从CVE-2019-9810到CVE-2019-11708双漏洞组合如何击穿Firefox最后防线【免费下载链接】CVE-2019-11708Full exploit chain (CVE-2019-11708 CVE-2019-9810) against Firefox on Windows 64-bit.项目地址: https://gitcode.com/gh_mirrors/cv/CVE-2019-11708本项目是面向 Windows 64 位 Firefox 浏览器的完整漏洞利用链CVE-2019-11708 CVE-2019-9810它先用 CVE-2019-9810 在内容进程中实现代码执行再利用 CVE-2019-11708 诱导父进程访问任意 URL最终实现整个浏览器含沙箱的完全攻陷 。 初识这个项目一次教科书级的浏览器攻击这套利用链由安全研究者 Axel 0vercl0k Souchet 于 2019 年 11 月发布目标是 Windows 19H2 64 位系统上的 Firefox 68.0a1。它的特别之处在于不劫持控制流通过数据破坏实现所谓 God Mode特权 JS 执行手法源于 Pwn2Own 2014 的经典技术双漏洞接力一个漏洞负责拿到钥匙另一个负责打开最后一道门沙箱攻击效果直观利用成功后会在桌面播放动画并给所有标签页植入持久化后门。小提示该项目同时附赠了打包好的浏览器含符号文件想直接运行而不用编译的同学会非常省事 两大漏洞如何配合CVE-2019-9810JavaScript 引擎的数据破坏这是一个存在于 Firefox 内嵌 JS 引擎IonMonkey中的漏洞。利用链通过精心构造数组长度让一块Uint32Array的缓冲区越界生长从而获得任意内存读写原语ReadPtr/WritePtr随后篡改内部对象字段取得特权 JS 执行能力。相关实现集中在 cthulhu.js 的ExploitCVE_2019_9810()函数中配套的 BigInt 扩展工具位于 ff-toolbox.js。CVE-2019-11708父进程的沙箱逃逸Mozilla 官方通告mfsa2019-19对该问题的描述是子进程与父进程之间Prompt:OpenIPC 消息参数校验不足被攻陷的子进程可让非沙箱化的父进程打开任意 Web 内容与其他漏洞组合后可在用户电脑上执行任意代码。通俗讲浏览器用多进程沙箱保护网页但这条 IPC 通道就像一扇没锁好的门。特权 JS 拿到 frame message manager 后只需发送一条带 URI 的Prompt:Open消息父进程就会乖乖替你去访问攻击者指定的页面——于是攻击者在父进程中第二次触发 CVE-2019-9810整个浏览器宣告失守。⚙️ 完整的四步攻击流程Stage 1利用 CVE-2019-9810 完成 God Mode 数据破坏刷新页面获得特权 JS 上下文Stage 2找到当前 frame 的 message manager触发 CVE-2019-11708让父进程访问攻击者页面Stage 3在父进程中再次利用 CVE-2019-9810拿下特权 JSFinal下载并落地本地 payload名为slimeshady.exe向所有标签页注入 frame script 完成导航后门沙箱全部失效。页面入口 index.html 通过点击事件启动?stage1整个状态机在Main(Route)中路由非常清晰易读适合安全新手学习。 彩蛋桌面 Slime Shady 动画payload 部分payload/src/payload.cc使用 Windows GDI 创建几十个透明置顶窗口播放一套 12 帧的史莱姆精灵动画见payload/sprites/。payload/src/genheaders.py会把图片预处理为压缩 DIB 格式嵌入程序。想自己编译只需在 VS 2017 x64 命令行中对payload/Makefile执行nmake即可。⚡ 快速上手如何运行这套Firefox漏洞利用链运行前有一个前置条件Firefox 必须开启 BigInt 支持。打开about:config搜索bigint将开关打开即可本地起一个简单 HTTP 服务用目标浏览器访问index.html即可触发利用链作者也上传了打包好的firefox-68.0a1.en-US.win64.7z可直接体验。需要克隆仓库的话地址是git clone https://gitcode.com/gh_mirrors/cv/CVE-2019-11708⚠️ 注意该利用针对特定 Firefox 构建基于 mozilla-central 某 revision 的本地编译版在其他版本上可能需要额外调整。 项目结构速览cthulhu.js核心利用链源码漏洞触发 特权JS 沙箱逃逸 载荷投放ff-toolbox.jsBigInt 扩展与内存读写工具箱index.html攻击触发页面payload/桌面动画 payload 源码、精灵图与 Makefilepics/项目展示图片️ 防守启示及时更新浏览器CVE-2019-11708 已在 Firefox 68/67.0.4 等版本修复mfsa2019-19警惕 IPC 参数校验进程间通道的每个参数都可能是沙箱突破口数据破坏同样致命即使不劫持控制流篡改对象元数据也能实现上帝模式2020 年 2 月 Mozilla 又通过 Bug 1602485 修补了该利用的数据破坏手法说明此类攻击面需要持续加固。学完这套利用链你对浏览器沙箱到底能挡什么一定会有全新的认识 【免费下载链接】CVE-2019-11708Full exploit chain (CVE-2019-11708 CVE-2019-9810) against Firefox on Windows 64-bit.项目地址: https://gitcode.com/gh_mirrors/cv/CVE-2019-11708创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考