搜索

[16062] 2020-11-07_V8引擎空指针引用漏洞的新型利用技术

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2020-11-07_V8引擎空指针引用漏洞的新型利用技术 V 8   引 擎 空 指 针 引 用 漏 洞 的 新 型 利 用 技 术 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 1 - 0 7 介 绍 介 绍 去 年 ， 英 国 国 家 网 络 安 全 中 心 （ N C S C ） 报 告 了 一 个 V 8 编 译 器 中 存 在 的 安 全 漏 洞 ， 随 后 G o o g l e 便 悄 悄 修 复 了 该 漏 洞 。 这 个 漏 洞 I D 为 1 0 0 3 2 8 6 ， 漏 洞 的 具 体 信 息 可 以 点 击 【 阅 读 原 文 阅 读 原 文 】 获 取 。 根 据 漏 洞 报 告 的 描 述 ， 这 是 一 个 空 指 针 解 除 引 用 D o S 漏 洞 ， 这 个 漏 洞 是 一 个 不 可 利 用 的 漏 洞 ， 并 且 只 能 通 过 W A S M 代 码 来 触 发 。 在 深 入 分 析 之 后 ， 我 们 发 现 这 里 还 有 另 一 种 触 发 该 漏 洞 的 方 式 ， 并 且 能 够 通 过 V 8   J I T 编 译 器 进 程 来 利 用 该 漏 洞 实 现 攻 击 。 在 这 篇 文 章 中 ， 我 们 将 会 介 绍 该 漏 洞 的 利 用 技 术 细 节 ， 并 演 示 如 何 利 用 该 漏 洞 实 现 远 程 代 码 执 行 。 漏 洞 成 因 漏 洞 成 因 出 于 代 码 优 化 方 面 的 考 虑 ， V 8   J I T 编 译 器 使 用 了 节 点 图 ， 并 通 过 优 化 管 道 的 几 个 阶 段 减 少 节 点 图 来 生 成 优 化 的 本 机 代 码 。 而 且 这 个 节 点 图 也 适 用 于 W A S M 编 译 器 ， 可 以 将 W A S M 代 码 编 译 为 本 机 代 码 。 节 点 在 图 中 使 用 “ U s e ” 结 构 相 互 链 接 ， 如 下 所 示 ： 通 过 使 用 这 种 结 构 ， 节 点 可 以 指 定 自 己 的 输 入 节 点 和 用 户 节 点 来 减 少 图 的 遍 历 。 U s e 结 构 体 重 包 含 了 用 于 保 存 多 种 信 息 的 比 特 字 段 ， 如 下 所 示 ：
I n p u t I n d e x 字 段 表 示 这 个 U s e 结 构 输 入 节 点 的 索 引 ， 它 可 以 用 来 定 位 用 户 节 点 相 应 的 输 入 节 点 。 但 是 ， 这 个 字 段 仅 提 供 了 1 7 比 特 的 空 间 来 存 储 索 引 ， 而 且 没 有 任 何 代 码 来 检 测 这 个 限 制 是 否 正 常 执 行 。 因 此 ， 我 们 就 可 以 使 用 大 量 输 入 节 点 来 构 建 一 个 图 ， 让 这 些 节 点 指 向 一 个 单 一 节 点 ， 以 此 来 引 起 整 型 溢 出 。 比 如 说 ， 0 x 2 0 0 0 2 表 示 0 x 2 为 输 入 节 点 索 引 。 U s e : : i n p u t _ p t r 和 U s e : : f r o m 函 数 都 使 用 了 这 个 I n p u t I n d e x 字 段 来 定 位 用 户 节 点 以 及 对 应 的 输 入 节 点 。 这 将 导 致 节 点 、 U s e 结 构 及 其 子 字 段 之 间 出 现 类 型 混 乱 的 情 况 。 N C S C 的 研 究 人 员 使 用 W e b A s s e m b l y 构 建 了 一 个 P o C ， 并 通 过 它 来 处 罚 空 指 针 解 引 问 题 。 W A S M 代 码 优 化 过 程 比 J I T 编 译 器 的 更 加 简 单 ， 因 此 控 制 过 程 与 J I T 编 译 器 相 比 也 更 加 难 ， 所 以 它 们 无 法 避 免 空 指 针 解 引 的 情 况 。 在 分 析 过 程 中 ， 我 们 发 现 J I T 代 码 可 以 让 节 点 拥 有 大 量 输 入 节 点 ： 这 个 函 数 可 以 帮 助 我 们 构 建 一 个 跟 N C S C 代 码 不 同 的 P o C ， 并 成 功 处 罚 漏 洞 ， 最 终 实 现 代 码 执 行 流 的 控 制 。 漏 洞 利 用 漏 洞 利 用 虽 然 这 个 漏 洞 存 在 于 V 8   J I T 编 译 器 之 中 ， 但 它 跟 其 他 常 见 的 J I T 编 译 器 漏 洞 有 很 大 不 同 。 为 了 成 功 利 用 该 漏 洞 ， 我 们 需 要 生 成 能 够 利 用 初 始 漏 洞 的 漏 洞 代 码 ， 然 后 利 用 它 们 来 实 现 远 程 代 码 执 行 。 节 点 、 U s e 和 O p e r a t o r 都 是 我 们 能 够 因 此 类 型 混 乱 的 结 构 体 ， 它 们 对 应 的 结 构 如 下 ：
上 面 的 U s e : : i n p u t _ p t r 和 U s e : : f r o m 函 数 都 是 通 过 R e p l a c e W i t h V a l u e 函 数 来 调 用 的 ， 而 这 个 函 数 是 用 来 替 换 节 点 值 的 ： 这 里 的 “ o l d _ t o ” 并 非 节 点 类 型 ， 而 是 U s e 字 段 ： 如 果 u s e - > p r e v 为 空 ， o l d _ t o - > f i r s t _ u s e 则 会 被 替 换 成 u s e - > n e x t 。 由 于 “ o l d _ t o ” 本 质 为 U s e ， 那 么 o l d _ t o - > f i r s t _ u s e 就 相 当 于 C h e c k M a p 节 点 的 O p e r a t o r 。 如 果 o l d _ t o - > f i r s t _ u s e 被 替 换 成 了 u s e - > n e x t ， 那 么 C h e c k M a p N o d e - > o p - > o p c o d e 就 会 变 成 u s e - > n e x t - > b i t _ f i e l d 。 此 时 ， C h e c k M a p 节 点 的 操 作 码 o p c o d e 就 会 被 其 他 o p c o d e 替 换 ， 并 导 致 C h e c k M a p 节 点 失 效 。 这 也 是 漏 洞 利 用 第 一 步 的 主 要 攻 击 场 景 ：
根 据 这 个 模 型 ， 我 们 创 建 了 下 列 代 码 ： 在 替 换 J S S t r i c t E q u a l 节 点 之 前 的 节 点 图 正 好 满 足 我 们 的 要 求 ： 现 在 ， 我 们 就 可 以 在 P A C K E D _ D O U B L E _ E L E M E N T S 和 D I C T I O N A R Y _ E L E M E N T S 数 组 之 间 引 起 类 型 混 乱 问 题 ， 并 获 取 任 意 读 写 / a d d r o f 原 语 来 实 现 远 程 代 码 执 行 了 。 广 大 研 究 人 员 可 以 在 C h r o m e   v 7 7 版 本 上 进 行 完 整 的 漏 洞 利 用 测 试 。
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理