专业联系方式:Chrome缝隙调试笔记1——CVE-2019-5768

2019年11月1日，Kaspersky的Blog 《Chrome 0-day exploit CVE-2019-13720 used in Operation WizardOpium》发布了他们捕获的一个Chrome在野缝隙CVE-2019-13720运用样本的部分内容。这也是2019年第二个被捕获的Chrome在野缝隙。可以看到跟着IE浏览器逐步被筛选，Edge浏览器用户占有量远低于Chrome，Chrome将会成为黑客进犯的新目标。尽管Chrome的沙箱模块增加了长途代码实行的难度，但是进犯者仍然会通过类似CVE-2019-0808的内核缝隙或许Chrome自己的高权限模块缝隙绕过沙箱。由于CVE-2019-13720的技术细节仍未发布，笔者挑选了同样在本年被发现的CVE-2019-5768作为Chrome缝隙调试笔记的之一篇。由于笔者水平有限，文中过错之处恳请指正。
 
0x0 Root Cause Analysis
FileReader
FileReader目标答应Web运用程序异步读取存储在用户核算机上的文件（或原始数据缓冲区）的内容，可以运用 Blob 目标指定要读取的数据。
FileReader.readAsArrayBuffer() *** 读取指定的 Blob中的内容, 一旦完结, result 特点中保存的将是被读取内容的 ArrayBuffer 数据目标。
FileReader.onprogress 事情处理progress事情。该事情在读取Blob时触发。
FileReader.onloadend 事情处理loadend事情。该事情在读取Blob结束时触发。
一个典型的FileReader运用示例代码如下：

这儿申请了128MB的字符串保存到Blob目标中，通过FileReader.readAsArrayBuffer() *** 读取到ArrayBuffer里，并绑定了FileReader.onprogress和FileReader.onloadend事情的回调，工作示例代码，Chrome控制台输出如下：

需求留意的是终究两个

onprogress事情触发时，Blob目标数据现已读取结束。
PoC
CVE-2019-5768的补丁如下：

这儿修正的函数DOMArrayBuffer* FileReaderLoader::ArrayBufferResult()对应了js调用FileReader.readAsArrayBuffer() 后FileReader.result特点的读取操作。
查询该函数补丁前的代码，要点分析红框部分的代码，这儿raw_data_是WTF::ArrayBufferBuilder的指针：

WTF::ArrayBufferBuilder运用增量 *** 结构WTF::ArrayBuffer，并保存结构的WTF::ArrayBuffer指针，WTF::ArrayBuffer选用引证计数算法保护指向实践数据内存的生命周期：

ArrayBufferBuilder::ToArrayBuffer() 将WTF::ArrayBufferBuilder转化为WTF::ArrayBuffer：

转化的逻辑是：当WTF::ArrayBufferBuilder保存的buffer空间被彻底运用后，直接回来buffer，不然通过ArrayBuffer：：Slice()回来一个WTF::ArrayBuffer的副本。
终究再回到FileReaderLoader::ArrayBufferResult()，分析DOMArrayBuffer::Create():

可以看到这儿DOMArrayBuffer::Create()仅仅将WTF::ArrayBuffer的指针做了搬运，回来blink:: DOMArrayBuffer指针保存至局部变量result。
持续走到if代码，这儿当finished_loading_ ==

Bruce Dawson最近发过一则推文，标明微软在一些Windows 10 1903系统上设备了某种“虚伪的”Python副本，本文对这方面内容做了一些研讨。根据我的查询，被设备的Python可实行文件大小为0字节，本文分析了这种情况的反面原理，介绍了怎样运用这种 *** 发起进程，终究介绍了系统中仍然存在的一个TOCTOU问题，进犯者或许在EOP（权限进步）过程中运用到该缺陷。 tr