搜索

[27847] 2021-01-20_CVE-2020-16040ChromiumV8引擎整数溢出漏洞分析

文档创建者：s7ckTeam
浏览次数：22
最后更新：2025-01-19
2021-01-20_CVE-2020-16040ChromiumV8引擎整数溢出漏洞分析 C V E - 2 0 2 0 - 1 6 0 4 0 :   C h r o m i u m   V 8 引 擎 整 数 溢 出 漏 洞 分 析 原 创   W e s t e r   O P P O 安 全 应 急 响 应 中 心   2 0 2 1 - 0 1 - 2 0 收 录 于 话 题   # 子 午 实 验 室 专 辑   , 1 0 个 漏 洞 简 介 漏 洞 简 介 V 8 是 C h r o m i u m 内 核 中 的 J a v a S c r i p t 引 擎 ， 负 责 对 J a v a S c r i p t 代 码 进 行 解 释 优 化 与 执 行 ， 而 C V E - 2 0 2 0 - 1 6 0 4 0 ( c r b u g . c o m / 1 1 5 0 6 4 9 ) 是 V 8 优 化 编 译 器 T u r b o f a n 在 S i m p l i f i e d L o w e r i n g 阶 段 产 生 的 一 个 整 数 溢 出 漏 洞 。 漏 洞 分 析 漏 洞 分 析 1 ） ） T u r b o f a n 是 什 么 ？ 是 什 么 ？ 下 面 是 V 8 引 擎 的 工 作 流 程 ： P a r s e r ( 解 析 器 解 析 器 ) ： 负 责 通 过 对 源 代 码 进 行 词 法 分 析 得 到 的 t o k e n 对 源 代 码 进 行 语 法 错 误 分 析 、 转 换 为 A S T 抽 象 语 法 树 并 确 定 词 法 作 用 域 ： I g n i t i o n ( 解 释 器 解 释 器 ) ： 负 责 将   A S T   转 换 为 中 间 代 码 即 字 节 码 ( B y t e c o d e ) 并 逐 行 解 释 执 行 字 节 码 ， 在 该 阶 段 ，   J a v a S c r i p t   代 码 就 已 经 开 始 执 行 了 。 考 虑 如 下 代 码 b y t e c o d e . j s ： l e t   z i w u _ a d d   =   ( x , y )   = >   { r e t u r n   x   +   y ; }
使 用 命 令 . / d 8   b y t e c o d e . j s   - - a l l o w - n a t i v e s - s y n t a x   - - p r i n t - b y t e c o d e   - - p r i n t - b y t e c o d e - f i l t e r   z i w u _ a d d 可 得 到 其 字 节 码 ： A d d   a 0 ,   [ 0 ] 即 字 节 码 ， 他 告 诉 V 8 我 们 是 要 执 行 一 个 加 法 操 作 。 T u r b o F a n ( 优 化 编 译 器 优 化 编 译 器 ) ： 负 责 将 字 节 码 和 一 些 分 析 数 据 作 为 输 入 并 生 成 优 化 的 机 器 代 码 ， 当   I g n i t i o n   将   J a v a S c r i p t   代 码 转 换 为 字 节 码 后 ， 代 码 开 始 执 行 ， V 8   会 一 直 观 察   J a v a S c r i p t   代 码 的 执 行 情 况 ， 并 记 录 执 行 信 息 ， 如 每 个 函 数 的 执 行 次 数 、 每 次 调 用 函 数 时 ， 传 递 的 参 数 类 型 等 。 如 果 一 个 函 数 被 调 用 的 次 数 超 过 了 内 设 的 阈 值 ， 监 视 器 就 会 将 当 前 函 数 标 记 为 热 点 函 数 （ 如 果 一 个 函 数 被 调 用 的 次 数 超 过 了 内 设 的 阈 值 ， 监 视 器 就 会 将 当 前 函 数 标 记 为 热 点 函 数 （ H o t   F u n c t i o n ） ） ， 并 将 该 函 数 的 字 节 码 以 及 执 行 的 相 关 信 息 发 送 给   T u r b o F a n 。 T u r b o F a n   会 根 据 执 行 信 息 做 出 一 些 进 一 步 优 化 此 代 码 的 假 设 ， 在 假 设 的 基 础 上 将 字 节 码 编 译 为 优 化 的 机 器 代 码 。 如 果 假 设 成 立 ， 那 么 当 下 一 次 调 用 该 函 数 时 ， 就 会 执 行 优 化 编 译 后 的 机 器 代 码 ， 以 提 高 代 码 的 执 行 性 能 。 当 某 一 次 调 用 传 入 的 信 息 变 化 时 ， 表 示   T u r b o F a n   的 假 设 是 错 误 的 ， 此 时 优 化 编 译 生 成 的 机 器 代 码 就 不 能 再 使 用 了 ， 于 是 进 行 优 化 回 退 ， 重 走 原 复 杂 函 数 逻 辑 。 优 化 逻 辑 过 程 如 下 ， 考 虑 下 述 代 码 ： V 8 在 每 次 计 算 时 需 要 先 判 断 x 、 y 的 类 型 ， 然 后 执 行 相 应 的 处 理 ， 但 如 果 该 函 数 要 执 行 很 多 次 呢 ？ x 参 数 持 续 变 化 ， 如 果 每 次 都 要 去 判 断 类 型 是 否 过 于 繁 琐 ， 不 够 高 效 ， T u r b o f a n 通 过 观 察 发 现 ， 经 过 了 如 此 多 的 循 环 计 算 ， x 、 y 参 数 都 是 i n t 类 型 ， 有 理 由 相 信 下 一 次 应 该 还 是 这 样 ， 那 就 不 妨 将 x 、 y 参 数 的 类 型 假 设 为 i n t ， 基 于 这 个 假 设 ， 我 们 可 以 将 z i w u _ a d d 函 数 优 化 为 简 单 的 加 法 ： 2 ） 漏 洞 复 现 ） 漏 洞 复 现 先 看 漏 洞 补 丁 : h t t p s : / / c h r o m i u m . g o o g l e s o u r c e . c o m / v 8 / v 8 . g i t / + / b a 1 b 2 c c 0 9 a b 9 8 b 5 1 c a 3 8 2 8 d 2 9 d 1 9 a e 3 b 0 a 7 c 3 a 9 2 ， 漏 洞 文 件 位 于 s r c / c o m p i l e r / s i m p l i f i e d - l o w e r i n g . c c ， 即 该 漏 洞 可 能 发 生 在 T u r b o f a n 优 化 过 程 的 S i m p l i f i e d L o w e r i n g 阶 段 ; 我 们 将 V 8 版 本 切 换 到 其 p a r e n t   c o m m i t 处 ， 即 存 在 该 漏 洞 的 最 近 的 V 8 代 码 分 支 版 本 ， 操 作 方 法 不 在 此 赘 述 : z i w u _ a d d ( 1 , 2 ) [ g e n e r a t e d   b y t e c o d e   f o r   f u n c t i o n :   z i w u _ a d d   ( 0 x 1 9 8 4 0 8 2 d 2 6 e 1   < S h a r e d F u n c t i o n I n f o   z i w u _ a d d > ) ] P a r a m e t e r   c o u n t   3 R e g i s t e r   c o u n t   0 F r a m e   s i z e   0 0 x 1 9 8 4 0 8 2 d 2 8 2 6   @         0   :   2 5   0 4                           L d a r   a 1 0 x 1 9 8 4 0 8 2 d 2 8 2 8   @         2   :   3 5   0 3   0 0                     A d d   a 0 ,   [ 0 ] 0 x 1 9 8 4 0 8 2 d 2 8 2 b   @         5   :   a b                                 R e t u r n   C o n s t a n t   p o o l   ( s i z e   =   0 ) H a n d l e r   T a b l e   ( s i z e   =   0 ) S o u r c e   P o s i t i o n   T a b l e   ( s i z e   =   0 ) l e t   z i w u _ a d d   =   ( x , y )   = >   { r e t u r n   x   +   y ; } z i w u _ a d d ( 1 , 2 ) ; z i w u _ a d d ( ' h a c k ' , ' y o u ' ) ; z i w u _ a d d ( [ ] , { } ) l e t   z i w u _ a d d   =   ( x , y )   = >   { r e t u r n   x   +   y ; } f o r   ( v a r   i = 0 ; i < 0 x 1 0 0 0 0 ; i + + ) {     z i w u _ a d d ( 1 + i , 2 ) } a d d   e a x   e b x ;
执 行 P o C 代 码 . / d 8   - - a l l o w - n a t i v e s - s y n t a x   p o c . j s 我 们 得 到 的 结 果 是 : 两 次 f o o ( f a l s e ) 函 数 执 行 结 果 不 同 ， 说 明 T u r b o f a n 优 化 过 程 对 z < 0 表 达 式 的 结 果 判 断 出 现 了 问 题 3 ） 原 理 解 析 ） 原 理 解 析 原 理 简 述 原 理 简 述 :   该 漏 洞 实 际 上 是 由 于 在 V i s i t S p e c u l a t i v e I n t e g e r A d d i t i v e O p 函 数 中 ， 对 S p e c u l a t i v e S a f e I n t e g e r A d d 节 点 优 化 时 计 算 出 的 最 大 取 值 范 围 ( r e s t r i c t i o n _ t y p e ) 与 其 自 身 T y p e 不 一 致 导 致 在 后 续 的 S p e c u l a t i v e N u m b e r L e s s T h a n 节 点 优 化 过 程 中 发 送 错 误 的 类 型 传 递 ， 使 得 S p e c u l a t i v e N u m b e r L e s s T h a n 被 错 误 优 化 为 U i n t 3 2 L e s s T h a n ， 于 是 在 E a r l y O p t i m i z a t i o n 阶 段 发 生 了 错 误 的 常 量 折 叠 ， 导 致 与 优 化 前 计 算 不 一 致 。 详 细 分 析 详 细 分 析 : 1 . 优 化 前 优 化 前 f o o ( f a l s e ) 函 数 执 行 为 函 数 执 行 为 T r u e 原 因 分 析 原 因 分 析 ： a .   y   =   0 x 7 f f f f f f f 即 3 2 位 的 最 大 整 数 ， z   =   ( 0 x 7 f f f f f f f   + 1 )   |   0 b .     由 于 按 位 与 操 作 是 将 其 操 作 数 （ o p e r a n d s ） 当 作 3 2 位 的 比 特 序 列 （ 由 0 和 1 组 成 ） 进 行 执 行 ， 则 ( 0 x 7 f f f f f f f   + 1 )   =   - 2 1 4 7 4 8 3 6 4 8 c .   z   =   - 2 1 4 7 4 8 3 6 4 8 | 0   ，   z 必 然 小 于 0 ， f o o 函 数 执 行 结 果 为 t r u e 2 . T u r b o f a n 优 化 过 程 出 现 计 算 错 误 优 化 过 程 出 现 计 算 错 误 ： 我 们 首 先 使 用 f o r 循 环 去 强 制 触 发 T u r b o f a n 的 优 化 ： T u r b o f a n 优 化 过 程 首 先 会 进 入 S i m p l i f i e d L o w e r i n g 阶 段 ， 通 过 正 反 向 遍 历 确 定 字 节 码 树 ( B y t e c o d e   G r a p h   T r e e ) 中 各 节 点 的 输 入 类 型 、 输 出 类 型 、 最 大 取 值 范 围 等 ， 其 共 分 为 三 个 阶 段 P r o p a g a t e 、 R e t y p e 、 L o w e r [ 1 ] 。 我 们 先 来 看 看 在 本 例 中 S i m p l i f i e d L o w e r i n g 如 何 优 化 我 们 的 f o o 函 数 ： 1 )   P r o p a g a t e 阶 段 阶 段 ： 我 们 可 以 使 用 . / d 8   - - a l l o w - n a t i v e s - s y n t a x   p o c . j s   - - t r a c e - r e p r e s e n t a t i o n 来 查 看 整 个 P o C 脚 本 的 P r o p a g a t e 过 程 ： f u n c t i o n   f o o ( a )   { v a r   y   =   0 x 7 f f f f f f f ;     / /   2 ^ 3 1   -   1 / /   W i d e n   t h e   s t a t i c   t y p e   o f   y   ( t h i s   c o n d i t i o n   n e v e r   h o l d s ) . i f   ( a   = =   N a N )   y   =   N a N ; / /   T h e   n e x t   c o n d i t i o n   h o l d s   o n l y   i n   t h e   w a r m u p   r u n .   I t   l e a d s   t o   S m i / /   ( S i g n e d S m a l l )   f e e d b a c k   b e i n g   c o l l e c t e d   f o r   t h e   a d d i t i o n   b e l o w . i f   ( a )   y   =   - 1 ; c o n s t   z   =   ( y   +   1 ) | 0 ; r e t u r n   z < 0 ;     } c o n s o l e . l o g ( f o o ( f a l s e ) ) ; f o r   ( i = 0 ; i < 0 x 1 0 0 0 0 ; i + + ) {         f o o ( ' t e s t ' )     } c o n s o l e . l o g ( f o o ( f a l s e ) ) ; T r u e F a l s e f o r   ( i = 0 ; i < 0 x 1 0 0 0 0 ; i + + ) {         f o o ( ' t e s t ' )     } - - { P r o p a g a t e   p h a s e } - -   v i s i t   # 4 8 :   E n d   ( t r u n c :   n o - v a l u e - u s e )     i n i t i a l   # 4 7 :   n o - v a l u e - u s e   v i s i t   # 4 7 :   R e t u r n   ( t r u n c :   n o - v a l u e - u s e )     i n i t i a l   # 4 4 :   t r u n c a t e - t o - w o r d 3 2     i n i t i a l   # 5 5 :   n o - t r u n c a t i o n   ( b u t   d i s t i n g u i s h   z e r o s )     i n i t i a l   # 4 5 :   n o - v a l u e - u s e     i n i t i a l   # 3 6 :   n o - v a l u e - u s e   v i s i t   # 5 5 :   N u m b e r L e s s T h a n   ( t r u n c :   n o - t r u n c a t i o n   ( b u t   d i s t i n g u i s h   z e r o s ) )     i n i t i a l   # 4 5 :   t r u n c a t e - t o - w o r d 3 2     i n i t i a l   # 4 4 :   t r u n c a t e - t o - w o r d 3 2   v i s i t   # 4 5 :   S p e c u l a t i v e N u m b e r B i t w i s e O r   ( t r u n c :   t r u n c a t e - t o - w o r d 3 2 )     i n i t i a l   # 4 3 :   t r u n c a t e - t o - w o r d 3 2     i n i t i a l   # 4 4 :   t r u n c a t e - t o - w o r d 3 2     i n i t i a l   # 4 3 :   t r u n c a t e - t o - w o r d 3 2
该 阶 段 为 逆 向 分 析 ， 从 E n d 节 点 到 S t a r t 节 点 ， 根 据 输 节 点 的 T y p e 确 定 所 需 的 类 型 ， 并 给 相 关 节 点 关 联 其 使 用 信 息 ( U s e I n f o )   。 并 标 记 该 节 点 的 输 出 类 型 作 为 输 出 的 最 大 取 值 范 围 r e s t r i c t i o n _ t y p e 。 在 对 f o o 函 数 的 优 化 过 程 中 会 首 先 访 问 k S p e c u l a t i v e N u m b e r B i t w i s e O r # 4 5 节 点 ， 如 下 图 所 示 ： 根 据 s r c / c o m p i l e r / s i m p l i f i e d - l o w e r i n g . c c 代 码 逻 辑 ， 进 而 调 用 V i s i t S p e c u l a t i v e I n t 3 2 B i n o p 函 数 , 由 于 # 4 5 节 点 的 两 个 输 入 节 点   # 4 3 / # 4 4 都 是 N u m b e r 类 型 ， 于 是 B o t h I n p u t s A r e ( n o d e ,   T y p e : : N u m b e r O r O d d b a l l ( ) ) 条 件 成 立 ， 进 而 t u r b o f a n 将 # 4 3 / # 4 4 标 记 为 U s e I n f o : : T r u n c a t i n g W o r d 3 2 ( ) : 然 后 继 续 访 问 S p e c u l a t i v e S a f e I n t e g e r A d d # 4 3 节 点 ， 由 于 我 们 在 P o C 中 为 该 节 点 的 输 入 y 扩 充 了 类 型 i f   ( a   = =   N a N )   y   =   N a N ; 即 # 3 9 节 点 存 在 N a N 类 型 ， 我 们 可 以 通 过 - - t r a c e - r e p r e s e n t a t i o n 选 项 观 察 到 这 一 现 象 ：     i n i t i a l   # 3 6 :   n o - v a l u e - u s e   v i s i t   # 4 3 :   S p e c u l a t i v e S a f e I n t e g e r A d d   ( t r u n c :   t r u n c a t e - t o - w o r d 3 2 )     i n i t i a l   # 3 9 :   n o - t r u n c a t i o n   ( b u t   i d e n t i f y   z e r o s )     i n i t i a l   # 4 2 :   n o - t r u n c a t i o n   ( b u t   i d e n t i f y   z e r o s )     i n i t i a l   # 2 2 :   n o - v a l u e - u s e     i n i t i a l   # 3 6 :   n o - v a l u e - u s e     . . . c a s e   I r O p c o d e : : k S p e c u l a t i v e N u m b e r B i t w i s e O r : c a s e   I r O p c o d e : : k S p e c u l a t i v e N u m b e r B i t w i s e X o r : c a s e   I r O p c o d e : : k S p e c u l a t i v e N u m b e r B i t w i s e A n d :     V i s i t S p e c u l a t i v e I n t 3 2 B i n o p < T > ( n o d e ) ; v o i d   V i s i t S p e c u l a t i v e I n t 3 2 B i n o p ( N o d e *   n o d e )   {         D C H E C K _ E Q ( 2 ,   n o d e - > o p ( ) - > V a l u e I n p u t C o u n t ( ) ) ; i f   ( B o t h I n p u t s A r e ( n o d e ,   T y p e : : N u m b e r O r O d d b a l l ( ) ) )   { r e t u r n   V i s i t B i n o p < T > ( n o d e ,   U s e I n f o : : T r u n c a t i n g W o r d 3 2 ( ) ,             < = = = 此 处                                                       M a c h i n e R e p r e s e n t a t i o n : : k W o r d 3 2 ) ;         } # 3 9 : P h i [ k R e p T a g g e d ] ( # 3 2 : P h i ,   # 3 8 : N u m b e r C o n s t a n t ,   # 3 6 : M e r g e )     [ S t a t i c   t y p e :   ( N a N   |   R a n g e ( - 1 ,   2 1 4 7 4 8 3 6 4 7 ) ) ]   v i s i t   # 3 9 :   P h i
因 此 在 s r c / c o m p i l e r / s i m p l i f i e d - l o w e r i n g . c c : : V i s i t S p e c u l a t i v e I n t e g e r A d d i t i v e O p 函 数 中 i f 条 件 不 成 立 ， 进 而 将 自 身 的 最 大 取 值 范 围 r e s t r i c t _ t y p e 设 置 为 S i g n e d 3 2 ( ) ， 即 - 2 1 4 7 4 8 3 6 4 8   ~ 2 1 4 7 4 8 3 6 4 7 但 我 们 可 以 观 察 到 此 时 S p e c u l a t i v e S a f e I n t e g e r A d d # 4 3 节 点 的 T y p e 为 0   ～ 2 1 4 7 4 8 3 6 4 8 2 )   R e t y p e 阶 段 阶 段 ： 同 样 的 我 们 可 以 继 续 使 用 - - t r a c e - r e p r e s e n t a t i o n 来 查 看 R e t y p e 的 过 程 ： 可 以 看 出 该 阶 段 为 正 向 分 析 ， 从 E n d 节 点 到 S t a r t 节 点 依 次 送 入 栈 ， 然 后 从 栈 顶 开 始 ， 依 次 访 问 并 根 据 输 入 节 点 的 T y p e 和 r e s t r i c t i o n _ t y p e 确 定 输 出 类 型 ， 并 使 用 U p d a t e F e e d b a c k T y p e 更 新 各 节 点 类 型 , 并 计 算 各 节 点 输 入 的 输 出 表 示 形 式 ( r e p r e s e n t a t i o n ) T u r b o f a n 首 先 访 问 S p e c u l a t i v e S a f e I n t e g e r A d d # 4 3 节 点 ， 进 入 s r c / c o m p i l e r / s i m p l i f i e d - l o w e r i n g . c c : : U p d a t e F e e d b a c k T y p e 函 数 逻 辑 ， 该 节 点 o p c o d e 为 I r O p c o d e : : k S p e c u l a t i v e S a f e I n t e g e r A d d ： 根 据 s r c / c o m p i l e r / o p c o d e s . h   v i s i t   # 3 9 :   P h i     = = >   o u t p u t   k R e p F l o a t 6 4     v o i d   V i s i t S p e c u l a t i v e I n t e g e r A d d i t i v e O p ( N o d e *   n o d e ,   T r u n c a t i o n   t r u n c a t i o n ,                                                                                   S i m p l i f i e d L o w e r i n g *   l o w e r i n g )   {         . . . i f   ( l e f t _ u p p e r . I s ( l e f t _ c o n s t r a i n t _ t y p e )   & &                 r i g h t _ u p p e r . I s ( T y p e : : S i g n e d 3 2 O r M i n u s Z e r o ( ) )   & &                 ( l e f t _ u p p e r . I s ( T y p e : : S i g n e d 3 2 ( ) )   | |   r i g h t _ u p p e r . I s ( T y p e : : S i g n e d 3 2 ( ) ) ) )   {             V i s i t B i n o p < T > ( n o d e ,   U s e I n f o : : T r u n c a t i n g W o r d 3 2 ( ) ,                                         M a c h i n e R e p r e s e n t a t i o n : : k W o r d 3 2 ,   T y p e : : S i g n e d 3 2 ( ) ) ;         }   e l s e   {             . . .             V i s i t B i n o p < T > ( n o d e ,   l e f t _ u s e ,   r i g h t _ u s e ,   M a c h i n e R e p r e s e n t a t i o n : : k W o r d 3 2 ,         < = = = 此 处                                         T y p e : : S i g n e d 3 2 ( ) ) ;         } # 4 3 : S p e c u l a t i v e S a f e I n t e g e r A d d [ S i g n e d S m a l l ] ( # 3 9 : P h i ,   # 4 2 : N u m b e r C o n s t a n t ,   # 2 2 : S p e c u l a t i v e N u m b e r E q u a l ,   # 3 6 : M e r g e )   [ S t a t i c   t y p e :   R a n g e ( 0 ,   2 1 4 7 4 8 3 6 4 8 ) ,   F e e d b a c k   t y p e :   R a n g e ( 0 ,   2 1 4 7 4 8 3 6 4 7 ) ]   v i s i t   # 4 3 :   S p e c u l a t i v e S a f e I n t e g e r A d d   = = >   o u t p u t   k R e p W o r d 3 2 - - { R e t y p e   p h a s e } - -   v i s i t   # 5 :   H e a p C o n s t a n t     = = >   o u t p u t   k R e p T a g g e d P o i n t e r   v i s i t   # 0 :   S t a r t     = = >   o u t p u t   k R e p T a g g e d   v i s i t   # 7 :   O s r V a l u e     = = >   o u t p u t   k R e p T a g g e d   v i s i t   # 2 0 :   S t a t e V a l u e s     = = >   o u t p u t   k R e p T a g g e d   v i s i t   # 2 1 :   S t a t e V a l u e s     = = >   o u t p u t   k R e p T a g g e d   v i s i t   # 2 2 :   H e a p C o n s t a n t     = = >   o u t p u t   k R e p T a g g e d P o i n t e r # d e f i n e   S I M P L I F I E D _ S P E C U L A T I V E _ N U M B E R _ B I N O P _ L I S T ( V )   V ( S p e c u l a t i v e N u m b e r A d d )                                                           V ( S p e c u l a t i v e N u m b e r S u b t r a c t )                                                 V ( S p e c u l a t i v e N u m b e r M u l t i p l y )                                                 V ( S p e c u l a t i v e N u m b e r D i v i d e )                                                     V ( S p e c u l a t i v e N u m b e r M o d u l u s )                                                   V ( S p e c u l a t i v e N u m b e r B i t w i s e A n d )                                             V ( S p e c u l a t i v e N u m b e r B i t w i s e O r )                                               V ( S p e c u l a t i v e N u m b e r B i t w i s e X o r )                                             V ( S p e c u l a t i v e N u m b e r S h i f t L e f t )                                               V ( S p e c u l a t i v e N u m b e r S h i f t R i g h t )                                             V ( S p e c u l a t i v e N u m b e r S h i f t R i g h t L o g i c a l )                               V ( S p e c u l a t i v e S a f e I n t e g e r A d d )                                                 V ( S p e c u l a t i v e S a f e I n t e g e r S u b t r a c t )
从 而 进 入 下 列 标 记 处 逻 辑 ， 对 # 4 3 节 点 的 两 个 输 入 # 3 9 和 # 4 2 节 点 的 类 型 进 行 S p e c u l a t i v e S a f e I n t e g e r A d d 计 算 ， 再 与 自 身 r e s t r i c t i o n _ t y p e 进 行 交 集 运 算 ( I n t e r s e c t ) 进 入 s r c / c o m p i l e r / o p e r a t i o n - t y p e r . c c : : O p e r a t i o n T y p e r : : S p e c u l a t i v e S a f e I n t e g e r A d d 函 数 ： 进 入 s r c / c o m p i l e r / o p e r a t i o n - t y p e r . c c : : O p e r a t i o n T y p e r : : S p e c u l a t i v e # # N a m e 逻 辑 ： a .   l h s   =   S p e c u l a t i v e T o N u m b e r ( l h s ) ;   = >   即 y 参 数 - 1   ~   0 x 7 f f f f f f f b .   r h s   =   S p e c u l a t i v e T o N u m b e r ( r h s ) ;   = >   即 1 c .   N u m b e r A d d ( l h s , r h s ) ;   = >   0   ~   0 x 7 f f f f f f f + 1 d .   交 集 运 算 ： I n t e r s e c t ( 0   ~   0 x 7 f f f f f f f + 1 , r e s t r i c t i o n _ t y p e )   = > I n t e r s e c t ( 0   ~   0 x 7 f f f f f f f + 1 , S i g n e d 3 2 )   = >   0   ~   0 x 7 f f f f f f f 即 # 4 3 节 点 的 取 值 范 围 为 0   ~   0 x 7 f f f f f f f 即 U n s i g n e d 3 2 再 访 问 S p e c u l a t i v e N u m b e r B i t w i s e O r # 4 5 节 点 ， 根 据 输 入 节 点 # 4 3 / # 4 4 的 类 型 得 到 的 结 果 仍 然 是 0   ~   0 x 7 f f f f f f f ， 即 P o C 中 z 的 取 值 范 围 被 认 为 是 0   ~   0 x 7 f f f f f f f 3 )   L o w e r 阶 段 阶 段 ： 同 样 的 我 们 可 以 继 续 使 用 - - t r a c e - r e p r e s e n t a t i o n 来 查 看 L o w e r 的 过 程 b o o l   U p d a t e F e e d b a c k T y p e ( N o d e *   n o d e )   {         . . . s w i t c h   ( n o d e - > o p c o d e ( ) )   { # d e f i n e   D E C L A R E _ C A S E ( N a m e )                                                               c a s e   I r O p c o d e : : k # # N a m e :   {                                                                     n e w _ t y p e   =   o p _ t y p e r _ . N a m e ( i n p u t 0 _ t y p e ,   i n p u t 1 _ t y p e ) ;   b r e a k ;                                                                                                   }             S I M P L I F I E D _ N U M B E R _ B I N O P _ L I S T ( D E C L A R E _ C A S E )             D E C L A R E _ C A S E ( S a m e V a l u e ) # u n d e f   D E C L A R E _ C A S E # d e f i n e   D E C L A R E _ C A S E ( N a m e )                                                                                               c a s e   I r O p c o d e : : k # # N a m e :   {                                                                                                     n e w _ t y p e   =   T y p e : : I n t e r s e c t ( o p _ t y p e r _ . N a m e ( i n p u t 0 _ t y p e ,   i n p u t 1 _ t y p e ) ,                     < = = = 此 处                                                               i n f o - > r e s t r i c t i o n _ t y p e ( ) ,   g r a p h _ z o n e ( ) ) ;     b r e a k ;                                                                                                                                   }             S I M P L I F I E D _ S P E C U L A T I V E _ N U M B E R _ B I N O P _ L I S T ( D E C L A R E _ C A S E )             S I M P L I F I E D _ S P E C U L A T I V E _ B I G I N T _ B I N O P _ L I S T ( D E C L A R E _ C A S E ) # u n d e f   D E C L A R E _ C A S E T y p e   O p e r a t i o n T y p e r : : S p e c u l a t i v e S a f e I n t e g e r A d d ( T y p e   l h s ,   T y p e   r h s )   {     T y p e   r e s u l t   =   S p e c u l a t i v e N u m b e r A d d ( l h s ,   r h s ) ; r e t u r n   T y p e : : I n t e r s e c t ( r e s u l t ,   c a c h e _ - > k S a f e I n t e g e r O r M i n u s Z e r o ,   z o n e ( ) ) ; } # d e f i n e   S P E C U L A T I V E _ N U M B E R _ B I N O P ( N a m e )                                                   T y p e   O p e r a t i o n T y p e r : : S p e c u l a t i v e # # N a m e ( T y p e   l h s ,   T y p e   r h s )   {           l h s   =   S p e c u l a t i v e T o N u m b e r ( l h s ) ;                                                                 r h s   =   S p e c u l a t i v e T o N u m b e r ( r h s ) ;                                                                 r e t u r n   N a m e ( l h s ,   r h s ) ;                                                                               } - - { L o w e r   p h a s e } - -   v i s i t   # 5 :   H e a p C o n s t a n t   v i s i t   # 0 :   S t a r t   v i s i t   # 7 :   O s r V a l u e   v i s i t   # 2 0 :   S t a t e V a l u e s   v i s i t   # 2 1 :   S t a t e V a l u e s   v i s i t   # 2 2 :   H e a p C o n s t a n t   v i s i t   # 6 :   O s r V a l u e   v i s i t   # 2 3 :   P a r a m e t e r   v i s i t   # 5 8 :   F r a m e S t a t e   v i s i t   # 7 0 :   H e a p C o n s t a n t   v i s i t   # 2 4 :   F r a m e S t a t e   v i s i t   # 1 4 6 :   C h e c k p o i n t
我 们 可 以 看 出 该 阶 段 主 要 是 做 两 件 事 情 ： 通 过 D e f e r R e p l a c e m e n t 将 节 点 本 身 优 化 为 更 加 具 体 的 节 点 当 某 节 点 输 入 的 输 出 表 示 ( r e p r e s e n t a t i o n , 由 R e t y p e 阶 段 得 到 ) 与 其 输 入 的 预 期 使 用 信 息 ( U s e I n f o ) 不 匹 配 时 使 用 C o n v e r t I n p u t 转 换 节 点 T u r b o f a n 访 问 S p e c u l a t i v e N u m b e r L e s s T h a n # 4 6 节 点 ， 进 入 s r c / c o m p i l e r / s i m p l i f i e d - l o w e r i n g . c c 以 下 逻 辑 ： 参 考 s r c / c o m p i l e r / s i m p l i f i e d - l o w e r i n g . c c : : U i n t 3 2 O p 进 入 U i n t 3 2 O p e r a t o r F o r 逻 辑 ， 源 码 位 于 s r c / c o m p i l e r / r e p r e s e n t a t i o n - c h a n g e . c c   v i s i t   # 1 3 9 :   L o a d F i e l d c h a n g e :   # 1 3 9 : L o a d F i e l d ( @ 0   # 7 0 : H e a p C o n s t a n t )   f r o m   k R e p T a g g e d P o i n t e r   t o   k R e p T a g g e d : n o - t r u n c a t i o n   ( b u t   d i s t i n g u i s h   z e r o s ) c a s e   I r O p c o d e : : k N u m b e r L e s s T h a n : c a s e   I r O p c o d e : : k N u m b e r L e s s T h a n O r E q u a l :   {                 T y p e   c o n s t   l h s _ t y p e   =   T y p e O f ( n o d e - > I n p u t A t ( 0 ) ) ;                 T y p e   c o n s t   r h s _ t y p e   =   T y p e O f ( n o d e - > I n p u t A t ( 1 ) ) ; / /   R e g u l a r   n u m b e r   c o m p a r i s o n s   i n   J a v a S c r i p t   g e n e r a l l y   i d e n t i f y   z e r o s , / /   s o   w e   a l w a y s   p a s s   k I d e n t i f y Z e r o s   f o r   t h e   i n p u t s ,   a n d   i n   a d d i t i o n / /   w e   c a n   t r u n c a t e   - 0   t o   0   f o r   o t h e r w i s e   U n s i g n e d 3 2   o r   S i g n e d 3 2   i n p u t s . i f   ( l h s _ t y p e . I s ( T y p e : : U n s i g n e d 3 2 O r M i n u s Z e r o ( ) )   & &                         r h s _ t y p e . I s ( T y p e : : U n s i g n e d 3 2 O r M i n u s Z e r o ( ) ) )   { / /   = >   u n s i g n e d   I n t 3 2 C m p                     V i s i t B i n o p < T > ( n o d e ,   U s e I n f o : : T r u n c a t i n g W o r d 3 2 ( ) ,                                                 M a c h i n e R e p r e s e n t a t i o n : : k B i t ) ; i f   ( l o w e r < T > ( ) )   N o d e P r o p e r t i e s : : C h a n g e O p ( n o d e ,   U i n t 3 2 O p ( n o d e ) ) ;                   }   e l s e   i f   ( l h s _ t y p e . I s ( T y p e : : S i g n e d 3 2 O r M i n u s Z e r o ( ) )   & &                                       r h s _ t y p e . I s ( T y p e : : S i g n e d 3 2 O r M i n u s Z e r o ( ) ) )   { / /   = >   s i g n e d   I n t 3 2 C m p                     V i s i t B i n o p < T > ( n o d e ,   U s e I n f o : : T r u n c a t i n g W o r d 3 2 ( ) ,                                                 M a c h i n e R e p r e s e n t a t i o n : : k B i t ) ;                                                 . . . c o n s t   O p e r a t o r *   U i n t 3 2 O p ( N o d e *   n o d e )   { r e t u r n   c h a n g e r _ - > U i n t 3 2 O p e r a t o r F o r ( n o d e - > o p c o d e ( ) ) ;     } c o n s t   O p e r a t o r *   R e p r e s e n t a t i o n C h a n g e r : : U i n t 3 2 O p e r a t o r F o r (         I r O p c o d e : : V a l u e   o p c o d e )   { s w i t c h   ( o p c o d e )   { c a s e   I r O p c o d e : : k N u m b e r A d d : r e t u r n   m a c h i n e ( ) - > I n t 3 2 A d d ( ) ; c a s e   I r O p c o d e : : k N u m b e r S u b t r a c t : r e t u r n   m a c h i n e ( ) - > I n t 3 2 S u b ( ) ; c a s e   I r O p c o d e : : k S p e c u l a t i v e N u m b e r M u l t i p l y : c a s e   I r O p c o d e : : k N u m b e r M u l t i p l y : r e t u r n   m a c h i n e ( ) - > I n t 3 2 M u l ( ) ; c a s e   I r O p c o d e : : k S p e c u l a t i v e N u m b e r D i v i d e : c a s e   I r O p c o d e : : k N u m b e r D i v i d e : r e t u r n   m a c h i n e ( ) - > U i n t 3 2 D i v ( ) ; c a s e   I r O p c o d e : : k S p e c u l a t i v e N u m b e r M o d u l u s : c a s e   I r O p c o d e : : k N u m b e r M o d u l u s : r e t u r n   m a c h i n e ( ) - > U i n t 3 2 M o d ( ) ; c a s e   I r O p c o d e : : k N u m b e r E q u a l : c a s e   I r O p c o d e : : k S p e c u l a t i v e N u m b e r E q u a l : r e t u r n   m a c h i n e ( ) - > W o r d 3 2 E q u a l ( ) ; c a s e   I r O p c o d e : : k N u m b e r L e s s T h a n : c a s e   I r O p c o d e : : k S p e c u l a t i v e N u m b e r L e s s T h a n :                       < = = = 此 处 r e t u r n   m a c h i n e ( ) - > U i n t 3 2 L e s s T h a n ( ) ; c a s e   I r O p c o d e : : k N u m b e r L e s s T h a n O r E q u a l : c a s e   I r O p c o d e : : k S p e c u l a t i v e N u m b e r L e s s T h a n O r E q u a l : r e t u r n   m a c h i n e ( ) - > U i n t 3 2 L e s s T h a n O r E q u a l ( ) ;
因 此 # 4 6 节 点 被 转 换 为 U i n t 3 2 L e s s T h a n 4 )   漏 洞 触 发 漏 洞 触 发 :   E a r l y O p t i m i z a t i o n 阶 段 阶 段 进 入 代 码 s r c / c o m p i l e r / m a c h i n e - o p e r a t o r - r e d u c e r . c c 逻 辑 由 于 # 4 6 节 点 ( 即 P o C 中 的 z < 0 ) 的 右 输 入 节 点 为 0 ， 满 足 m . r i g h t ( ) . I s ( 0 ) 条 件 ， 该 表 达 式 判 定 结 果 被 判 定 为 f a l s e 。 3 . 优 化 后 优 化 后 f o o ( f a l s e ) 函 数 执 行 为 函 数 执 行 为 F a l s e 原 因 分 析 原 因 分 析 : 结 合 第 二 步 的 分 析 ， t u r b o f a n 优 化 之 后 ， 表 达 式 z < 0 被 错 误 判 定 为 f a l s e ， 因 此 f o o ( f a l s e ) 函 数 返 回 结 果 为 f a l s e 漏 洞 总 结 漏 洞 总 结 该 漏 洞 是 t u r b o f a n 优 化 过 程 产 生 的 一 个 典 型 的 逻 辑 漏 洞 ， 调 试 难 度 相 对 较 低 ， 适 合 V 8 初 学 者 入 门 ， 通 过 源 码 去 理 解 会 有 不 错 的 效 果 ， V 8 近 年 来 还 有 很 多 类 似 的 漏 洞 , 如 c r b u g . c o m / 8 8 0 2 0 7 ,   感 兴 趣 的 可 以 去 调 试 学 习 。 行 文 不 当 之 处 还 请 各 位 读 者 斧 正 ， 欢 迎 交 流 。 引 用 链 接 引 用 链 接 [ 1 ] M o d e r n   a t t a c k s   o n   t h e   C h r o m e   b r o w s e r   :   o p t i m i z a t i o n s   a n d   d e o p t i m i z a t i o n s :   h t t p s : / / b u a q . n e t / g o - 4 5 4 7 0 . h t m l [ 2 ] 漏 洞 修 复 代 码 :   h t t p s : / / c h r o m i u m . g o o g l e s o u r c e . c o m / v 8 / v 8 . g i t / + / b a 1 b 2 c c 0 9 a b 9 8 b 5 1 c a 3 8 2 8 d 2 9 d 1 9 a e 3 b 0 a 7 c 3 a 9 2 最 新 动 态 最 新 动 态 揭 秘 Q U I C 的 性 能 与 安 全 让 密 钥 消 失 不 见 — — A E S 密 钥 白 盒 及 其 攻 防 O S R C   2 周 年 第 二 弹 — — 第 五 次 奖 励 升 级 O P P O 互 联 网 D e v S e c O p s 实 践 O P P O 安 全 最 新 招 聘 信 息 r e t u r n   m a c h i n e ( ) - > U i n t 3 2 L e s s T h a n O r E q u a l ( ) ; c a s e   I r O p c o d e : : k N u m b e r C l z 3 2 : r e t u r n   m a c h i n e ( ) - > W o r d 3 2 C l z ( ) ; c a s e   I r O p c o d e : : k N u m b e r I m u l : r e t u r n   m a c h i n e ( ) - > I n t 3 2 M u l ( ) ; d e f a u l t :             U N R E A C H A B L E ( ) ;     } } c a s e   I r O p c o d e : : k U i n t 3 2 L e s s T h a n :   {             U i n t 3 2 B i n o p M a t c h e r   m ( n o d e ) ; i f   ( m . l e f t ( ) . I s ( k M a x U I n t 3 2 ) )   r e t u r n   R e p l a c e B o o l ( f a l s e ) ;     / /   M   <   x   = >   f a l s e i f   ( m . r i g h t ( ) . I s ( 0 ) )   r e t u r n   R e p l a c e B o o l ( f a l s e ) ;                     / /   x   <   0   = >   f a l s e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理