Обзор эксплойтов

Крис Касперски ака мыщъх

Хакер, номер #092, стр. 092-050-8

В старой версии драйвера был только один вызов PsGetCurrentProcessId, и переменная [esi+2Ch] оставалась неинициализированной. Теперь это исправлено. Аналогичным путем находятся и другие различия. Признайтесь, разве это неинтересно — узнать, что же реально исправила Microsoft и где находится источник проблемы. Проанализировав ситуацию, мы все-таки сможем исправить exploit, заставив его работать (копия экрана, подтверждающая это, приводится ниже — по понятным соображениям, исправленный exploit не распространяется, во всяком случае, до тех пор, пока большинство пользователей не почешутся обновить свою систему).

Также рекомендуется прочитать руководство "How to: Harden the TCP/IP Stack": msdn.microsoft.com/library/default.asp?url=/library/en-us/dnnetsec/html/HTHardTCP.asp; и ознакомиться с информацией о двух других дырах в TCP/IP-драйвере, допускающих выполнение shell-кода: securityfocus.com/bid/18325 и securityfocus.com/bid/18374.