Обзор эксплойтов

Крис Касперски ака мыщъх

Хакер, номер #091, стр. 091-060-2

Уязвимости подвержены следующие продукты: Mozilla Thunderbird 1.5.2, Mozilla Firefox 1.5.3, Netscape Browser 8.0.4 (кстати говоря, более ранние версии неуязвимы). Proof-of-concept exploit'ы можно найти в базе данных Mozilla Bugzilla, доступной только разработчикам и закрытой для публичного доступа (к счастью, присоединиться к команде может практически любой желающий).

Листинг 3: JavaScript выполнения, даже если он отключен

<html>

<body>

<iframe src="javascript:alert('Found by www.sysdream.com !')"></iframe>

</body>

</html>

Листинг 4: HTML-код, вызывающие крах приложения

<html>

<body>

<iframe src="javascript:parent.document.write('Found by www.sysdream.com!')"></iframe>

</body>

</html>

За более подробной информацией обращайтесь по ссылкам: securityfocus.com/bid/18228, www.securityfocus.com/bid/16770/ и www.securityfocus.com/bid/17516.

Переполнение буфера в IE MHTML URI

Microsoft прилагает большие усилия по защите и вылизыванию кода IE, однако поток дыр не прекращается, и вот, 31 мая 2006 года, два хакера Mr Niega и Hariharan обнаружили переполнение локального стекового буфера в функции inetcomm!CActiveUrlRequest::ParseUrl, принадлежащей библиотеке INETCOMM.DLL.

Исходный код последних версий IE транслировался компилятором Microsoft Visual Studio .NET с ключом /GS, активирующим примитивную защиту стека от переполнения, представляющую собой некоторую разновидность Stack-Guard'а причем в далеко не лучшей его «инаугурации». Никогда не разрабатывающая собственных продуктов, а только «ворующая» уже готовые (авторитетный товарищ Берзуков в своей софт-панораме об этом только и говорит, сходите на www.softpanorama.org/Bulletin/News/Archive/news078.txt, почитайте — там много интересного), Microsoft, как это часто и бывает, сама не поняла, что стащила, и у кого.

В практическом плане это значит, что при затирании секретного cookie, расположенного перед адресом возврата, управление получает недокументированная функция inetcomm!__report_gsfailure, завершающая приложение в аварийном режиме. Короче, грохает IE. Однако, передать управление на shell-код все-таки возможно, и в статье «Переполняющиеся буферы - активные средства защиты» показано, как это сделать (электронная копия лежит на моем сервере: ftp://nezumi.org.ru/pub/stack-guards.zip).