《CVE-2016-0611 分析 0x01 参考文献：》.pdfVIP

CVE-2011-0611 分析 0x01 参考文献 ： /blog/210/ 各种博客及各种文档定义 0x02 漏洞概述 ： 此处不再赘述。 0x03 写的理由 ： 回过头来看 ，Secunia 的文章对该样本的分析已经非常详尽了 ，但是 ，在最初拿到样本 ，对 照文章逐步对其进行解剖时 ，总是会许多无从下手的问题。所以 ，就有了写这篇分析的想法 ， 一方面是锻炼英文 ，一方面是因为 “Happiness is only real when shared “，希望大牛们 对文章中的错误作出指正。好了 ，言归正传 ，下面就开始进入正题吧。 0x04 分析正文 ： Secunia 的样本是一个嵌入了 Flash 的 Word 文档 ，文档名为Disentangling Industrial Policy and Competition Policy.doc ，可以在文章附件获取到 ，嵌入的 Flash 偏移地址是 0x2E08 ，流大小为 0x2775 字节。我们分析的样本是 Metasploit 中的 CVE-2011-0611.swf ， 大小为 1484 字节 ，文件不同 ，原理一致。 图片 Head.jpg 在对 SWF 格式零知识的情况下 ，用 Flasm 对样本进行反编译 ，命令行为 flasm -d CVE-2011-0611.swf Now.txt ，提示解码错误。 图片 DecodeErrorOne.JPG 错误信息为常量池(constant pool)长度错误 ，与 Secunia 文章中提到的第一个错误一致。 *************************************************************************************** ActionRecode 格式为 ： 值域 类型 描述 ActionCode UI8 Action 类型 Length 如果 Code 大于 0x80 ，长度为 UI16 ActionCode 后面数据的字节数 常量池的格式为 ： 值域 类型 描述 ActionConstantPool UI8 0x88 Count UI16 常量个数 ConstantPool STRING[Count] 字符串常量 说明 ：在每个 Action Block 首部 ，如果有任何变量 ，方法或字符串使用了两次以上 ，那么 Flash 会建立一个常量池。实际上 ，只要有一个变量使用了一次以上 ，该代码块中的所有字 符串都会加入该池。 *********************