VGX.dll中COALineDashStyleArray::put_length函数在处理length数据时未做有效验证，以致length为负数可造成整数溢出，进而实现任意读写。

Microsoft Internet Explorer 6—10

MS13-037

VML的全称是Vector Markup Language(矢量可标记语言)，其基于XML，矢量图形——意味着图形可以任意放大缩小而不损失图形的质量。VML相当于IE里面的画笔，能实现你所想要的图形，而且结合脚本，可以让图形产生动态的效果。(不仅是IE，Microsoft Office同样支持VML)

使用VML首先要通过<style>引入：

之后声明VML Namespace：

如此便可添加VML元素以绘制图形。

一例:

Shape是VML最基本的对象，利用它可以画出所有你想要的图形。其主要属性Path可参阅VML Path Attribute—Microsoft Docs。

使用IE打开poc.html：

允许阻止内容后，WinDbg附加进程并运行，单击crash按钮，崩溃点如下：

使用gflags.exe为iexplore.exe开启页堆，WinDbg启动iexplore.exe，通过.childdbg 1命令启用子进程调试并运行后，崩溃点如下：

kb查看调用堆栈：

重新启动iexplore.exe，加载VGX.dll完成后于ORG::Get函数处设断，查看其this参数：

继续向下分析，可以看到vgx!ORG对象结构偏移0x10处存储指向dashstyle数组指针：

marginLeftAddress = vml1.dashstyle.array.item(0x2E+0x16);操作由memecpy完成：

漏洞成因显然不位于该函数，继续向上回溯至vgx!COALineDashStyleArray::get_item，其调用vgx!ORG::CElements获取数组元素个数：

要读取元素下标需大于0xFFFFFFFF，小于vgx!ORG对象结构偏移0x04处值(WORD)。若下标合法，之后便会调用vgx!ORG::Get。可以从上图看到数组Length值0xffff，该值需跟进COALineDashStyleArray::put_length函数分析。

首先获取数组原长度，与更改长度进行比较：

此处即为漏洞触发位置，其调用vgx!ORG::CElements函数获取长度使用movzx eax, word ptr [eax+4]指令，将长度当作无符号整数处理(而非采用movsx指令)，但跳转语句jge是基于有符号整数比较的跳转。

大于等于则会调用vgx!ORG::DeleteRange：

跟进发现其调用MsoDeletePx：

继续跟进，写入更改长度操作位于MsoFRemovePx函数内：

如此一来，将数组Length修改为0xFFFF，进而可以实现越界读写——前文分析vgx!COALineDashStyleArray::get_item函数对应越界读操作，下面看越界写操作。该操作对应vgx!COALineDashStyleArray::put_item函数，其与get_item不同之处是调用vgx!ORG::PGet函数：

该函数用于计算写入位置：

之后写入操作由put_item中mov [eax], ecx指令完成：

有两种信息泄露方法，详见下文分析。

访问_anchorRect属性时会调用COAShape::get__anchorRect函数，而该函数会通过malloc申请0x10字节空间：

该空间用于存储COAReturnedPointsForAnchor对象：

如此一来，可申请大量空间存储COAReturnedPointsForAnchor对象，中间放置Dashstyle Array，之后便可访问后续COAReturnedPointsForAnchor对象虚表以获取VGX.dll基址。但笔者在进行布局时发现其后并非紧接COAReturnedPointsForAnchor对象：

由上图可以看到是COAShape对象，其虚表相对于VGX.dll基址偏移为0x82a48。经计算，读取该地址数组下标为0x12，故笔者构造信息泄露POC如下：

_vgRuntimeStyle.rotation对应COARuntimeStyle::get_rotation函数，初次访问会申请0xAC大小空间(COARuntimeStyle::get_rotation——>CVMLShape::GetRTSInfo——>CParserTag::GetRTSInfo)：

实际占用空间大小：

那么于其中插入Dashstyle Array大小为0xB0(即44个元素，加上头部占用8字节，恰为0xB8)：

之后写_vgRuntimeStyle.marginLeft，对应COARuntimeStyle::put_marginLeft函数，由于先前已经申请内存空间，该函数调用CVMLShape::GetRTSInfo——>CParserTag::GetRTSInfo时便不会再次申请，而是返回内存地址，写入字符位置相对于该地址偏移为0x58：

而读_vgRuntimeStyle.marginLeft，对应COARuntimeStyle::get_marginLeft函数，该函数会将偏移0x58处指针指向内容读取出来：

如此一来，控制0x58处指针内容，可实现任意地址读取。

利用漏洞可读写该地址处内容，下标为0x2E(0x2B对应数组最后一个元素，0x2C-0x2E是头部所占用12字节)+0x16(0x58/4)。完整POC如下：

后续覆盖虚表指针劫持EIP部分，可能是由于笔者环境问题，并未完成。重新搭建环境如下：

该环境下对象布局稍有不同：

可以有两种不同的方式覆盖虚表指针。

第一种利用方式若要将栈转移到堆上(没有找到类似xchg ecx,esp直接交换ECX与ESP的gadget)，需要再配合两次漏洞进行越界写：

与之相配合堆上gadgets如下：

而第二种覆盖方式，直接用xchg eax,esp;ret这样的gadget即可。两种利用方式效果展示：

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)