CVE-2010-2883漏洞分析

来源：http://bbs.ichunqiu.com/thread-8849-1-1.html?from=ch

首先我需要纠正一下@nancheal同学，我的ID是k0shl，并非k0s1

，发这贴的原因是上午看到了nancheal发的一次失败的分析之后，发现他原帖中存在的一些细节上的问题，和对于这个漏洞的疑惑，我也受到了泉哥的《漏洞战争》签名赠书，还没来得及看，所以对泉哥的分析并不是很了解，网上说搜索了一下也只搜到泉哥关于这个漏洞的补丁对比的内容。昨天和nancheal同学在微信上有过短暂的交流，也不是很深入，上午看完帖子后，我自己进行了一下调试，结合nancheal的分析来完成对这个漏洞的分析。

另外蛋总让我强行参加原创奖励活动，也借此机会了却一桩心事吧。。

首先我的个人建议是nancheal同学以及刚刚入门和准备入门的同学都先不要调试《漏洞战争》这本书上的漏洞，首先CVE级别漏洞本身都很复杂，哪怕08年以后的漏洞都涉及到一些较为高级的调试技巧，书上的实例可能调试步骤比较详细，但是调试过程中难免会碰到一些细节会和书上不同，比如malloc申请堆空间的时候，申请下来堆空间每次地址都不一样，因此建议刚入门或者想入门的同学，先从基础的做起，《0day安全：软件漏洞分析技术》这本书就是为《漏洞战争》准备的基础书籍，极力推荐。

另外就算在对《漏洞战争》中的实例调试时，还是需要从原理入手，灵活运用所学，不一定是要完全按照书上的调试内容，更多的应该把书作为实践的佐证。

其次我要纠正一下nancheal在帖子[原创]漏洞战争之cve-2010-2883 一次失败的分析中存在的误区。

1、dll的读写权限，这个我在昨天和nancheal在微信上讨论时已经指出，实际上，dll不具备w（写）权限也很正常，有R权限就已经很不错了，其中熟悉PE结构的同学知道.text段是代码段，拥有执行权限，.data段用于存放变量，实际上，这个漏洞原理和dll中是否具备写权限关系不大，可能会对将来exp执行有影响，但是这里就分析来说影响并不大。

2、泉哥为什么要用内存访问断点，这里要普及两个概念，一个是内存写入断点和内存访问断点，这两个断点在漏洞分析调试中经常会被用到，在申请了一片内存空间后，可能会向这片内存空间中存入一些数值，这些数值可能是我们的payload，这时候我们可以通过对这片内存的起始地址（某指针）下内存访问断点，这样，当后续指令流在调用到这个内存起始地址（也就是调用到某指针）的时候，就会命中断点，这样就能快速定位到发生调用的位置。

而内存写入断点则是，比如我们malloc开辟了一片内存空间，在程序执行到某个位置的时候，会向这片内存区域拷贝我们的payload，这时，我们可以在malloc之后对这片内存区域的起始地址下内存写入断点，这之后，如果程序执行到某处，会对这个地址写入payload时候就会发生中断，命中断点。

用C的方法来解释这个过程就是

[AppleScript]纯文本查看复制代码

3/*0*/char*ichunqiu=(char*)malloc(250);

/*1*/ichunqiu="I love AK";

/*2*/char*k0shl=ichunqiu;

当执行0语句的时候，对ichunqiu这个指针地址下内存访问断点和内存写入断点。当执行到1语句的时候，会因为内存写入断点而中断，当执行到2语句的时候，会因为内存访问断点而中断。

3、关于nancheal提出的其他dll，不知道他最后命中的是不是BIB.dll，这个也是Adobe Reader下的一个dll，实际上是在CoolType.dll下发生溢出，而在BIB.dll中造成的影响。

好了，基本的原理就是这样，下面进入我们的分析。

这里调试器我选用：Windbg

测试环境：windows xp sp3

测试软件：Adobe Reader 8.0

PoC选用泉哥提供的PoC里的msf样本。

根据漏洞描述，这个漏洞是在处理Sing字体解析的时候会发生溢出，在实际分析之后，实际上这里是由于溢出引发的某指针被覆盖，从而从CoolType.dll中调用BIB.dll某函数时，某函数重要指针被覆盖，从而导致了程序进入SEH异常处理模块，之后通过溢出覆盖SEH指针达到执行任意代码的目的。关于补丁对比，百度指直接搜索CVE-2010-2883就能看到kanxue泉哥的文章，其他也有转载，不再多提。

根据nancheal同学分析中的描述，我们可以定位到函数

[C]纯文本查看复制代码

char__cdecl sub_803BC7B(inta1,inta2,inta3,inta4)

这个函数中会对SING字体格式进行解析，具体的IDA伪代码我不全发了，比如

[C]纯文本查看复制代码

sub_8020619(a1,"SING");

会对SING进行判断等等，这里不多说了，关注到函数中有一处调用loc块，这个在nancheal的分析中也能看到。

[Asm]纯文本查看复制代码

7.text:0803BD21 loc_803BD21:; CODE XREF: sub_803BC7B+9C�j

.text:0803BD21addeax, 10h

.text:0803BD24pusheax; char *

.text:0803BD25leaeax, [ebp+108h+var_108]

.text:0803BD28pusheax; char *

.text:0803BD29mov[ebp+108h+var_108], 0

.text:0803BD2Dcallstrcat

通过Windbg，在这个块0803BD21地址下断点进行跟踪。

[Asm]纯文本查看复制代码

300:000> p

eax=086de160ebx=0012e584ecx=00000000edx=00000200esi=00000000edi=0012e690

eip=0803bd24esp=0012e3ecebp=0012e454 iopl=0 nv up ei pl nz na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000206

CoolType+0x3bd24:

0803bd24 50pusheax

0:000> p

eax=086de160ebx=0012e584ecx=00000000edx=00000200esi=00000000edi=0012e690

eip=0803bd25esp=0012e3e8ebp=0012e454 iopl=0 nv up ei pl nz na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000206

CoolType+0x3bd25:

0803bd25 8d4500leaeax,[ebp]

0:000> p

eax=0012e454ebx=0012e584ecx=00000000edx=00000200esi=00000000edi=0012e690

eip=0803bd28esp=0012e3e8ebp=0012e454 iopl=0 nv up ei pl nz na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000206

CoolType+0x3bd28:

0803bd28 50pusheax

0:000> p

eax=0012e454ebx=0012e584ecx=00000000edx=00000200esi=00000000edi=0012e690

eip=0803bd29esp=0012e3e4ebp=0012e454 iopl=0 nv up ei pl nz na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000206

CoolType+0x3bd29:

0803bd29 c6450000movbyteptr[ebp],0ss:0023:0012e454=54

0:000> p

eax=0012e454ebx=0012e584ecx=00000000edx=00000200esi=00000000edi=0012e690

eip=0803bd2desp=0012e3e4ebp=0012e454 iopl=0 nv up ei pl nz na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000206

CoolType+0x3bd2d:

0803bd2d e86c5b0100callCoolType!CTInit+0xd4aa (0805189e)

可以看到，在0803bd2d位置调用了strcat函数，实际上实现的是对第二次push eax的地址进行字符串拼接，拼接的内容是第一次push eax的内容，可以来看一下这两个内容。这个内容不多介绍了，在nancheal的文章里也有，其实第一次push eax的内容就是畸形字符串的内容，而第二次就是准备拷贝进的内容。

我们关注到eax的地址是0012e454，也就是说，这个0012e454在执行完毕后，会拼接上畸形字符串，我们直接步过call调用。并再次查看地址。

[Asm]纯文本查看复制代码

300:000> t

eax=0012e454ebx=0012e584ecx=0012e584edx=0000006cesi=00000000edi=0012e690

eip=080011ccesp=0012e3e4ebp=0012e454 iopl=0 nv up ei pl zr na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000246

CoolType+0x11cc:

080011cc 56pushesi

0:000> p

eax=0012e454ebx=0012e584ecx=0012e584edx=0000006cesi=00000000edi=0012e690

eip=080011cdesp=0012e3e0ebp=0012e454 iopl=0 nv up ei pl zr na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000246

CoolType+0x11cd:

080011cd 57pushedi

0:000>ddesp

0012e3e0 00000000 0803bd3f 0012e454 4af0349b

0012e3f0 00000004 0012e64c 00000000 4af034d3

0012e400 0012e66c 0012e64c 00000000 0012e3fc

0012e410 0012e4b0 081608b9 00000000 08085528

0012e420 080497d5 0012e678 000026ec 0012e690

0012e430 086cef58 00001ddf 00000000 00000000

0012e440 00b38120 0012e3ec 0012e684 0816ebd7

0012e450 00000002 e6516698 e78b53ab 4a82a714

0:000>dd0012e454

0012e454 e6516698 e78b53ab 4a82a714 0c0c0c0c

0012e464 37120a16 36e78c7a 03a9dc3f cbcfe1a1

0012e474 c591787b 5ff78c8b 902fc83d 1e35d340

0012e484 5f450b24 0a616d64 6c9e5b1d eb6af62e

0012e494 cc3efb89 2b1a8365 1b6890d3 daed63fe

0012e4a4 2841ca39 b36b9a86 d5c751cc 0f2c2ad9

0012e4b4 b451ef61 5e4c3415 26f3b9cd 487189ce

0012e4c4 4f37251f 905d28ad 57ba53b8 7d86e71c

可以看到，已经覆盖上畸形字符串了，实际上，去看一下泉哥的补丁对比可以发现，adobe修补这个漏洞，也是在strcat之前进行了一次对字体内容的判断，控制长度防止了溢出。

这里拷贝上畸形字符串后单步跟踪，发现这里strcat后会调用一处函数。

[Asm]纯文本查看复制代码

320:000> p

eax=0012e454ebx=0012e584ecx=0012e584edx=0000006cesi=00000000edi=0012e690

eip=080011d2esp=0012e3d8ebp=0012e454 iopl=0 nv up ei pl zr na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000246

CoolType+0x11d2:

080011d2 8bf1movesi,ecx

0:000> p

eax=0012e454ebx=0012e584ecx=0012e584edx=0000006cesi=0012e584edi=0012e690

eip=080011d4esp=0012e3d8ebp=0012e454 iopl=0 nv up ei pl zr na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000246

CoolType+0x11d4:

***ERROR: Symbol file couldnotbe found. Defaulted toexportsymbolsforC:\Program Files\Adobe\Reader 8.0

\Reader\BIB.dll -

080011d4 ff155ce52008calldwordptr[CoolType!CTCleanup+0xcdcc0 (0820e55c)]ds:0023:0820e55c=07005143

0:000>ddesp

0012e3d8 0012e454 0012e690 00000000 0803bd3f

0012e3e8 0012e454 4af0349b 00000004 0012e64c

0012e3f8 00000000 4af034d3 0012e66c 0012e64c

0012e408 00000000 0012e3fc 0012e4b0 081608b9

0012e418 00000000 08085528 080497d5 0012e678

0012e428 000026ec 0012e690 086cef58 00001ddf

0012e438 00000000 00000000 00b38120 0012e3ec

0012e448 0012e684 0816ebd7 00000002 e6516698

0:000>dd0012e454

0012e454 e6516698 e78b53ab 4a82a714 0c0c0c0c

0012e464 37120a16 36e78c7a 03a9dc3f cbcfe1a1

0012e474 c591787b 5ff78c8b 902fc83d 1e35d340

0012e484 5f450b24 0a616d64 6c9e5b1d eb6af62e

0012e494 cc3efb89 2b1a8365 1b6890d3 daed63fe

0012e4a4 2841ca39 b36b9a86 d5c751cc 0f2c2ad9

0012e4b4 b451ef61 5e4c3415 26f3b9cd 487189ce

0012e4c4 4f37251f 905d28ad 57ba53b8 7d86e71c

可以看到，调用这处函数的时候，参数就是我们的畸形字符串，关于函数调用的参数，通过esp就能看到，这个是基本，网上都能够搜到，我不再解释了，在call这个函数之前，我们要重点关注一个寄存器ecx，可以看到ecx的值是0012e584，ecx存放的起始就是this指针，那么这个值和我们刚才strcat的值0012e454是不是离得很近，而由于没有进行长度检查，导致this指针原本的值，会被0012e454的值覆盖！这个地方很关键，也是漏洞最根本的原因！来看一下这个值

[Asm]纯文本查看复制代码

90:000>ddebx

0012e584 4a8a08c6 5cc9c74d a53c982e 151b9907

0012e594 cdb55d52 1a101055 b03f839c 343c1b59

0012e5a4 553cc3ea a31efcba 695dc2d0 e680dffb

0012e5b4 bf0194b8 0960a1af 201ff4e3 d5253c21

0012e5c4 11c0be21 85c00d4c 043ecff4 05bb3e03

0012e5d4 d22783c6 77ba1c97 3d582536 9210a51f

0012e5e4 e85a280e 17662139 e2ad85c3 c9f86c5e

0012e5f4 40c7f4b1 5fdd9565 afe3c638 abe6f453

正是我们畸形字符串的一部分，由于溢出的发生，导致this指针被覆盖了，那么这会造成什么后果呢。，先通过IDA可以看一下这一块的伪代码。

[C]纯文本查看复制代码

7if( v18 )

{

if( !(*(_DWORD *)v18 & 0xFFFF) || (*(_DWORD *)v18 & 0xFFFF) == 256 )

{

v24 = 0;

strcat(&v24, (constchar*)(v18 + 16));

sub_80011CC((int*)a2, (int)&v24);

这里执行完strcat后，会调用sub_80011cc，其中会调用到两个参数a2和v24，而a2就是我们的this指针，而v24则是strcat后的畸形字符串（已经不重要了，关键的this指针已经被覆盖），关于sub_80011cc函数通过IDA可以看到下面的伪代码。

[C]纯文本查看复制代码

13int*__thiscall sub_80011CC(int*this,inta2)

{

int*v2;// esi@1

intv3;// edi@1

v2 =this;

v3 = dword_820E55C(a2);

if( *v2 )

dword_820E560(*v2);

*v2 = v3;

v2[1] = dword_820E564(v3);

returnv2;

}

两者对证，可以发现this指针就是之前提到的a2，a2已经被覆盖了，随后this指针会交给v2变量，可以看一下这个过程。

[Asm]纯文本查看复制代码

120:000> p

eax=0012e454ebx=0012e584ecx=0012e584edx=0000006cesi=00000000edi=0012e690

eip=080011ceesp=0012e3dcebp=0012e454 iopl=0 nv up ei pl zr na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000246

CoolType+0x11ce:

080011ce ff74240cpushdwordptr[esp+0Ch]ss:0023:0012e3e8=0012e454

0:000> p

eax=0012e454ebx=0012e584ecx=0012e584edx=0000006cesi=00000000edi=0012e690

eip=080011d2esp=0012e3d8ebp=0012e454 iopl=0 nv up ei pl zr na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000246

CoolType+0x11d2:

080011d2 8bf1movesi,ecx

这里执行了一处拷贝操作，拷贝的就是ecx地址，交给esi指针寄存器，随后观察esi的值。

[Asm]纯文本查看复制代码

90:000>ddesi

0012e584 4a8a08c6 5cc9c74d a53c982e 151b9907

0012e594 cdb55d52 1a101055 b03f839c 343c1b59

0012e5a4 553cc3ea a31efcba 695dc2d0 e680dffb

0012e5b4 bf0194b8 0960a1af 201ff4e3 d5253c21

0012e5c4 11c0be21 85c00d4c 043ecff4 05bb3e03

0012e5d4 d22783c6 77ba1c97 3d582536 9210a51f

0012e5e4 e85a280e 17662139 e2ad85c3 c9f86c5e

0012e5f4 40c7f4b1 5fdd9565 afe3c638 abe6f453

已经是畸形字符串了，这点很关键，随后esi地址中存放的值（本来应该是一处指针）会交给eax

[Asm]纯文本查看复制代码

200:000> p

eax=086ede74ebx=0012e584ecx=07005175edx=07016aa0esi=0012e584edi=0012e690

eip=080011daesp=0012e3d8ebp=0012e454 iopl=0 nv up ei pl nz na po nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000202

CoolType+0x11da:

080011da 8bf8movedi,eax

0:000> p

eax=086ede74ebx=0012e584ecx=07005175edx=07016aa0esi=0012e584edi=086ede74

eip=080011dcesp=0012e3d8ebp=0012e454 iopl=0 nv up ei pl nz na po nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000202

CoolType+0x11dc:

080011dc 8b06moveax,dwordptr[esi]ds:0023:0012e584=4a8a08c6

0:000> p

eax=4a8a08c6ebx=0012e584ecx=07005175edx=07016aa0esi=0012e584edi=086ede74

eip=080011deesp=0012e3d8ebp=0012e454 iopl=0 nv up ei pl nz na po nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000202

CoolType+0x11de:

080011de 85c0testeax,eax

0:000> reax

eax=4a8a08c6

可以看到，eax现在已经是一个畸形的地址了，之后会有一个函数调用eax，在上面伪代码中的内容就是

[C]纯文本查看复制代码

2if( *v2 )

dword_820E560(*v2);

这个dword_820E560是BIB.dll中的一个函数

[Asm]纯文本查看复制代码

0:000> p

eax=4a8a08c6ebx=0012e584ecx=0012e454edx=07016aa0esi=0012e584edi=086ede74

eip=080011e3esp=0012e3dcebp=0012e454 iopl=0 nv up ei pl nz na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000206

CoolType+0x11e3:

080011e3 50pusheax

0:000> p

eax=4a8a08c6ebx=0012e584ecx=0012e454edx=07016aa0esi=0012e584edi=086ede74

eip=080011e4esp=0012e3d8ebp=0012e454 iopl=0 nv up ei pl nz na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000206

CoolType+0x11e4:

080011e4 ff1560e52008calldwordptr[CoolType!CTCleanup+0xcdcc4 (0820e560)]

这个地方会把eax作为参数入栈，之后再BIB.dll函数中被调用

[Asm]纯文本查看复制代码

0:000> p

eax=4a8a08c6ebx=0012e584ecx=0012e454edx=07016aa0esi=0012e584edi=086ede74

eip=080011e4esp=0012e3d8ebp=0012e454 iopl=0 nv up ei pl nz na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000206

CoolType+0x11e4:

080011e4 ff1560e52008calldwordptr[CoolType!CTCleanup+0xcdcc4 (0820e560)]ds:0023:0820e560=0700518d

0:000> t

eax=4a8a08c6ebx=0012e584ecx=0012e454edx=07016aa0esi=0012e584edi=086ede74

eip=0700518desp=0012e3d4ebp=0012e454 iopl=0 nv up ei pl nz na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000206

BIB!BIBInitialize4+0x1820:

0700518d 8b4c2404movecx,dwordptr[esp+4]ss:0023:0012e3d8=4a8a08c6

0:000> p

eax=4a8a08c6ebx=0012e584ecx=4a8a08c6edx=07016aa0esi=0012e584edi=086ede74

eip=07005191esp=0012e3d4ebp=0012e454 iopl=0 nv up ei pl nz na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000206

BIB!BIBInitialize4+0x1824:

07005191 e91bc2ffffjmpBIB+0x13b1 (070013b1)

0:000> p

eax=4a8a08c6ebx=0012e584ecx=4a8a08c6edx=07016aa0esi=0012e584edi=086ede74

eip=070013b1esp=0012e3d4ebp=0012e454 iopl=0 nv up ei pl nz na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000206

BIB+0x13b1:

070013b1 ff491cdecdwordptr[ecx+1Ch]ds:0023:4a8a08e2=????????

最后可以看到，在函数中会引用到这个指针中的值，而此时指针已经被覆盖，导致程序出现异常，到达这步继续只执行，会进入SEH异常处理模块。

[Asm]纯文本查看复制代码

0:000> p

(b9c.e04): Access violation - code c0000005 (first chance)

First chance exceptions are reported before any exception handling.

Thisexception may be expectedandhandled.

eax=4a8a08c6ebx=0012e584ecx=4a8a08c6edx=07016aa0esi=0012e584edi=086ede74

eip=070013b1esp=0012e3d4ebp=0012e454 iopl=0 nv up ei pl nz na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00010206

BIB+0x13b1:

070013b1 ff491cdecdwordptr[ecx+1Ch]ds:0023:4a8a08e2=????????

0:000> p

eax=4a8a08c6ebx=0012e584ecx=0012e108edx=07016aa0esi=0012e584edi=086ede74

eip=7c92e460esp=0012e0e4ebp=0012e454 iopl=0 nv up ei pl nz na pe nc

cs=001bss=0023ds=0023es=0023fs=003bgs=0000 efl=00000206

ntdll!KiUserExceptionDispatcher+0x4:

7c92e460 8b1c24movebx,dwordptr[esp]ss:0023:0012e0e4=0012e0ec

可以看到，已经调用了KiUserExceptionDispatcher，典型的try catch结构造成的SEH异常处理，之后再通过这种方法覆盖SEH指针，就可以完成利用了。

最后编辑于：2017.12.03 21:46:17

人面猴
序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
沈念sama阅读 212,080评论 6赞 493
死咒
序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
沈念sama阅读 90,422评论 3赞 385
救了他两次的神仙让他今天三更去死
文/潘晓璐我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
开封第一讲书人阅读 157,630评论 0赞 348
道士缉凶录：失踪的卖姜人
文/不坏的土叔我叫张陵，是天一观的道长。经常有香客问我，道长，这世上最难降的妖魔是什么？我笑而不...
开封第一讲书人阅读 56,554评论 1赞 284
港岛之恋（遗憾婚礼）
正文为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
茶点故事阅读 65,662评论 6赞 386
恶毒庶女顶嫁案：这布局不是一般人想出来的
文/花漫我一把揭开白布。她就那样静静地躺着，像睡着了一般。火红的嫁衣衬着肌肤如雪。梳的纹丝不乱的头发上，一...
开封第一讲书人阅读 49,856评论 1赞 290
城市分裂传说
那天，我揣着相机与录音，去河边找鬼。笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。我是一名探鬼主播，决...
沈念sama阅读 39,014评论 3赞 408
双鸳鸯连环套：你想象不到人心有多黑
文/苍兰香墨我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
开封第一讲书人阅读 37,752评论 0赞 268
万荣杀人案实录
序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
沈念sama阅读 44,212评论 1赞 303
护林员之死
正文独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋以下内容为张勋视角年9月15日...
茶点故事阅读 36,541评论 2赞 327
白月光启示录
正文我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
茶点故事阅读 38,687评论 1赞 341
活死人
序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
沈念sama阅读 34,347评论 4赞 331
日本核电站爆炸内幕
正文年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
茶点故事阅读 39,973评论 3赞 315
男人毒药：我在死后第九天来索命
文/蒙蒙一、第九天我趴在偏房一处隐蔽的房顶上张望。院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
开封第一讲书人阅读 30,777评论 0赞 21
一桩弑父案，背后竟有这般阴谋
文/苍兰香墨我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。一阵脚步声响...
开封第一讲书人阅读 32,006评论 1赞 266
情欲美人皮
我被黑心中介骗来泰国打工，没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。一个月前我还...
沈念sama阅读 46,406评论 2赞 360
代替公主和亲
正文我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
茶点故事阅读 43,576评论 2赞 349

CVE-2010-2883漏洞分析

推荐阅读更多精彩内容