能力值：
![]()
(RANK：290 )
|
-
-
2 楼
仙果的 充气娃娃~
|
能力值：
( LV5，RANK：60 )
|
-
-
3 楼
表示没看懂
|
能力值：
( LV15，RANK：440 )
|
-
-
4 楼
我喜欢异想天开的方式……一切都是从这里开始的。哈哈，没谱……仙果……
|
能力值：
( LV2，RANK：10 )
|
-
-
5 楼
火钳刘明
|
能力值：
( LV4，RANK：50 )
|
-
-
6 楼
一切都是从异想天开开始的
|
能力值：
( LV2，RANK：10 )
|
-
-
7 楼
表示确实没看懂呀，你用构造文件去产生异常，程序处理异常后就么了呀！
你是不是想通过产生异常，然后多次去访问某个地址，然后某个地址刚好可以进入rop链？但是如果是这样，这个程序里就算是藏着shellcode了吧，即使是这样，那你如何执行自己写的shellcode呢！
|
能力值：
(RANK：860 )
|
-
-
8 楼
确实比较难懂，耗费脑细胞。
我下来再思考下，能否有更简单的表述
|
能力值：
![]()
(RANK：250 )
|
-
-
9 楼
顺着你这个思路有个难点 我觉得还是ROP链的构造上，在IE和flash漏洞中我们可以通过JS和AS脚本来完成将基址+给ROP链的每个指令偏移。而文档类的没有这个中间脚本怎么实现呢？
|
能力值：
(RANK：860 )
|
-
-
10 楼
我的思路是通过异常来实现，在构造ROP链之前确认是能够泄露出一个堆地址上虚函数表，这个地址是相对固定的，虚函数表中的函数是固定的。通过修改虚函数表来构造ROP链。
虚函数表中的函数我们可以通过调试来得到，这样就可以取得它与VirtualProtect（）函数之间的偏移，这个偏移肯定也是固定的，通过异常来改写虚函数表使其成为VirtualProtect（）函数地址，接着再使用其他异常依次写入ROP剩余数据。
|
能力值：
( LV4，RANK：50 )
|
-
-
11 楼
其实仙果说的东西，有一定可能实现。不过我觉得和漏洞类型关系比较大，没研究过。这个值得好好讨论
|
能力值：
(RANK：860 )
|
-
-
12 楼
欢迎大家积极讨论。。说不定就火了，兄弟们
|
能力值：
( LV2，RANK：10 )
|
-
-
13 楼
呵呵，水平太差，真心没看明白！
|
能力值：
(RANK：860 )
|
-
-
14 楼
什么地方都没有看明白，都可以讨论的
|
能力值：
( LV2，RANK：10 )
|
-
-
15 楼
前不久看了袁哥的word漏洞利用的poc,服了
在xp,win7 64通杀..
没有泄露，自己构造啊
|
能力值：
(RANK：860 )
|
-
-
16 楼
可否私下共享一下？？？
|
能力值：
( LV2，RANK：10 )
|
-
-
17 楼
仙果你果然是文科生啊，写的文章我看着真心觉得很好，这种方式写文章真的很受益
|
能力值：
( LV2，RANK：10 )
|
-
-
18 楼
word漏洞可以构造内嵌flash或其他对象，就都不是问题了
|
能力值：
( LV13，RANK：270 )
|
-
-
19 楼
无聊翻帖子，word太灵活了。
不用假设，可以通过各种方式绕过dep+aslr.
比如最新的office 2007,启动的时候，会加载一个二逼的模块，然后这个二逼模块会自动关掉dep.
比如word里可以内嵌各种东西，
各种脚本,
各种宏。
哈哈
|
|
|
|
