Chrome v8 類型混淆 CVE-2021-30551（只有原理上的一點理解）

總共看了2天的POC，為了不讓成果流失，記錄一下。

Chrome 在野0day:CVE-2021-30551的分析與利用 (qq.com) 主要參考

https://googleprojectzero.github.io/0days-in-the-wild/0day-RCAs/2021/CVE-2021-30551.html  次要參考

關於原型污染漏洞的完整指南 (qq.com) 原型鏈參考

V8 是怎么跑起來的 —— V8 中的對象表示_ThornWu-CSDN博客 V8 屬性對象

瀏覽器是如何工作的：Chrome V8讓你更懂JavaScript - 知乎 (zhihu.com) 理解 Chrome 中的 map

CVE-2020-16009: Chrome Turbofan Type Confusion after Map Deprecation | 0-days In-the-Wild (googleprojectzero.github.io)  Type Confusion

首先需要了解一下 map 和object 的關系：

Object 中的 All own properties 存儲着屬性值，map 中存儲着屬性的狀態、描述等。

global_object = {};
 
setPropertyViaEmbed = (object, value, handler) => {
  const embed = document.createElement('embed');
  embed.onload = handler;
  embed.type = 'text/html';
  Object.setPrototypeOf(global_object, embed);
  document.body.appendChild(embed);
  object.corrupted_prop = value; 
  embed.remove();
}

createCorruptedPair = (value_1, value_2) => {
  const object_1 = {　　　
    __proto__: global_object
  };
  object_1.regular_prop = 1;

  setPropertyViaEmbed(object_1, value_2, () => {
    Object.setPrototypeOf(global_object, null);
    object_1.corrupted_prop = value_1;
  });

  const object_2 = {
    __proto__: global_object
  };
  object_2.regular_prop = 1;

  setPropertyViaEmbed(object_2, value_2, () => {
    Object.setPrototypeOf(global_object, null);
    object_2.corrupted_prop = value_1; //在重入的過程中創建剛才不存在的命名屬性
    object_1.regular_prop = 1.1        //設置 map 為 deprecated
  });
  return [object_1, object_2];

const array = [1.1]; array.prop = 1; const [object_1, object_2] = createCorruptedPair(array, 2261620.509803918); jit = (object) => { return object.corrupted_prop[0]; } for (var i = 0; i < 100000; ++i) jit(object_1); jit(object_2);

首先，針對函數的形式需要理解，POC 中的函數聲明方式是箭頭函數。（注：JS 中一切都是對象）

FunctionName = (Arg1, Arg2) => { xxxxx }  // 針對多個參數的函數聲明、定義方式
()=> { xxxxxxxxx }    // 無參數的 ，匿名函數

接着拆解 POC 進行理解，首先是對變量進行初始化：

注意 POC 最開頭的 global_object ，此處的花括號表明創建了一個空的對象。
然后申請了一個數組，其中只有一個元素，值為 1.1 。接着將 array 的屬性設置為 1。

接着調用 createCorruptedPair 函數：

該函數的參數為 array 和 一個特制的浮點數。

const object_1 = {
    __proto__: global_object
  };    // 申明並定義了一個對象，該對象的原型是 global_object == NULL

接着訪問 object_1 的一個未知的屬性名（未定義過的），並將其設置為 1。

如果目標對象沒有這個未知的屬性名，那么會調用 SetPropertyInternal 遍歷這個對象的原型鏈，如果能找到一個攔截器（interceptor），就會執行這個攔截器的函數來決定這個是否是一個“只讀屬性”的異常。此處的 SetPropertyInternal 會返回這個屬性不存在，然后會調用 AddDataProperty 函數來創建屬性。但是若在創建屬性之前已存在同名的該屬性，且此時的 map 為 deprecated 狀態（map 是存儲 v8 中對象的描述命名屬性），那么只會更新屬性的狀態而不會去修改 map 的描述符（猜測是將狀態從消極轉為活躍）

Maybe<bool> Object::SetProperty(LookupIterator* it, Handle<Object> value, StoreOrigin store_origin, Maybe<ShouldThrow> should_throw) { if (it->IsFound()) { bool found = true; Maybe<bool> result = SetPropertyInternal(it, value, should_throw, store_origin, &found); if (found) return result; } [...] return AddDataProperty(it, value, NONE, should_throw, store_origin); } Maybe<bool> Object::SetPropertyInternal(LookupIterator* it, Handle<Object> value, Maybe<ShouldThrow> should_throw, StoreOrigin store_origin, bool* found) { [...] do { switch (it->state()) { [...] case LookupIterator::INTERCEPTOR: { if (it->HolderIsReceiverOrHiddenPrototype()) { Maybe<bool> result = JSObject::SetPropertyWithInterceptor(it, should_throw, value); //調用戶定義 JS 代碼 if (result.IsNothing() || result.FromJust()) return result; } else { Maybe<PropertyAttributes> maybe_attributes = JSObject::GetPropertyAttributesWithInterceptor(it); if (maybe_attributes.IsNothing()) return Nothing<bool>(); if ((maybe_attributes.FromJust() & READ_ONLY) != 0) { return WriteToReadOnlyProperty(it, value, should_throw); } if (maybe_attributes.FromJust() == ABSENT) break; *found = false; return Nothing<bool>();  } break; } [...] *found = false; return Nothing<bool>(); //此處返回 }

繼續跟着代碼走：

  setPropertyViaEmbed(object_1, value_2, () => { Object.setPrototypeOf(global_object, null); object_1.corrupted_prop = value_1; });

調用 setPropertyViaEmbed 函數，參數為 object_1 ,浮點數和匿名函數。該函數定義如下：

setPropertyViaEmbed = (object, value, handler) => { const embed = document.createElement('embed'); embed.onload = handler; //遍歷到攔截器后調用的js代碼 embed.type = 'text/html'; Object.setPrototypeOf(global_object, embed); //將 embed（攔截器）設置到原型鏈中   document.body.appendChild(embed); object.corrupted_prop = value; //通過訪問 object 中不存在的命名屬性觸發 SetPropertyInternal  embed.remove(); }
該函數首先會創建一個 embed 元素，然后將自定義的 JS 函數指針傳給它，作為攔截器函數調用。接着調用
Object.setPrototypeOf 函數，將 global_object 的原型設置為 embed 對象（即加入原型鏈中）。調用
appendchild 函數將 embed 元素設置為 html body 部分的子節點（此處是必須的，不知原因）
再次訪問 corrupted_prop 這個未知屬性，會觸發 SetProperty 函數並由於這個未知類型不存在，會調用 
SetPropertyInternal 函數到原型鏈中遍歷，而恰好此處是存在攔截器函數的，因此會調用用戶定義自定義的 JS 
代碼（匿名函數）。最后移除 embed 元素。

HTMLEmbedElement 是少數具有屬性攔截器的 DOM 類之一，每次用戶嘗試訪問 Embed 的 JS 包裝器的屬性
時將會運行特殊的方法，這個方法可以由用戶自定義，也就相當於可以在 v8 執行過程中重入到用戶 js 層
去執行用戶定義的代碼。

看用戶定義的 JS 代碼，參數為 object，value：

 Object.setPrototypeOf(global_object, null); //更改對象的原型鏈 object_1.corrupted_prop = value_1;

用戶自定義函數首先將 global_object 的原型鏈設置為 NULL ，再創建剛剛訪問的不存在的屬性（首先會遇到不能訪問的情況，然后遍歷原型鏈，因為前面將 global_object 的原型鏈設置為 NULL ，所以會直接調用 AddDataProperty 函數為其創建新的屬性。但實驗中將前面的函數注釋掉仍然能正常運行，挺疑惑的），並將其值設置為 value_1 。

首先需要解決一個問題：什么時候 map 的狀態被更新為 deprecated ？

因為沒有去看代碼，通過對幾次數據的變化，粗略推出：當原來的對象的 map 改變時，以 O1.A = 1 為例，
當再次添加未知屬性，O1.B = 1.2 時，map 會發生更新在新地址重新建立一個 map
（因為 map 可共享，因此若直接更改則會導致其它共享此 map 的對象在不知道的情況下被修改了 map），
而上一個 O1 所占有的 map 會被更新為 deprecated 狀態。

緊接着對 object_2 進行操作

  const object_2 = { __proto__: global_object }; object_2.regular_prop = 1; setPropertyViaEmbed(object_2, value_2, () => { Object.setPrototypeOf(global_object, null); object_2.corrupted_prop = value_1; //在重入的過程中創建剛才不存在的命名屬性 object_1.regular_prop = 1.1 //設置 map 為 deprecated  });
同 object_1 的操作基本相同，但在匿名函數中的不同，此處的不同是在 object_1.regular_prop = 1.1 ，
注意兩個時間點：① corrupted_prop = value_1 時，此時的 map 被 O1 、O2 共享 
② object_1.regular_prop = 1.1 時，新建一個 map ，原來的 map 狀態改為 deprecated。
此時，當再次修改 object2 的屬性值時，僅僅只修改值（改指針）而不去修改描述符（DescriptorArray），
導致的問題就是，若原來的值所占空間為8字節，則可以讀取8字節的空間，當新建的值只有2字節時，會使得其多讀6字節的值

可能會疑惑，明明只需要一個對象就可以完成操作，為什么需要兩個對象？從作者自己定義的函數名可以，本來就是為了創建一對可以多讀、多寫的內存對象。當然也有可能是為了完成后面的 exp 構造或觸發異常。