नवीनतम जीरो-डे के कारनामों में एएसएलआर वर्कअराउंड

एएसएलआर (एड्रेस स्पेस लेआउट रैंडमाइजेशन) आधुनिक ऑपरेटिंग सिस्टम में सबसे प्रभावी सुरक्षा तंत्र में से एक है। लेकिन यह तरीका सही नहीं है। कई आधुनिक उन्नत लगातार खतरे वाले APT पहले ही ASLR को बायपास करने के लिए नवीन तकनीकों का उपयोग करना सीख चुके हैं।

पिछले वर्षों में खोजे गए सबसे प्रसिद्ध बाईपास विधियों पर विचार करें:

• गैर-एएसएलआर मॉड्यूल का उपयोग करना
• बीटीएस लंबाई / शून्य समाप्ति बदलें
• एरे वस्तुओं को संशोधित करना

प्रत्येक तकनीक पर नीचे विस्तार से चर्चा की जाएगी।

गैर-एएसएलआर मॉड्यूल

यह विधि सबसे लोकप्रिय और उपयोग में आसान है। दो लोकप्रिय गैर-एएसएलआर मॉड्यूल जो आईई में उपयोग किए जाते हैं और एएसएलआर-संरक्षित नहीं हैं: MSVCR71.DLL और HXDS.DLL।

MSVCR71.DLL का उपयोग JRE 1.6.x द्वारा किया जाता है और यह Microsoft Visual C रनटाइम लाइब्रेरी से आता है, जिसे / DYNAMICBASE विकल्प के बिना संकलित किया गया था। लायब्रेरी IE प्रक्रिया स्थान में भरी हुई है और निम्न OS / ब्राउज़र संयोजन में एक स्थायी पता है:

• विंडोज 7 और इंटरनेट एक्सप्लोरर 8
• विंडोज 7 और इंटरनेट एक्सप्लोरर 9

HXDS.DLL MS Office 2010/2007 से आता है, और ASLR समर्थन के बिना बनाया गया है। इस वेक्टर को पहले यहां वर्णित किया गया था, और वर्तमान में विंडोज 7 पर IE 8/9 के लिए मुख्य ASLR वर्कअराउंड है। यह लाइब्रेरी तब लोड होती है जब ब्राउज़र "एमएस-हेल्प: //" से शुरू होने वाले पते तक पहुंचता है।

इस विधि का उपयोग कम से कम एक बार निम्नलिखित कारनामों में किया गया है: CVE-2013-3893 , CVE2013-1347, CVE-2012-4969 , CVE-2012-4792 ।

कमियों

सिस्टम को गैर-एएसएलआर मॉड्यूल की आवश्यकता होती है जो जेआर 1.6 और ऑफिस 2007/2010 के पुराने संस्करणों के साथ आते हैं, और केवल IE8 और IE9 में लोड होते हैं। नवीनतम संस्करणों के लिए प्रोग्राम अपडेट करना इस हमले को वेक्टर असंभव बनाता है।

संशोधन बीटीएस

पहली बार, इस तकनीक को 2010 में पीटर व्रूडेनहिल ने उजागर किया था । यह केवल पुनर्लेखन मेमोरी की संभावना से संबंधित विशिष्ट प्रकार की कमजोरियों के लिए लागू होता है: बफर ओवरफ्लो, मेमोरी के लिए मनमाना लेखन, या पॉइंटर्स में हेरफेर की संभावना एक हमले को संभव बनाती है।

मेमोरी में लिखते समय EIP का पूर्ण नियंत्रण नहीं होता है। अधिकांश समय शोषण महत्वपूर्ण प्रोग्राम डेटा को ओवरराइट करता है, जैसे कि मनमाने कोड को निष्पादित करने के लिए फ़ंक्शन। हमलावरों का मुख्य लक्ष्य बीटीएस की लंबाई को नुकसान पहुंचाना है, जो आवंटित स्मृति की प्रारंभिक सीमाओं से परे जाने की ओर जाता है। सफल होने पर, हम विदेशी पुस्तकालयों के पते निर्धारित कर सकते हैं और उनका उपयोग आरओपी भंडार के रूप में कर सकते हैं। इस प्रकार, स्मृति भ्रष्टाचार और ईआईपी नियंत्रण संभव है।
BSTR की लंबाई बदलने के लिए कई कमजोरियों का इस्तेमाल किया जा सकता है। उदाहरण के लिए, कुछ कमजोरियाँ आपको मेमोरी को एक या दो बाइट्स द्वारा संशोधित करने की अनुमति देती हैं। इस मामले में, हमलावर अगली वस्तु के साथ स्ट्रिंग को संयोजित करने के लिए BSTR में अशक्त चरित्र को बदल सकता है। संशोधित बीटीएस के बाद के उपयोग के साथ, लोड किए गए पुस्तकालयों के आधार पते के बारे में जानकारी प्राप्त करने का एक मौका है।

CVE-2013-0640

Adobe XFA शून्य-दिवसीय शोषण AcroForm.api के आधार पते को खोजने के लिए इस तकनीक का उपयोग करता है, जिसके बाद ROP श्रृंखला का निर्माण होता है और ASLR और DEP को बायपास किया जा सकता है। इस भेद्यता का उपयोग करते हुए, एक फ़ंक्शन vftable से फ़ंक्शन को कॉल करने से पहले मेमोरी को नियंत्रित कर सकता है:

डीईसी ऑपरेशन से पहले स्मृति आवंटन पर विचार करें:
[string][null][non-null data][object]
DEC ऑपरेशन के बाद, मेमोरी इस तरह दिखती है:
[string][\xfe][non-null data][object]
अधिक जानकारी के लिए, immunityinc के ब्लॉग प्रविष्टि को देखें।

कमियों

इस पद्धति में आमतौर पर पतों का विस्तार करने के लिए मेमोरी के कई जोड़तोड़ की आवश्यकता होती है, और ऑपरेशन के लिए, ढेर का एक सावधानीपूर्वक विश्लेषण यह सुनिश्चित करने के लिए आवश्यक है कि यह मेमोरी का हिस्सा है जो स्ट्रिंग्स को विभाजित करने के लिए जिम्मेदार है, और अन्य ऑब्जेक्ट नहीं, जो क्षतिग्रस्त हैं। Microsoft के बाद से, IE9 बनाते समय, छिड़काव / फेंगशुई को रोकने के लिए नोजल का उपयोग किया जाता है, कभी-कभी एक हमलावर को ढेर को सही ढंग से संभालने के लिए VBArray तकनीकों का उपयोग करना पड़ता है।

एरियर ऑब्जेक्ट को संशोधित करें

किसी सरणी की लंबाई को संशोधित करना BSTR की लंबाई को बदलने के समान है: इन दोनों को "सुविधाजनक" कमजोरियों के एक निश्चित वर्ग की आवश्यकता होती है। लंबाई में कुछ बदलाव के बाद, एक हमलावर मनमाने ढंग से पढ़ने या लिखने के लिए स्मृति प्राप्त कर सकता है, या, ज्यादातर मामलों में क्या होता है, कार्यक्रम के प्रवाह पर पूर्ण नियंत्रण और मनमाना कोड का निष्पादन।
यहाँ इस तकनीक का उपयोग कर प्रसिद्ध ज़ायरोडीन की एक सूची दी गई है:

CVE-2013-0634

यह शोषण एडोब फ्लैश प्लेयर को लक्षित करता है, जो नियमित अभिव्यक्ति को संसाधित करते समय बफर ओवरफ्लो का कारण बनता है। हमलावर ऑब्जेक्ट की वेक्टर की लंबाई को ओवरराइट करता है, और फिर फ्लैश .ocx का आधार पता खोजने के लिए पड़ोसी मेमोरी क्षेत्रों को पढ़ता है।
शोषण का काम यहाँ दिखाया गया है:
नई वस्तुओं के लिए अनंत मेमोरी आवंटन सेट करना:

1:
obj[1] = null;
RegExp , :
boom = "(?i)()()(?-i)||||||||||||||||||||||||";
var trigger = new RegExp(boom, "");

, , obj[2]. , obj[2] , flash.ocx vftable .

CVE-2013-3163
use-after-free CBlockContainerBlock, IE. CVE-2013-0634, .
OR. :
or dword ptr [esi+8],20000h
:
- :

, . :

DWORD, 0x03f0, , .
ESI + 8 0x03f0, OR 0x0203f0, , .
0x3FFFFFF0.

IE. ASLR , DLL kernel32/NTDLL .
ZwProtectVirtualMemory API ROP , DEP :

, flash.Media.Sound(). vftable ROP .

CVE-2013-1690
use-after-free DocumentViewerImpl Firefox 0×0001 , :


, , "" . "IF", setImageAnimationMode(), . setImageAnimationMode() :

ArrayBuffer, . ArrayBuffer var2 0xff004.

, 0x010ff004. ArrayBuffer byteLength JavaScript. ArrayBuffer. NTDLL SharedUserData (0x7ffe0300) ROP .

CVE-2013-1493
JAVA CMM, .
0x7fffffff, SecurityManager . , .
Array . , .


APT 0day , :



ASLR 0day . IE non-ASLR Microsoft Office, Microsoft non-ASLR . , . , .
, , , .

ASLR, Dion Blazakis's JIT Yuyang's LdrHotPatchRoutine technique. . , ASLR, , .

. , 0day , .

Dan Caselden and Yichong Lin . मुक्त करें 1:
obj[1] = null;
RegExp , :
boom = "(?i)()()(?-i)||||||||||||||||||||||||";
var trigger = new RegExp(boom, "");

, , obj[2]. , obj[2] , flash.ocx vftable .

CVE-2013-3163
use-after-free CBlockContainerBlock, IE. CVE-2013-0634, .
OR. :
or dword ptr [esi+8],20000h
:
- :

, . :

DWORD, 0x03f0, , .
ESI + 8 0x03f0, OR 0x0203f0, , .
0x3FFFFFF0.

IE. ASLR , DLL kernel32/NTDLL .
ZwProtectVirtualMemory API ROP , DEP :

, flash.Media.Sound(). vftable ROP .

CVE-2013-1690
use-after-free DocumentViewerImpl Firefox 0×0001 , :


, , "" . "IF", setImageAnimationMode(), . setImageAnimationMode() :

ArrayBuffer, . ArrayBuffer var2 0xff004.

, 0x010ff004. ArrayBuffer byteLength JavaScript. ArrayBuffer. NTDLL SharedUserData (0x7ffe0300) ROP .

CVE-2013-1493
JAVA CMM, .
0x7fffffff, SecurityManager . , .
Array . , .


APT 0day , :



ASLR 0day . IE non-ASLR Microsoft Office, Microsoft non-ASLR . , . , .
, , , .

ASLR, Dion Blazakis's JIT Yuyang's LdrHotPatchRoutine technique. . , ASLR, , .

. , 0day , .

Dan Caselden and Yichong Lin . 1:
obj[1] = null;
RegExp , :
boom = "(?i)()()(?-i)||||||||||||||||||||||||";
var trigger = new RegExp(boom, "");

, , obj[2]. , obj[2] , flash.ocx vftable .

CVE-2013-3163
use-after-free CBlockContainerBlock, IE. CVE-2013-0634, .
OR. :
or dword ptr [esi+8],20000h
:
- :

, . :

DWORD, 0x03f0, , .
ESI + 8 0x03f0, OR 0x0203f0, , .
0x3FFFFFF0.

IE. ASLR , DLL kernel32/NTDLL .
ZwProtectVirtualMemory API ROP , DEP :

, flash.Media.Sound(). vftable ROP .

CVE-2013-1690
use-after-free DocumentViewerImpl Firefox 0×0001 , :


, , "" . "IF", setImageAnimationMode(), . setImageAnimationMode() :

ArrayBuffer, . ArrayBuffer var2 0xff004.

, 0x010ff004. ArrayBuffer byteLength JavaScript. ArrayBuffer. NTDLL SharedUserData (0x7ffe0300) ROP .

CVE-2013-1493
JAVA CMM, .
0x7fffffff, SecurityManager . , .
Array . , .


APT 0day , :



ASLR 0day . IE non-ASLR Microsoft Office, Microsoft non-ASLR . , . , .
, , , .

ASLR, Dion Blazakis's JIT Yuyang's LdrHotPatchRoutine technique. . , ASLR, , .

. , 0day , .

Dan Caselden and Yichong Lin .

1:
obj[1] = null;
RegExp , :
boom = "(?i)()()(?-i)||||||||||||||||||||||||";
var trigger = new RegExp(boom, "");

, , obj[2]. , obj[2] , flash.ocx vftable .

CVE-2013-3163
use-after-free CBlockContainerBlock, IE. CVE-2013-0634, .
OR. :
or dword ptr [esi+8],20000h
:
- :

, . :

DWORD, 0x03f0, , .
ESI + 8 0x03f0, OR 0x0203f0, , .
0x3FFFFFF0.

IE. ASLR , DLL kernel32/NTDLL .
ZwProtectVirtualMemory API ROP , DEP :

, flash.Media.Sound(). vftable ROP .

CVE-2013-1690
use-after-free DocumentViewerImpl Firefox 0×0001 , :


, , "" . "IF", setImageAnimationMode(), . setImageAnimationMode() :

ArrayBuffer, . ArrayBuffer var2 0xff004.

, 0x010ff004. ArrayBuffer byteLength JavaScript. ArrayBuffer. NTDLL SharedUserData (0x7ffe0300) ROP .

CVE-2013-1493
JAVA CMM, .
0x7fffffff, SecurityManager . , .
Array . , .


APT 0day , :



ASLR 0day . IE non-ASLR Microsoft Office, Microsoft non-ASLR . , . , .
, , , .

ASLR, Dion Blazakis's JIT Yuyang's LdrHotPatchRoutine technique. . , ASLR, , .

. , 0day , .

Dan Caselden and Yichong Lin .

1:
obj[1] = null;
RegExp , :
boom = "(?i)()()(?-i)||||||||||||||||||||||||";
var trigger = new RegExp(boom, "");

, , obj[2]. , obj[2] , flash.ocx vftable .

CVE-2013-3163
use-after-free CBlockContainerBlock, IE. CVE-2013-0634, .
OR. :
or dword ptr [esi+8],20000h
:
- :

, . :

DWORD, 0x03f0, , .
ESI + 8 0x03f0, OR 0x0203f0, , .
0x3FFFFFF0.

IE. ASLR , DLL kernel32/NTDLL .
ZwProtectVirtualMemory API ROP , DEP :

, flash.Media.Sound(). vftable ROP .

CVE-2013-1690
use-after-free DocumentViewerImpl Firefox 0×0001 , :


, , "" . "IF", setImageAnimationMode(), . setImageAnimationMode() :

ArrayBuffer, . ArrayBuffer var2 0xff004.

, 0x010ff004. ArrayBuffer byteLength JavaScript. ArrayBuffer. NTDLL SharedUserData (0x7ffe0300) ROP .

CVE-2013-1493
JAVA CMM, .
0x7fffffff, SecurityManager . , .
Array . , .


APT 0day , :



ASLR 0day . IE non-ASLR Microsoft Office, Microsoft non-ASLR . , . , .
, , , .

ASLR, Dion Blazakis's JIT Yuyang's LdrHotPatchRoutine technique. . , ASLR, , .

. , 0day , .

Dan Caselden and Yichong Lin .

1:
obj[1] = null;
RegExp , :
boom = "(?i)()()(?-i)||||||||||||||||||||||||";
var trigger = new RegExp(boom, "");

, , obj[2]. , obj[2] , flash.ocx vftable .

CVE-2013-3163
use-after-free CBlockContainerBlock, IE. CVE-2013-0634, .
OR. :
or dword ptr [esi+8],20000h
:
- :

, . :

DWORD, 0x03f0, , .
ESI + 8 0x03f0, OR 0x0203f0, , .
0x3FFFFFF0.

IE. ASLR , DLL kernel32/NTDLL .
ZwProtectVirtualMemory API ROP , DEP :

, flash.Media.Sound(). vftable ROP .

CVE-2013-1690
use-after-free DocumentViewerImpl Firefox 0×0001 , :


, , "" . "IF", setImageAnimationMode(), . setImageAnimationMode() :

ArrayBuffer, . ArrayBuffer var2 0xff004.

, 0x010ff004. ArrayBuffer byteLength JavaScript. ArrayBuffer. NTDLL SharedUserData (0x7ffe0300) ROP .

CVE-2013-1493
JAVA CMM, .
0x7fffffff, SecurityManager . , .
Array . , .


APT 0day , :



ASLR 0day . IE non-ASLR Microsoft Office, Microsoft non-ASLR . , . , .
, , , .

ASLR, Dion Blazakis's JIT Yuyang's LdrHotPatchRoutine technique. . , ASLR, , .

. , 0day , .

Dan Caselden and Yichong Lin .

1:
obj[1] = null;
RegExp , :
boom = "(?i)()()(?-i)||||||||||||||||||||||||";
var trigger = new RegExp(boom, "");

, , obj[2]. , obj[2] , flash.ocx vftable .

CVE-2013-3163
use-after-free CBlockContainerBlock, IE. CVE-2013-0634, .
OR. :
or dword ptr [esi+8],20000h
:
- :

, . :

DWORD, 0x03f0, , .
ESI + 8 0x03f0, OR 0x0203f0, , .
0x3FFFFFF0.

IE. ASLR , DLL kernel32/NTDLL .
ZwProtectVirtualMemory API ROP , DEP :

, flash.Media.Sound(). vftable ROP .

CVE-2013-1690
use-after-free DocumentViewerImpl Firefox 0×0001 , :


, , "" . "IF", setImageAnimationMode(), . setImageAnimationMode() :

ArrayBuffer, . ArrayBuffer var2 0xff004.

, 0x010ff004. ArrayBuffer byteLength JavaScript. ArrayBuffer. NTDLL SharedUserData (0x7ffe0300) ROP .

CVE-2013-1493
JAVA CMM, .
0x7fffffff, SecurityManager . , .
Array . , .


APT 0day , :



ASLR 0day . IE non-ASLR Microsoft Office, Microsoft non-ASLR . , . , .
, , , .

ASLR, Dion Blazakis's JIT Yuyang's LdrHotPatchRoutine technique. . , ASLR, , .

. , 0day , .

Dan Caselden and Yichong Lin .

1:
obj[1] = null;
RegExp , :
boom = "(?i)()()(?-i)||||||||||||||||||||||||";
var trigger = new RegExp(boom, "");

, , obj[2]. , obj[2] , flash.ocx vftable .

CVE-2013-3163
use-after-free CBlockContainerBlock, IE. CVE-2013-0634, .
OR. :
or dword ptr [esi+8],20000h
:
- :

, . :

DWORD, 0x03f0, , .
ESI + 8 0x03f0, OR 0x0203f0, , .
0x3FFFFFF0.

IE. ASLR , DLL kernel32/NTDLL .
ZwProtectVirtualMemory API ROP , DEP :

, flash.Media.Sound(). vftable ROP .

CVE-2013-1690
use-after-free DocumentViewerImpl Firefox 0×0001 , :


, , "" . "IF", setImageAnimationMode(), . setImageAnimationMode() :

ArrayBuffer, . ArrayBuffer var2 0xff004.

, 0x010ff004. ArrayBuffer byteLength JavaScript. ArrayBuffer. NTDLL SharedUserData (0x7ffe0300) ROP .

CVE-2013-1493
JAVA CMM, .
0x7fffffff, SecurityManager . , .
Array . , .


APT 0day , :



ASLR 0day . IE non-ASLR Microsoft Office, Microsoft non-ASLR . , . , .
, , , .

ASLR, Dion Blazakis's JIT Yuyang's LdrHotPatchRoutine technique. . , ASLR, , .

. , 0day , .

Dan Caselden and Yichong Lin .

1:
obj[1] = null;
RegExp , :
boom = "(?i)()()(?-i)||||||||||||||||||||||||";
var trigger = new RegExp(boom, "");

, , obj[2]. , obj[2] , flash.ocx vftable .

CVE-2013-3163
use-after-free CBlockContainerBlock, IE. CVE-2013-0634, .
OR. :
or dword ptr [esi+8],20000h
:
- :

, . :

DWORD, 0x03f0, , .
ESI + 8 0x03f0, OR 0x0203f0, , .
0x3FFFFFF0.

IE. ASLR , DLL kernel32/NTDLL .
ZwProtectVirtualMemory API ROP , DEP :

, flash.Media.Sound(). vftable ROP .

CVE-2013-1690
use-after-free DocumentViewerImpl Firefox 0×0001 , :


, , "" . "IF", setImageAnimationMode(), . setImageAnimationMode() :

ArrayBuffer, . ArrayBuffer var2 0xff004.

, 0x010ff004. ArrayBuffer byteLength JavaScript. ArrayBuffer. NTDLL SharedUserData (0x7ffe0300) ROP .

CVE-2013-1493
JAVA CMM, .
0x7fffffff, SecurityManager . , .
Array . , .


APT 0day , :



ASLR 0day . IE non-ASLR Microsoft Office, Microsoft non-ASLR . , . , .
, , , .

ASLR, Dion Blazakis's JIT Yuyang's LdrHotPatchRoutine technique. . , ASLR, , .

. , 0day , .

Dan Caselden and Yichong Lin .

1:
obj[1] = null;
RegExp , :
boom = "(?i)()()(?-i)||||||||||||||||||||||||";
var trigger = new RegExp(boom, "");

, , obj[2]. , obj[2] , flash.ocx vftable .

CVE-2013-3163
use-after-free CBlockContainerBlock, IE. CVE-2013-0634, .
OR. :
or dword ptr [esi+8],20000h
:
- :

, . :

DWORD, 0x03f0, , .
ESI + 8 0x03f0, OR 0x0203f0, , .
0x3FFFFFF0.

IE. ASLR , DLL kernel32/NTDLL .
ZwProtectVirtualMemory API ROP , DEP :

, flash.Media.Sound(). vftable ROP .

CVE-2013-1690
use-after-free DocumentViewerImpl Firefox 0×0001 , :


, , "" . "IF", setImageAnimationMode(), . setImageAnimationMode() :

ArrayBuffer, . ArrayBuffer var2 0xff004.

, 0x010ff004. ArrayBuffer byteLength JavaScript. ArrayBuffer. NTDLL SharedUserData (0x7ffe0300) ROP .

CVE-2013-1493
JAVA CMM, .
0x7fffffff, SecurityManager . , .
Array . , .


APT 0day , :



ASLR 0day . IE non-ASLR Microsoft Office, Microsoft non-ASLR . , . , .
, , , .

ASLR, Dion Blazakis's JIT Yuyang's LdrHotPatchRoutine technique. . , ASLR, , .

. , 0day , .

Dan Caselden and Yichong Lin .

1:
obj[1] = null;
RegExp , :
boom = "(?i)()()(?-i)||||||||||||||||||||||||";
var trigger = new RegExp(boom, "");

, , obj[2]. , obj[2] , flash.ocx vftable .

CVE-2013-3163
use-after-free CBlockContainerBlock, IE. CVE-2013-0634, .
OR. :
or dword ptr [esi+8],20000h
:
- :

, . :

DWORD, 0x03f0, , .
ESI + 8 0x03f0, OR 0x0203f0, , .
0x3FFFFFF0.

IE. ASLR , DLL kernel32/NTDLL .
ZwProtectVirtualMemory API ROP , DEP :

, flash.Media.Sound(). vftable ROP .

CVE-2013-1690
use-after-free DocumentViewerImpl Firefox 0×0001 , :


, , "" . "IF", setImageAnimationMode(), . setImageAnimationMode() :

ArrayBuffer, . ArrayBuffer var2 0xff004.

, 0x010ff004. ArrayBuffer byteLength JavaScript. ArrayBuffer. NTDLL SharedUserData (0x7ffe0300) ROP .

CVE-2013-1493
JAVA CMM, .
0x7fffffff, SecurityManager . , .
Array . , .


APT 0day , :



ASLR 0day . IE non-ASLR Microsoft Office, Microsoft non-ASLR . , . , .
, , , .

ASLR, Dion Blazakis's JIT Yuyang's LdrHotPatchRoutine technique. . , ASLR, , .

. , 0day , .

Dan Caselden and Yichong Lin .

1:
obj[1] = null;
RegExp , :
boom = "(?i)()()(?-i)||||||||||||||||||||||||";
var trigger = new RegExp(boom, "");

, , obj[2]. , obj[2] , flash.ocx vftable .

CVE-2013-3163
use-after-free CBlockContainerBlock, IE. CVE-2013-0634, .
OR. :
or dword ptr [esi+8],20000h
:
- :

, . :

DWORD, 0x03f0, , .
ESI + 8 0x03f0, OR 0x0203f0, , .
0x3FFFFFF0.

IE. ASLR , DLL kernel32/NTDLL .
ZwProtectVirtualMemory API ROP , DEP :

, flash.Media.Sound(). vftable ROP .

CVE-2013-1690
use-after-free DocumentViewerImpl Firefox 0×0001 , :


, , "" . "IF", setImageAnimationMode(), . setImageAnimationMode() :

ArrayBuffer, . ArrayBuffer var2 0xff004.

, 0x010ff004. ArrayBuffer byteLength JavaScript. ArrayBuffer. NTDLL SharedUserData (0x7ffe0300) ROP .

CVE-2013-1493
JAVA CMM, .
0x7fffffff, SecurityManager . , .
Array . , .


APT 0day , :



ASLR 0day . IE non-ASLR Microsoft Office, Microsoft non-ASLR . , . , .
, , , .

ASLR, Dion Blazakis's JIT Yuyang's LdrHotPatchRoutine technique. . , ASLR, , .

. , 0day , .

Dan Caselden and Yichong Lin .

1:
obj[1] = null;
RegExp , :
boom = "(?i)()()(?-i)||||||||||||||||||||||||";
var trigger = new RegExp(boom, "");

, , obj[2]. , obj[2] , flash.ocx vftable .

CVE-2013-3163
use-after-free CBlockContainerBlock, IE. CVE-2013-0634, .
OR. :
or dword ptr [esi+8],20000h
:
- :

, . :

DWORD, 0x03f0, , .
ESI + 8 0x03f0, OR 0x0203f0, , .
0x3FFFFFF0.

IE. ASLR , DLL kernel32/NTDLL .
ZwProtectVirtualMemory API ROP , DEP :

, flash.Media.Sound(). vftable ROP .

CVE-2013-1690
use-after-free DocumentViewerImpl Firefox 0×0001 , :


, , "" . "IF", setImageAnimationMode(), . setImageAnimationMode() :

ArrayBuffer, . ArrayBuffer var2 0xff004.

, 0x010ff004. ArrayBuffer byteLength JavaScript. ArrayBuffer. NTDLL SharedUserData (0x7ffe0300) ROP .

CVE-2013-1493
JAVA CMM, .
0x7fffffff, SecurityManager . , .
Array . , .


APT 0day , :



ASLR 0day . IE non-ASLR Microsoft Office, Microsoft non-ASLR . , . , .
, , , .

ASLR, Dion Blazakis's JIT Yuyang's LdrHotPatchRoutine technique. . , ASLR, , .

. , 0day , .

Dan Caselden and Yichong Lin .