Microsoft Internet Explorer execCommand Use-After-Free Vulnerability Analyze

搬砖王

技术分享 2月前 1 浏览

Microsoft Internet Explorer execCommand Use-After-Free Vulnerability Analyze

written by h4ckmp
http://t.qq.com/h4ckmp
欢迎讨论各种漏洞问题.
漏洞信息
Internet Explorer在打开攻击页面时，CMshtmlEd对象被删除并释放，且释放后的内存被重用，导致Use-After-Free.
受影响系统：
Microsoft Internet Explorer 9.x
Microsoft Internet Explorer 8.x
Microsoft Internet Explorer 7.x
发布
2012-09-17
漏洞来源信息：
http://eromang.zataz.com/2012/09/16/zero-day-season-is-really-not-over-yet/
漏洞类型：
Use-After-Free
crash info
使用IE打开exploit.htm, 发生异常, 堆栈情况如下

漏洞分析
异常产生在CMshtmlEd::Exec(), 原因是由于objMshtmlEd被覆盖, 导致虚函数寻址调用时被控制

查看POC中代码, document.execCommand("SelectAll") 执行时会调用CBase::execCommand()函数, 第一个参数为要执行命令的字符串, 函数中会检查要执行的命令是否有效.
在mshtml!CEditRouter::ExecEditCommand.函数中会调用CEditRouter::SetInternalEditHandler来设置命令事件handler, 并创建一个MshtmlEd对象

mshtml!CEditRouter::SetInternalEditHandler函数内部调用mshtml!CDoc::GetHTMLEditor 获取页面中的Editor, 通过mshtml!CHTMLEditor::AddCommandTarget来创建并初始化一个命令事件.