Windows XP 停止服務後 IE 瀏覽器爆重大 0Day 漏洞，兩者有關嗎？

01-05

Windows XP 用戶如何修復漏洞？何處下載補丁？
&> 互聯網安全公司Fire Eye最早於上周五發現了該漏洞，微軟周六對此給予證實，稱該漏洞影響IE 6至IE 11的所有版本IE瀏覽器。調研公司NetMarketShare數據顯示，上述受影響到IE瀏覽器在全球瀏覽器市場的份額高達55%。微軟還表示，公司目前正在緊急開發該漏洞的補丁程序。但由於微軟本月初已經宣布，徹底技術對Windows XP的技術支持，這意味著屆時Windows XP用戶將無法獲得該安全更新。Fire Eye預計，全球約15%至25%的PC仍運行Windows XP...

via IE瀏覽器再爆重大0Day漏洞涉及所有版本_天極網

昨天聽到的消息，該漏洞利用IE內存管理的缺陷繞過DEP執行任意代碼。

Microsoft says:

The vulnerability exists in the way that Internet Explorer accesses an object in memory that has been deleted or has not been properly allocated. The vulnerability may corrupt memory in a way that could allow an attacker to execute arbitrary code in the context of the current user within Internet Explorer. An attacker could host a specially crafted website that is designed to exploit this vulnerability through Internet Explorer and then convince a user to view the website.
- Microsoft Security Advisory 2963983

目前我還沒有拿到任何可以利用的漏洞信息，所以對目前能採取的有效措施也僅限於微軟的公告。微軟建議禁止IE的腳本和Flash執行，但這還算是瀏覽器嗎？期待創宇的人提供一些線索以及分析結論，或等官方放出正式補丁。另外，微軟稱安裝EMET 4.1可以降低該漏洞的威脅性。

不過我果斷建議IE用戶們如果沒有特殊需求，還是換瀏覽器吧。

至於你所謂的「關係」，我覺得真的不大。這次的漏洞來自目標明確的商業攻擊行為，而且目標也不僅限於XP。微軟也及時做出回應了，與它是否繼續支持XP真的沒有多大關係。

====簡單的技術分析====

根據現有的FireEye報告（New Zero-Day Exploit targeting Internet Explorer Versions 9 through 11 Identified in Targeted Attacks、ASLR Bypass Apocalypse in Recent Zero-Day Exploits、More on the IE 0-day）攻擊者大致使用以下的攻擊程序手法：

1. 利用CVE-2013-3163漏洞，使用一個Flash對象填充內存，構造堆風水內存結構，準備堆腐爛和shellcode

2. 通過IE未公布的「use after free」 JavaScript漏洞（訪問已經釋放的內存）實現堆噴射

3. 通過ASLR和DEP的漏洞繞過隨機地址分配機制，獲得內存訪問許可權

4. 利用NtContinue反調試機制繞過EMET等主動防禦

5. 通過內存訪問進行ROP，放到shellcode前面

6. 替換Flash對象中的一個聲音對象的vftable，然後觸發ROP

7. ROP跳轉到shellcode執行，攻擊完成

只是對報告的理解，可能有不準確的地方，請指出，謝謝。