_sky123_

浏览器 v8 pwn

背景知识

浏览器框架

它是⼀个多进程+IPC的程序, 不同的进程管理不同的内容,

browser process: 主进程
rander process: 负责控制渲染内容
GPU process: 负责渲染内容
utility process: 标签⻚进程
plugin process: 插件进程

每个插件, 每个标签页都是单独的进程, 有属于自己的PID

JS 引擎

各浏览器对应的 js 引擎:

V8 是 chrome 的 JS Engine ，同时也是 Node.js 的 JS Engine 。V8调试接口非常丰富，基本上可以给你任何你想要的信息。
safari 的 js 引擎是 webkit , 除了 safari , 很多 appstore 的程序也都用 webkit 。
edge 以前用的是 chakracore, 现在用 v8 了。chakracore 几乎已经被淘汰了(代码量小,适合学习)
firefox 用的是 spidermonkey

JS引擎流水线机制

js 引擎(javascript engine): 处理⼀些 js 语⾔时, 通常是先把网页代码下载下来, 浏览器来解析, 浏览器解析 js 语
句, 达到指定的效果, 浏览器可以说是 js 语⾔的解释器.

parser:
- 将 js 源代码变成 AST(抽象语法树)
- 检查错误的语法
- 为生成 bytecode (字节码)做准备
interpreter: 解释器, 可以理解成⼀个自定义的虚拟机(⼀个很大很大的 switch case 分支, 对每个 case 有不同的操作符)
- 将 AST 转化为 Bytecode
- 解析执行 Bytecode
- 和 parser 可以组成⼀个完整的 JS Engine
JIT Compiler(optimizing compiler): Just In time编译器
- Interpreter 执行 bytecode 很慢, JIT 编译器用于优化"Hot Function"(被执行了很多次的函数, 很热门的函数)
- 搜集函数调用时的实参类型(因为 js 是⼀个弱类型语言, 所以直接丢给 interpreter 解析时会出现大量分支)
- 如果收集到了可以被 JIT 优化的代码, 就会被丢到 optmizing compiler 的分支中让 JIT 做优化,如果后续突然参数类型不⼀样了, 那么就 deoptimize (去优化), 重新执行 bytecode . 然后 bytecode 又可以收集类型… 然后依次循环。

常见 JS 引擎架构

V8(Chrome)
SpiderMonkey(FireFox)
Chakra Core(Edge)
Webkit(safari)

环境搭建

虚拟机版本为 ubuntu 18.04

编译 v8

首先下载用于 Chromium 开发的工具 depot_tools 。这个工具用于 v8 的编译。

git clone https://chromium.googlesource.com/chromium/tools/depot_tools.git

将 depot_tools 添加到环境变量 PATH 的末尾

export PATH=$PATH:<path to depot_tools>

挂好代理，进入到 depot_tools 。直接安装会 ninja 报错需要先将版本回退到 138bff28** 并且将 DEPOT_TOOLS_UPDATE 设为 0 。之后更新 depot_tools 。

git reset --hard 138bff28
export DEPOT_TOOLS_UPDATE=0
gclient

出现以下界⾯说明更新成功

下载 v8，这个时间比较长，下载完后目录下会多一个 v8 文件夹。

fetch v8

根据题目需求 git checkout 切换 v8 版本，然后 gclient sync -D 下载相关依赖，-D 会删除不需要的依赖。

cd v8
git checkout  7.6.303.28
gclient sync -D

如果题目给的是一个 Chrome 浏览器那么首先安装浏览器然后再网址栏中输入 chrome://version 查看版本，例如：
```
112.0.5615.87 (正式版本) （64 位） (cohort: Bypass) 
```
打开 github 的 chrome 项目，搜索版本号并切换至相应版本。

然后在项目根目录下的 DEPS 文件中查看 V8 版本：
如果题目给了 diff 文件需要将 patch 到项目中。~~对 git 不熟的 patch 前建议先拍快照~~ 。
```
git apply ./oob.diff
```

之后安装相关依赖，如果遇到下载字体未响应问题需要添加 --no-chromeos-fonts 参数。

./build/install-build-deps.sh

编译 v8 ，这里选的 release 版本。debug 版本改为 x64.debug ，32 为版本将 x64 改为 ia32 。如果调试漏洞的话, 最好选择 release 版本因为 debug 版本可能会有很多检
查。
另外如果出现路径错误需要切换到 ./tools/dev/ 路径再进行编译。

./tools/dev/gm.py x64.release

完成后是这个样子

编译生成的 d8 在 ./out/x64.release/d8 中。

调试 v8

在 ~/.gdbinit 添加 v8 的调试插件：

source <path to v8>/tools/gdbinit
source <path to v8>/gdb-v8-support.py

常见参数：

--allow-natives-syntax 开启原生API (用的比较多)
--trace-turbo 跟踪生成TurboFan IR
--print-bytecode 打印生成的bytecode
--shell 运行脚本后切入交互模式
更多参数可以参考 --help

调试 js 脚本时可以采用如下命令：

gdb ./d8
r --allow-natives-syntax --shell ./exp.js

js中常见的⼀些调试技巧：

在js中写⼊断点：%SystemBreak(); ，如果不在调试模式的话, 程序直接中断, 如果在调试器中, 会被调试器识别到
并且断下来。
打印出对象的地址和对应的信息: %DebugPrint(var_name);
调试时输入 job + DebugPrint打印的对象地址 可以打印出对象的结构。

浏览器利用常用的class

数组 Array

数组是JS最常用的class之一，它可以存放任意类型的js object。
有一个 length 属性，可以通过下标来线性访问它的每一个元素。
有许多可以修改元素的接口。
当元素为object时，只保留指针。

ArrayBuffer 和 DataView

ArrayBuffer

ArrayBuffer 对象用来表示通用的、固定长度的原始二进制数据缓冲区。ArrayBuffer 不能直接操作，而是要通过类型数组对象或 DataView 对象来操作，它们会将缓冲区中的数据表示为特定的格式，并通过这些格式来读写缓冲区的内容。

语法
```
new ArrayBuffer(length)
```
参数
- length 要创建的 ArrayBuffer 的大小，单位为字节。
返回值：一个指定大小的 ArrayBuffer 对象，其内容被初始化为 0 。

DataView

DataView 是一个可以从 ArrayBuffer 对象中读写多种数值类型的底层接口，使用它时，不用考虑不同平台的字节序问题。

语法

new DataView(buffer [, byteOffset [, byteLength]])

参数
- buffer：一个 ArrayBuffer 或 SharedArrayBuffer 对象，DataView 对象的数据源。
- byteOffset（可选）：此 DataView 对象的第一个字节在 buffer 中的偏移。如果未指定，则默认从第一个字节开始。
- byteLength（可选）：此 DataView 对象的字节长度。如果未指定，则默认与 buffer 的长度相同。
返回值：一个 DataView 对象，用于呈现指定的缓存区数据。你可以把返回的对象想象成一个二进制 array buffer 的“解释器”——它知道如何在读取或写入时正确地转换字节码。这意味着它能在二进制层面处理整数与浮点转化、字节顺序等其他有关的细节问题。

举例

例如下面这段代码

var ab = new ArrayBuffer(0x100);
var dv = new DataView(ab);
dv.setUint32(0, 0xdeadbeef, true);
console.log(dv.getUint16(2, true));

%DebugPrint(dv);
%SystemBreak();

这段代码输出结果是 57005 ，即 0xdead 。

WASM（WebAssembly）

顾名思义，是Asm on the web 。但其实不是真正意义上的汇编，只是更加接近汇编。
常用接口有
- WebAssembly.Module()：创建一个新的 WebAssembly 模块对象。
- WebAssembly.Instance()：创建一个新的 WebAssembly 实例对象。
- WebAssembly.Memory()：创建一个新的 WebAssembly 内存对象。
- WebAssembly.Table()：创建一个新的 WebAssembly 表格对象。

最重要的特点：可以在 Javascript Engine 的地址空间中导入一块可读可写可执行的内存页。

let wasm_code = new Uint8Array([0, 97, 115, 109, 1, 0, 0, 0, 1, 133, 128, 128,
    128, 0, 1, 96, 0, 1, 127, 3, 130, 128, 128, 128, 0, 1, 0, 4, 132, 128, 128, 128,
    0, 1, 112, 0, 0, 5, 131, 128, 128, 128, 0, 1, 0, 1, 6, 129, 128, 128, 128, 0,
    0, 7, 145, 128, 128, 128, 0, 2, 6, 109, 101, 109, 111, 114, 121, 2, 0, 4, 109,
    97, 105, 110, 0, 0, 10, 138, 128, 128, 128, 0, 1, 132, 128, 128, 128, 0, 0, 65,
    42, 11]);
let wasm_mod = new WebAssembly.Instance(new WebAssembly.Module(wasm_code), {});
let f = wasm_mod.exports.main;

%SystemBreak();

V8 的 object 通用结构

Object 可以拥有任意属性
属性名可以是数字和字母的组合
名字为数字的属性被称作 element ，其他的被称作 property

Hidden Class (Map)

Hidden Class 也被称作 Object Map，简称 Map。位于 V8 O bject 的第一个 8 字节。
任何由 v8 gc 管理的 Js Object ，它的前 8 个字节（或者在 32 位上是前四个字节）都是⼀个指向 Map 的指针。
Map 中比较重要的字段是一个指向 DescriptorArray 的指针，里面包含有关name properties的信息，例如属性名和存储属性值的位置。
具有相同 Map 的两个 JS object ，就代表具有相同的类型（即具有以相同顺序命名的相同属性），比较 Map 的地址即可确定类型是否⼀致，同理，替换掉 Map 就可以进行类型混淆。

在一些利用中，可以通过伪造 Type 字段来伪造 Map 。

Properties

Properties 用于保持非数字索引的属性，分为 Inline Property ，Fast Properties 和 Dictionary Properties 。

Inline Property

即 in-object proterty ，存放在 object 本身，而不是在 Properties 指针指向的内存，需要 Descriptor Array 。

Fast Properties

Fast Properties 线性保存在 Properties 指针指向的内存中，需要 Descriptor Array 。

Dictionary Properties

Dictionary Properties 即 Slow Properties，以哈希表的形式保存在 Properties 指针指向的内存中，不需要 Descriptor Array 。

Elements

Elements 用于保存数字索引的属性。

Packed Elements & Holey Elements

如果各个属性之间连续，那么可以直接开一个数组（下标从 0 开始）来表示 Elements，如果有的下标没有对应的属性则数组中该下标对应的值为一个特殊值，此时这个 Elements 被称为 Holey Elements 。如果数组中每个下标都对应属性则这个 Elements 被称为 Packed Elements 。

例如下面这个脚本：

const a = ['a', 'b', 'c'];

%DebugPrint(a);
%SystemBreak();

delete a[1];
console.log(a[1]);
%SystemBreak();

a.__proto__ = {1: 'B', 2: "C"};
console.log(a[0]);
console.log(a[1]);
console.log(a[2]);
console.log(a[3]);
%SystemBreak();

调试结果如下：

0x37815f38bba9 
pwndbg> job 0x37815f38bba9
0x37815f38bba9: [JSArray]
 - map: 0x39d6446c3069  [FastProperties]
 - prototype: 0x1b0fcc0517a1 
 - elements: 0x37815f38bb21  [PACKED_ELEMENTS (COW)]
 - length: 3
 - properties: 0x010c0d5c0c21  {
    #length: 0x247fa62001a9  (const accessor descriptor)
 }
 - elements: 0x37815f38bb21  {
           0: 0x010c0d5c74b1 
           1: 0x010c0d5c7571 
           2: 0x1b0fcc05f4f9 
 }
 
...

pwndbg> job 0x37815f38bba9
0x37815f38bba9: [JSArray]
 - map: 0x39d6446c30b9  [FastProperties]
 - prototype: 0x1b0fcc0517a1 
 - elements: 0x37815f38bbc9  [HOLEY_ELEMENTS]
 - length: 3
 - properties: 0x010c0d5c0c21  {
    #length: 0x247fa62001a9  (const accessor descriptor)
 }
 - elements: 0x37815f38bbc9  {
           0: 0x010c0d5c74b1 
           1: 0x010c0d5c05b1 
           2: 0x1b0fcc05f4f9 
 }

...

pwndbg> job 0x37815f38bba9
0x37815f38bba9: [JSArray]
 - map: 0x39d6446ca599  [FastProperties]
 - prototype: 0x37815f38bbf1