jvjvlglg

账号登录 验证码登录

账号登录

验证码登录