弄清楚了原因，漏洞补丁就很简单了，正如pshpan的blog中提到的方法：

.text:59

blog里字数限制太烦人，等以后有空再全文搬上来，先给个看雪帖子链接：

http://bbs.pediy.com/showthread.php?t=92912

我在看雪

dump加载后windbg产生的信息摘要：

DRIVER_IRQL_NOT_LESS_OR_EQUAL (d1)
An attempt was made to access a pageable (or completely invalid) address at an
interrupt request level (IRQL) that is too high. This is usually
caused by drivers using improper addresses.
If kernel debugger is available get stack backtrace.
Arguments:
Arg1: ff116000, me

在铁军blog上看到这一系列金山客服内部考试题，其中这一题，我认为大家比较容易犯错。

以下哪个修改过的userinit键值的数据会导致用户开机反复注销
A.%systemroot%\system32\userinit.exe
B.userinit.exe
C.c:\windows\system32\userinit.exe,virus.exe
D.c:\windows\system32\userinit.exe

答案是A。这是一个极具迷惑性的题目。迷惑项目主要是C。因为一般

用IDA加载mshtml.dll，找到mshtml!CFunctionPointer::PrivateAddRef函数：
.text:42AF7811 public: virtual unsigned long __stdcall CFunctionPointer::PrivateAddRef(void) proc near
.text:42AF7811                                   

找个实际的漏洞利用网页，把其中的shellcode的声明语句中的shellcode的内容前面加上"%uCCCC%uCCCC%uCCCC"，也就是加上几字节int 3代码。保存网页。如果找不到实际的网页，直接上milw0rm把那个示例扒下来就行。

用IE7打开网页，允许ActiveX对象的执行。当IE7进到shellcode开头的时候会触发其中一个int 3断点（说“其中一个”是因为这个有“或然性”，因为不是直接call进shellcode开头，而是call