能力值：
( LV2，RANK：10 )
|
-
-
51 楼
版主亲自出马了，一定要收藏学习了！
|
能力值：
( LV2，RANK：10 )
|
-
-
52 楼
谢谢，特别需要这方面的文章
|
能力值：
( LV2，RANK：10 )
|
-
-
53 楼
mark
|
能力值：
( LV2，RANK：10 )
|
-
-
54 楼
 LZ， 关于“反复这个过程进行测试后发现0x0014017c，这个地址是固定不变的，并且指向的值必是之前保存的esi，寄存器esi指向了可控的数据，这部分可控数据只是在堆(heap)中并没有拷贝到栈上而已，只需要做到使程序在堆中执行即可。”
我有一个问题，两次调用的那个函数在每次先把数据从WORD中copy到开辟的堆中，然后在从堆中Memcpy到栈中，在退出函数前还会释放堆。所以在退出此函数，在父函数退出时执行shellcode引导代码的时，堆已经被释放了，没有数据。 
申请堆，将数据COPY进去
退出函数前释放堆操作
释放完成
退出父函数即将发生栈溢出，但堆已经释放
我用的环境 XP SP2 word2003 这个应该只和MSCOMCTL.OCX 版本 6.1.95.45
|
能力值：
(RANK：860 )
|
-
-
55 楼
这个地址目前有一定的局限性，需要找到一个新的方法
|
能力值：
( LV2，RANK：10 )
|
-
-
56 楼
我这里地址是对的，指向的就是那个堆，但是申请的堆在将数据复制到栈中以后，FreeHeap释放了 
|
能力值：
(RANK：860 )
|
-
-
57 楼
这个是我疏忽了。。。
另一个坛友发了一种思路，你可以试下
|
能力值：
( LV3，RANK：20 )
|
-
-
58 楼
顶楼主，再学习。
|
能力值：
( LV2，RANK：10 )
|
-
-
59 楼
这个不错,大多数0158都是崩溃的,这个做到了完美
|
能力值：
( LV2，RANK：10 )
|
-
-
60 楼
好久不来看了！！
|
能力值：
( LV2，RANK：10 )
|
-
-
61 楼
0:000> da 08f36008
08f36008 "C:\Documents and Settings\Admin\"
08f36028 "a.exe"
这个08f36008 是哪里来的？
有什么技巧？
|
能力值：
( LV2，RANK：10 )
|
-
-
62 楼
不明觉厉，太有天书的感觉了
|
能力值：
( LV2，RANK：10 )
|
-
-
63 楼
太喜欢了
|
能力值：
( LV2，RANK：10 )
|
-
-
64 楼
顶一把~~~
|
能力值：
( LV2，RANK：10 )
|
-
-
65 楼
太高深，看不懂啊，先慢慢学着
|
能力值：
( LV2，RANK：10 )
|
-
-
66 楼
厉害，学习!!!!!
|
能力值：
( LV2，RANK：10 )
|
-
-
67 楼
支持一下~
|
|
|
|
