技术分析：“厄运cookie”漏洞（CVE-2014-9222）解密

好极了，毫无疑问的是现在已经工作在“解锁”模式了。所以现在是时候远程利用这个漏洞了。通过httpd代码段可以知道，看起来我们为了算出在ROM:8010E608中写操作的目的地址应该先了解在ROM:8010E5F8的$s4值是多少。代码段如下所示：

ROM:8010E5B0loc_8010E5B0:                           # CODE XREF: sub_8010E574+EC j ROM:8010E5B0                 li      $t7, 0x43        # 0x43='C' ROM:8010E5B4                 bne     $v0, $t7, loc_8010E618 ROM:8010E5B8                 li      $a1, 0x3D ROM:8010E5BC                 addiu   $s0, 1 ROM:8010E5C0                 move    $a0, $s0       ROM:8010E5C4                 jal     sub_8016C340 ROM:8010E5C8                 nop ROM:8010E5CC                 move    $a0, $s0       ROM:8010E5D0                 move    $s1, $v0       ROM:8010E5D4                 addiu   $s1, 1 ROM:8010E5D8                 jal     sub_801F2E74 ROM:8010E5DC                 sb      $zero, -1($s1) ROM:8010E5E0                 move    $a0, $s1       ROM:8010E5E4                 jal     sub_8016CA24 ROM:8010E5E8                 move    $s3, $v0       ROM:8010E5EC                 li      $a2, 0x28 ROM:8010E5F0                 mul     $t2, $s3, $a2   ROM:8010E5F4                 move    $a1, $s1       ROM:8010E5F8                 addiu   $t5, $s4, 0x6B28  # $s4 = ? ROM:8010E5FC                 move    $s0, $v0 ROM:8010E600                 addu    $at, $s1, $s0   ROM:8010E604                 addu    $a0, $t5, $t2   ROM:8010E608                 jal     sub_8016A784 ROM:8010E60C                 sb      $zero, 0($at) ROM:8010E610                 j       loc_8010E644   ROM:8010E614                 addu    $s0, $s1, $s0 ROM:8010E618  #---------------------------------------------------------------------------