CVE-2012-1876漏洞分析报告.PDFVIP

CVE-2012-1876 漏洞分析报告 启明星辰安全研究团队 漏洞分析： 先来看看网上流传的能够触发漏洞的网页代码 html body table style=table-layout:fixed col id=132 width=41 span=22 nbsp /col /table script function over_trigger() { var obj_col = document.getElementById(132); obj_col.width = 42765; obj_col.span = 888; } setTimeout(over_trigger();,10000); 为了便于调试，我们将设定的时间差值改为10 秒 /script /body /html 运行该段代码会出现如下效果 两次崩溃的地点不同，但从不同的两次崩溃中我们可以找到相同点，类似于4141 这样 的数值好像都会出现。从这样的现象中可以猜测可能是堆溢出造成的。 再次查看网页代码。查看可能是哪里出现的问题。在settimeout 里面设定了一个函数， 该函数应该是最终触发漏洞的函数。很明显，在该函数中，增加了Col 对象的Span 值。 在 CreateElement 函数上下断点，看该网页文件到底创建了什么对象。最终发现除了 HtmlElement，BodyElement 这些基本的对象之外还创建了CTableElement ，CTableColElement 。 这里CTableElement 是对应的列表框对象，CTableColElement 是列表框里面的列对象。 这里的Span 值便是列的数目。 相关结构如下 CTableLayout 对象 偏移0x54 Spancount 偏移0x78 CImplPtrAry 对象(Col 类型的CTableColElement 集合) 偏移0x90 CImplPtrAry 对象(其偏移0xC 为TableCol 对象的StyleStructArray 指针) 偏移0x138 CImplPtrAry 对象（ColGroup 类型的CTableColElement 集合） CImplPtrAry 对象（IE 内核中频繁使用的一个对象，该对象用于存放一个可增长的数组结构） 偏移0 CStyleSheet::CAryAutomationRules::vtable 偏移4 NumofPointer*4(已经占用的指针数量*4) 偏移8 AllocCount （已经申请出来内存的可存放的指针数量） 偏移C pPointerArry （指针数组基址） PointerArry 指针数组是根据需要动态申请的,一般是先通过CImplPtrAry::EnsureSize 函数查看 是否需要申请内存，如果需要则通过 CImplAry::EnsureSizeWorker 申请内存。申请后的内存 指针放入CImplPtrAry 偏移C 处，申请后的内存能存放的指针数量放入CImplPtrAry 偏移8 处。 在 CTableLayout 对象中有若干个 CImplPtrAry 对象，其中比较重要的是0x78,0x90 以及 0x138 处的CImplPtrAry 对象，其中0x78 处存放的 Col 类型的 CTableColElement 集合，也可 以称作子Col 对象指针数组；0x138 处存放的ColGroup 类型的CTableColElement 集合，也可 以称作父Col 对象指针数组；0x90 处存放的是一个存放多个TableCol 对象的StyleStructArray 指针。 在创建完相应的对象之后，IE 会使用 “广播发送通知”的方式向相应的对象投递通知， 比 如 EnterTree 通 知 等 。 走到这里 这里会从一个指针数组中不断的取值，该数组存放的是需要发送通知的对象指针。这里 我们看的是向CTableCol 对象发送通知的过程。 这里取得的对象指针给esi，并传给SendEnterTreeNotification 函数，如图看到esi 为一 个CTableCol 对象。 调用到CTable