Microsoft PowerPoint畸形记录处理代码执行漏洞（MS06-048）

Microsoft PowerPoint是微软发布的非常流行的文档演示工具。 Microsoft PowerPoint在解析畸形的PPT记录时存在内存破坏漏洞，远程攻击者可能利用此漏洞在用户机器上执行任意指令。 反汇编代码如下： 3009a818 3945fc cmp [ebp-0x4],eax 3009a81b 7703 ja POWERPNT+0x9a820 (3009a820) 3009a81d 8b45fc mov eax,[ebp-0x4] 3009a820 8b7308 mov esi,[ebx+0x8] 3009a823 8b7d08 mov edi,[ebp+0x8] 3009a826 2945fc sub [ebp-0x4],eax 3009a829 014508 add [ebp+0x8],eax 3009a82c 8bc8 mov ecx,eax 3009a82e 8bd1 mov edx,ecx 3009a830 c1e902 shr ecx,0x2 3009a833 f3a5 rep movsd ---> Access violation here. :) 3009a835 8bca mov ecx,edx 3009a837 83e103 and ecx,0x3 3009a83a f3a4 rep movsb 3009a83c 014308 add [ebx+0x8],eax 3009a83f 014318 add [ebx+0x18],eax 3009a842 837dfc00 cmp dword ptr [ebp-0x4],0x0 3009a846 75b7 jnz POWERPNT+0x9a7ff (3009a7ff) 3009a848 8b450c mov eax,[ebp+0xc] 3009a84b 5f pop edi 3009a84c 5e pop esi 3009a84d 5b pop ebx 3009a84e c9 leave 3009a84f c20800 ret 0x8 如果用户受骗打开了有畸形记录的PPT文件时就会触发这个漏洞，导致执行任意代码。 Microsoft PowerPoint XP Microsoft PowerPoint v.X for Mac Microsoft PowerPoint 2004 for Mac Microsoft PowerPoint 2003 Microsoft PowerPoint 2000 Microsoft已经为此发布了一个安全公告（MS06-048）以及相应补丁: MS06-048：Vulnerabilities in Microsoft Office Could Allow Remote Code Execution (922968) 链接：http://www.microsoft.com/technet/security/bulletin/ms06-048.mspx