能力值：
( LV4，RANK：50 )
2 楼
小聪的动作好快啊，不错不错，顺便问下，那个symbol从哪下的？
能力值：
( LV12，RANK：300 )
3 楼
调试方法：
WINDBG载入iexplore.exe，命令行参数为PoC网页路径，第一次停在系统断点，放行之：
跑起来后IE7会出现为了保护安全性已阻止有关内容执行的条子，这时先在windbg里暂停回到调试器。
在其下位置（jscript!IDispatchExGetDispID中）
.text:75BE3064 call dword ptr [ecx+1Ch] ; mshtml!TearoffThunk7
下硬件执行断点（这样下断是因为这时jscript.dll还没有加载，不能bp），g执行：
这时可以点击允许相关内容执行，很快断下：
记下这个eax=001897e0，即之后内存破坏的位置。
继续单步可以看清楚正常的流程，即分析中的第2点，可以看到正确的流程是跳到mshtml!COmWindowProxy::subGetDispID。
取消刚刚设的断点，对导致内存破坏的始作俑者iepeers.dll!CPersistUserData::setAttribute下断，运行断下：
单步直接看到对OLEAUT32!VariantChangeTypeEx的调用：
单步步进，看到源Variant指针为0x019dc9b4，并从其中取到对应的类指针，正是0x001897e0。
单步步进直到看到对OLEAUT32!ExtractValueProperty的调用，注意其第一个参数（最后push的那个）正是esi=001897e0。
p步过，不要进去OLEAUT32!ExtractValueProperty，跟踪发现它并没有减少访问计数，继续步进直到对OLEAUT32!VariantClear的调用，注意到对OLEAUT32!VariantClear调用传入
的参数即目的Variant指针仍为0x019dc9b4，与源指针一致，这样这个调用导致对相应的对象即0x001897e0指向的TearoffThunk对象的访问计数减1（如果想要深入可以步入其中，
就可以发现把访问计数减1的就是mshtml!PlainRelease）：
0:005> t
步过OLEAUT32!VariantClear，访问计数减1之后，为了不要每次循环都到这里，直接看这个TearoffThunk是在哪里被重写掉的，从前面的TearoffThunk7调用
3e5b95f1 8b4804 mov ecx,dword ptr [eax+4] ds:0023:001897f0={mshtml!COmWindowProxy::s_apfnIDispatchEx (3e5b2fdc)}
可以知道关键的位置是001897f0处保存的这个函数表，对此处下4字节的硬件写入断点，运行后断下，这时已经在CreateTearoffThunk里的，该处的值确实被改为了mshtml!CWindow::s_apfnIHTMLPrivateWindow3：
0:005> ba w 4 001897f0
最后，把最早的那个断点重新搞上，不过这次加上条件，让它在下次访问相应TearoffThunk结构的时候正好被断下：
0:005> bp 75be3064 "j @eax=001897e0 '';gc"
步进去，最终的过程就有了：
最后是变成jmp 0x0f09f883，以一个Access Violation异常告终：
(d4.77c): Access violation - code c0000005 (first chance)
能力值：
( LV3，RANK：30 )
4 楼
膜拜楼主
看的话还是知道点皮毛，但都不知道从哪开始学起
能力值：
( LV3，RANK：30 )
5 楼
速度很快，厉害
能力值：
( LV4，RANK：50 )
6 楼
发现和CVE-2009-1136好像，几乎同出一辙，难道是同一个人挖出来的。。。
能力值：
( LV12，RANK：300 )
7 楼
貌似我之前曾经遇到过一个毒网是利用这个的，但是当时在我实机的IE8上没效果，所以直接扔掉了，现在看了相关公告才知道原来IE6和7才有效。
能力值：
( LV12，RANK：300 )
8 楼
https://www.mysonicwall.com/sonicalert/searchresults.aspx?ev=article&id=213
能力值：
(RANK：860 )
9 楼
昨天刚把POC从MSF中导出来，今天就看到分析了
能力值：
( LV3，RANK：20 )
10 楼
^_^，看见分析了，很好很好，lz很强大
能力值：
( LV2，RANK：10 )
11 楼
楼主好强大！
能力值：
( LV2，RANK：10 )
12 楼
强悍.....
能力值：
(RANK：300 )
13 楼
无话可说只有膜拜了...
能力值：
( LV2，RANK：10 )
14 楼
完全不懂
能力值：
( LV2，RANK：10 )
15 楼
小聪我爱你..
能力值：
(RANK：10 )
16 楼
请楼主分享下发布漏洞提示的一些网站，http://www.milw0rm.com/停下后就不知去哪了
能力值：
( LV2，RANK：10 )
17 楼
强帖要留名呀
能力值：
( LV5，RANK：60 )
18 楼
完全看不懂，支持小聪大牛
能力值：
( LV12，RANK：310 )
19 楼
膜拜一下！楼主实在强大！
能力值：
( LV2，RANK：10 )
20 楼
LZ很无私哈，连调试细节都贴出来了，强烈支持这样的共享精神。
能力值：
( LV12，RANK：300 )
21 楼
其实我对IE浏览器内核也是不懂的，也苦于这方面的资料缺乏，很多东西都是在调试过程中自己推敲的。
能力值：
( LV4，RANK：50 )
22 楼
不错 不错 MARK
能力值：
( LV2，RANK：10 )
23 楼
小聪牛牛好棒啊
能力值：
( LV2，RANK：10 )
24 楼
楼猪好厉害啊！加油！
能力值：
( LV2，RANK：10 )
25 楼
完全看不懂，支持小聪大牛
看的话还是知道点皮毛，但都不知道从哪开始学起
