利用 V8/Chrome 漏洞实现渲染进程 RCE…

当需要利用 JavaScript 引擎漏洞（JIT 类型混淆、边界检查消除、V8 沙箱绕过）在 Chrome/Chromium 中实现渲染进程 RCE 与沙箱逃逸时使用。

适用场景

解决思路

1. 理解 V8 编译流水线：JavaScript 源码 → Parser → AST → Ignition 字节码（解释执行、性能分析）→ Sparkplug（非优化基线，V8 ≥ 9.1）→ 基线代码 → Maglev（中端，V8 ≥ 10.2）→ 中优化代码 → TurboFan（优化 JIT）→ 优化机器码（带推测性优化）→ 去优化（推测失败时）→ 回到 Ignition 字节码。
2. 掌握 V8 关键概念：Tagged pointers（SMI 为 value << 1，HeapObject 为 ptr | 1）；指针压缩（V8 ≥ 8.0，对象通过 cage 基址的 32 位偏移寻址，4GB 沙箱）；Maps（隐藏类，定义对象形状、属性名、类型、偏移）；Elements kinds（内部数组类型：PACKED_SMI_ELEMENTS、PACKED_DOUBLE_ELEMENTS、PACKED_ELEMENTS 等）；写屏障（写入堆指针时的 GC 记账）；垃圾回收（Orinoco GC：minor Scavenge 与 major Mark-Compact）。
3. 记住 64 位指针压缩下的对象表示：+0x00 Map 指针（压缩 32 位偏移）、+0x04 Properties/Hash、+0x08 Elements 指针（压缩）、+0x0C Length（数组）、+0x10 内联属性或 backing store 数据。
4. 识别常见 V8 漏洞类别：JIT 类型混淆（TurboFan 优化后假设错误类型）、边界消除错误（JIT 基于错误范围分析移除 CheckBounds 节点导致 OOB）、原型链混淆（优化假设原型稳定，突变使其失效）、Turbofan Reduction Bug（错误的强度削减或常量折叠）、竞态条件（SharedArrayBuffer + worker 线程竞态）、Builtin 中的 off-by-one、Typer Bug（类型范围计算错误，如 Typer 认为值在 [0, N] 但实际可为 N+1）。
5. 触发 JIT 优化：通过大量调用强制优化（如 for (let i = 0; i < 100000; i++) vuln(arr);），或在 d8 中使用 V8 intrinsics（%OptimizeFunctionOnNextCall(vuln); vuln(arr);）。
6. 构建 addrof 原语泄露对象地址：利用对象数组与浮点数组之间的类型混淆，将对象引用写入对象数组元素，再从混淆的浮点数组读取同一元素，浮点位即对象的压缩指针，通过 ftoi 转换得到地址。
7. 构建 fakeobj 原语创建伪造对象引用：addrof 的逆操作，将浮点（原始指针位）写入浮点数组，再从混淆的对象数组读取，得到指向任意地址的 JS 引用，通过 itof 转换。
8. 基于 addrof + fakeobj 构建任意读写：创建已知布局的 Float64Array，用 addrof 获取其地址；在受控地址伪造 Float64Array 对象并修改 backing_store；将 backing_store 指针篡改为目标地址；通过伪造的 Float64Array 读写实现任意 R/W（read64/write64）。
9. 利用混淆数组边界实现 OOB 读写：当 TurboFan 错误消除边界检查时，通过 arr[idx] 越界读取相邻堆对象元数据，或越界写入破坏下一个对象的 map/elements/length。
10. 控制 V8 堆分配顺序实现相邻对象攻击：在 young generation（new space）中对象顺序分配，先 spray 对象（如 new Array(0x10)），再分配目标对象（如 new Float64Array(0x10)）使其相邻，从 arr1 越界可触及 arr2 元数据，破坏 arr2 的 length 获得无约束 OOB。
11. 利用 ArrayBuffer 实现任意 R/W：ArrayBuffer 的 backing store 是指向已分配内存的原始指针，若可覆盖 ab.backing_store = target_addr，则 view.getFloat64(0) 读取目标地址 8 字节，view.setFloat64(0, val) 写入目标地址。
12. 注意 V8 沙箱（指针压缩）影响：V8 ≥ 8.0 及沙箱（≥ 11.x）下 ArrayBuffer.backing_store 是沙箱指针（V8 cage 内 4GB 区域），不能直接指向 cage 外，需要沙箱逃逸才能获得完整进程内存访问。
13. 利用 WASM RWX 页：分配 WASM 模块使其 JIT 编译到 RWX 页；通过 addrof(instance) 找到 WASM 实例对象；沿指针链 instance → jump_table_start → RWX 页；用任意写覆盖 RWX 页为 shellcode；调用 instance.exports.func() 执行 shellcode。注意现代 Chrome 的 W^X 强制使 WASM 页要么 RW 要么 RX，需寻找写窗口或使用 JIT spray。
14. 理解 V8 沙箱架构（V8 ≥ 11.x）：4GB cage 内含 V8 堆（JS 对象）、ArrayBuffer backing stores、WASM 内存、外部指针表；cage 外为进程内存（libc、Chrome 代码、栈、其他分配）。
15. 实施沙箱逃逸向量：破坏外部指针表中的条目以引用任意地址；覆盖 WASM 函数入口跳转到受控 shellcode；通过竞态条件或混淆指针写入 JIT 代码页；利用 Mojo IPC 从被攻陷的渲染进程攻击浏览器进程；寻找类型混淆绕过 backing store seal 获得非沙箱指针。
16. 执行 Chrome 沙箱逃逸（概述）：渲染进程 RCE 后进程仍被沙箱限制，完整攻陷需三阶段——阶段 1 渲染进程漏洞（V8/Blink DOM，类型混淆 → shellcode）；阶段 2 IPC/Mojo 漏洞（Chrome IPC 层，Mojo 接口中的 UAF）；阶段 3 浏览器进程漏洞（特权浏览器进程，沙箱外代码执行）。Mojo 接口暴露攻击面：在 Mojo 消息处理器中寻找 UAF 或类型混淆。
17. 使用工具：d8 --allow-natives-syntax exploit.js 启用 V8 intrinsics（%DebugPrint 等）；d8 --trace-turbo exploit.js 导出 TurboFan IR；d8 --print-opt-code exploit.js 打印优化机器码；Turbolizer 可视化 TurboFan IR 图；Chrome DevTools Memory 面板做堆快照；构建调试版 V8：git clone https://chromium.googlesource.com/v8/v8.git、gclient sync、gn gen out/debug --args='is_debug=true v8_enable_sandbox=false'、ninja -C out/debug d8。
18. 按决策树推进：识别漏洞类型（JIT 类型混淆 → 触发优化并混淆数组元素种类；边界检查消除 → 数组 OOB 读写；Typer bug → 错误范围导致 OOB；Builtin bug → 直接内存破坏原语）；构建原语（能否混淆对象数组 ↔ 浮点数组 → addrof + fakeobj → V8 堆内任意 R/W；数组 OOB → 破坏相邻对象 length/backing_store 扩展为完整 R/W；直接写原语 → 目标 WASM 实例或 ArrayBuffer 元数据）；判断 V8 沙箱是否启用（启用则 R/W 限于 V8 cage 4GB，需沙箱逃逸：外部指针表破坏、WASM 代码指针覆盖或 Mojo bug，然后执行 shellcode；未启用则破坏 ArrayBuffer backing_store 获得绝对 R/W，覆盖 WASM RWX 页执行 shellcode）；选择代码执行方式（WASM RWX 页可用 → 写 shellcode 并调用 WASM 函数；JIT 代码可写 → 覆盖 JIT 代码；需要 ROP → 破坏栈或返回地址）；完成完整浏览器利用链（阶段 1 V8 bug → 渲染进程 RCE；阶段 2 Mojo IPC bug → 浏览器进程攻陷；阶段 3 必要时 OS 级提权）。

适用边界 · 注意事项

• 不适用于非 V8/Chrome 的 JavaScript 引擎（如 SpiderMonkey、JavaScriptCore），其对象表示、JIT 架构与沙箱机制不同。
• 不适用于未启用 JIT 或已禁用 WASM 的环境，缺少关键利用原语（类型混淆、RWX 页）。
• 不适用于已修复相关漏洞或启用完整 V8 沙箱 + W^X + 站点隔离的现代 Chrome，除非存在新的沙箱逃逸链。