MOSEC议题解读 | 手机浏览器中的远程代码执行

发布时间：2018-06-28 16:13:42

<a target="_blank"><img alt="" data-original="https://p3.ssl.qhimg.com/t012fac58e5864df6fd.jpg" src="http://pgicons.cn-bj.ufileos.com/img_open/1530173314488d3330e23b9db60754fa773f0111e9b07e3670.jpg"></a>&nbsp;

## 议题概要

近年来，手机浏览器的安全问题一直是安全研究的焦点。大量的漏洞修补以及浏览器、操作系统层面的保护使得浏览器远程代码执行越来越难。此议题着重介绍浏览器远程执行漏洞，包括Webkit JIT漏洞，WebKit DOM漏洞，Chrome的JS引擎漏洞。漏洞相关原理，挖掘方法以及利用技巧都会涉及。

作为一种通用的漏洞缓解（Exploit Mitigation）技术，隔离堆（Isolated Heap）已经成功运用于多个主流浏览器如Chrome、FireFox、Edge、IE等。2017年下半年WebKit代码中也开始引入了隔离堆机制。WebKit中的隔离堆对于传统Exploit中的Heap Spray，UAF占位、任意地址读写等方面均造成了一定的影响。本议题中介绍了WebKit隔离堆的基本原理，它对今后WebKit漏洞发掘和利用的影响，以及360vulan团队成员在Mobile Pwn2Own比赛前针对隔离堆机制实现的Exploit预案。

##作者介绍

郝力男(<a>@holynop</a>&nbsp;)在Qihoo 360 Vulcan Team从事漏洞相关研究。随团队参加pwn2own 2015/2016/2017/pwnfest 2016/mobile pwn2own 2017，参与过一些微软的赏金计划Microsoft Mitigation Bypass Bounty, Microsoft Edge Bounty, MSRC Top 100 2015/2016/2017等，曾在一些安全会议上发表文章如Blackhat/44CON/HITB等。

刘龙是360Vulcan团队的安全研究员，从事漏洞挖掘和利用方面的工作。他参加了Pwn2Own 2017和Mobile Pwn2Own 2017，并成功挑战了相关项目。他连续三年入选MSRC Top 20名单。

招啟汛是奇虎360 Vulcan Team的成员，微博ID是<a>@老实敦厚的大宝</a>&nbsp;。专注于各个主流浏览器安全和macOS/iOS系统安全,沙箱逃逸。曾参加Pwn2Own 2017和Mobile Pwn2Own 2017攻破浏览器项目。多次攻破Edge浏览器获得RCE并取得微软Edge CVE公开致谢,在MSRC 2017中排名43。多次攻破Chrome浏览器获得RCE并取得谷歌Chromium CVE公开致谢。同时多次获得苹果CVE致谢,独立发现多个Safari RCE，苹果内核本地提权等漏洞。

##议题解析

在Mobile Pwn2Own 2017中我们成功pwn了两个iPhone相关的项目，分别是Apple Safari和WiFi。其中WiFi项目的要求如下：

<a target="_blank"><img alt="" data-original="https://p4.ssl.qhimg.com/t014511297be53d6adc.png" src="http://pgicons.cn-bj.ufileos.com/img_open/1530173320e63fb8697b36c0326bc3a41804b78460e5a81a19.png"></a>&nbsp;

在该项目中，我们利用iPhone连接WiFi时自动弹出的登录界面实现RCE：

<a target="_blank"><img alt="" data-original="https://p4.ssl.qhimg.com/t018f64d7e65d2004c0.png" src="http://pgicons.cn-bj.ufileos.com/img_open/1530173321fdc51009505e4838638ff584ec9cfbe836210486.png"></a>&nbsp;

该界面是通过WebCore解析渲染的，所以我们首先介绍了我们在比赛中用到的一个WebCore DOM UAF 漏洞，该漏洞POC如下：

<a target="_blank"><img alt="" data-original="https://p0.ssl.qhimg.com/t018adfac6da5100540.png" src="http://pgicons.cn-bj.ufileos.com/img_open/1530173327b84f6e8bf0d021cf1e27fddaf081d6b4a5c2e3f3.png"></a>&nbsp;

该漏洞的成因如下图所示：

<a target="_blank"><img alt="" data-original="https://p4.ssl.qhimg.com/t0172f41e05a531f4cd.png" src="http://pgicons.cn-bj.ufileos.com/img_open/15301733302c8b0d0b83667c7de597687c03245859c4e23a7a.png"></a>&nbsp;

设置了form属性的button对象和form对象的关系图如上图所示，注意button的父类FormAssociatedElement包含m_form成员变量和setform函数,form的m_associatedElements成员变量中含有对button的引用。

获取了form的elements属性后，form创建了包含button引用的nodeLists成员。释放button时，button的析构函数调用setform（0），setform调用removeFormElement，removeFormElement将form的m_associatedElements成员中的button移除，但nodeLists中的button没有被移除，所以释放的button可通过form.elements访问。

要利用这个漏洞，需要先看看HTML*Element对象的结构：

<a target="_blank"><img alt="" data-original="https://p3.ssl.qhimg.com/t01428ded4e5aa39d90.png" src="http://pgicons.cn-bj.ufileos.com/img_open/1530173332f88befc3de1188aae9b0ea7f129df577ebb23edc.png"></a>&nbsp;

一个html对象要在js层面使用，需要一个wrapper，这个wrapper的值指向WeakImpl对象。WeakImpl对象的m_jsValue指向表示这个dom对象的JSValue对象。JSValue表示一个js可操作的实体，一个JSValue可以表示很多JavaScript原始类型例如boolean, array, 甚至包括对象和函数。

Js层面执行uaf=Collections[‘id’]后的调用栈如下图：

<a target="_blank"><img alt="" data-original="https://p2.ssl.qhimg.com/t014a7d77fb27487c5a.png" src="http://pgicons.cn-bj.ufileos.com/img_open/15301733340fbafd5f190380ca3055a89fac651783aa09dbac.png"></a>&nbsp;

我们具体看看WebCore::namedItems的实现。在WebCore::namedItems中可以看到如果获取到的button对象的m_wrapper非空，且满足一定的条件，其指向的m_jsValue会被作为结果返回。那么我们可以利用typedarray buffer占位，控制其中的m_wrapper值，让它最终指向一个我们伪造的Float64Array，然后通过上面的调用，在js层面获取到这个伪造的Float64Array。

由于比赛版本的Safari的ASLR实现不是很完善，我们可以利用array和typed array进行精确堆喷。堆喷后的内存布局如下图：

<a target="_blank"><img alt="" data-original="https://p4.ssl.qhimg.com/t01ea1c970a4c62cb9d.png" src="http://pgicons.cn-bj.ufileos.com/img_open/1530173337bda3204c51eedbd78107044091ff8828ae4e3994.png"></a>&nbsp;

我们在堆喷的时候在typedarray的buffer里伪造两个结构：WeakImpl和Float64Array，其中WeakImpl中的m_jsValue值为伪造的Float64Array地址。

比赛时的safari版本还没开启隔离堆，所以我们用typed array buffer占位，所有字段都是可控的。我们将+8的位置指向spray的typedarray的buffer处，这样我们就可以通过collection[‘id’]获取到伪造的Float64Array。我们对其进行如下操作：

1.写fakedFloat64Array，然后遍历spray的typedarray，找到被修改的是哪个，后面就可以通过这个typedarray来改变我们伪造的Float64Array的pVectors值，做到任意地址读写；

2.修改pVectors值，使其指向spray的array butterfly,然后写fakedFloat64Array，用同样的方法找到被修改的array butterfly，用它来泄露任意对象地址。至此我们完成了对该漏洞的利用。

接下来我们着重讲的是JavaScript引擎的JIT编译器,事实证明,这个部分出现的漏洞的频率十分高，而且可利用性与稳定性都很好.与以往不同的是,我们在议题中不仅仅解读我们去年mp2o使用的各种浏览器漏洞,更着重于解读浏览器JIT的概念与一些机制,漏洞的挖掘过程.

首先我们介绍在Safari的JIT编译器,他的结构图如下:

<a target="_blank"><img alt="" data-original="https://p2.ssl.qhimg.com/t01600bce5c6568c7bd.png" src="http://pgicons.cn-bj.ufileos.com/img_open/153017334084bb50d903cc84e9b2c40f8749a1354fa282f239.png"></a>&nbsp;

<a target="_blank"><img alt="" data-original="https://p4.ssl.qhimg.com/t01c727e3b29fd06fa1.png" src="http://pgicons.cn-bj.ufileos.com/img_open/15301733420a74cf3c86050cacd92bbcb98f2544a49309fbe8.png"></a>&nbsp;

我们可以看到编译器是一个十分庞大而又复杂的模块,而通过OSR机制,编译的代码可能在不同层次的优化编译器中切换.这是Safari中JIT的一种机制,可以兼并效率和安全两种特点.

下面在看看DFG的优化部分:<a target="_blank"><img alt="" data-original="https://p0.ssl.qhimg.com/t011b48e87274209194.png" src="http://pgicons.cn-bj.ufileos.com/img_open/1530173347031d5eb7d0578e25e5595fb68c45fd4dd91ccebb.png"></a>&nbsp;

&nbsp;在议题中我们解读了一些JSC中的概念,例如structure,jsc的OSR机制,因为有OSR机制的存在,所以才避免了JIT中的一些type confusion,OOB R/W的问题.

<a target="_blank"><img alt="" data-original="https://p0.ssl.qhimg.com/t01a269ccde953c09b2.png" src="http://pgicons.cn-bj.ufileos.com/img_open/153017334945338497c63d1f87907ea7ec7311d6a7db5a9475.png"></a>&nbsp;

JSC中的OSR机制的优点与缺点,还有与其他浏览器的比较。

<a target="_blank"><img alt="" data-original="https://p5.ssl.qhimg.com/t013427173af58da95d.png" src="http://pgicons.cn-bj.ufileos.com/img_open/1530173351359616d0f6c20b89b7f9fb07eb76fb2498a80679.png"></a>&nbsp;

解析完JSC中的OSR机制后,根据OSR机制的弱点,我们挖掘出的一些在mp2o上使用的漏洞:

<a target="_blank"><img alt="" data-original="https://p3.ssl.qhimg.com/t01711c09773de978a2.png" src="http://pgicons.cn-bj.ufileos.com/img_open/1530173355982a4296dcb04e9b90b6f8ebca713a942b226261.png"></a>&nbsp;

这是漏洞的原始状态,但是在比赛前修复了,但是修复并不完全,我们发现这个修复很奇怪似乎苹果开发者并没有意识到问题的根本原因

<a target="_blank"><img alt="" data-original="https://p3.ssl.qhimg.com/t018cb5d120e1b9d191.png" src="http://pgicons.cn-bj.ufileos.com/img_open/1530173357c0013d72184a5f20ccf7f26ea8524b5f449f4ce4.png"></a>&nbsp;

我们在修复以后,发现了修复的绕过方法,也是我们最终在比赛使用的漏洞.在比赛前准备了很多的Safari漏洞,之所以选择这个是因为我们抽签在最后一个,所以选择了一个隐藏最深的,最不可能和别人撞洞的bug:

<a target="_blank"><img alt="" data-original="https://p0.ssl.qhimg.com/t01a0aa4f435c858a46.png" src="http://pgicons.cn-bj.ufileos.com/img_open/153017336487a7b41e38fd5e62d7ae1a28ed4a45e0e0135988.png"></a>&nbsp;

接下来介绍一下safari中的缓解机制 – 隔离堆:

在去年比赛中，发行版中并没有开启，但在当时的预览版已经存在了。所以为了保险起见 我们也对这个机制做了调研。这个缓解机制的引入会对我们造成怎样的影响呢？

<a target="_blank"><img alt="" data-original="https://p3.ssl.qhimg.com/t01385632b9a4599003.png" src="http://pgicons.cn-bj.ufileos.com/img_open/1530173369a96e0cdf2ac0bc611a137ad00fb5293565d1e6c7.png"></a>&nbsp;

如上所述，主要会导致一些UAF无法利用，并且全地址读写也收到影响，这里我们解释下为何使用Float64Array读写会受影响。

<a target="_blank"><img alt="" data-original="https://p3.ssl.qhimg.com/t015ecaf9f98e833b47.png" src="http://pgicons.cn-bj.ufileos.com/img_open/15301733724ee5489eba62dbc458bc3b4d0995eb434d21d26b.png"></a>&nbsp;

代码的注释说明中已经说的很清楚了，它保留了一个区域，留给索引类型的数据结构，如array/typed array，那么这个g_gigacageBasePtrs又是在哪里使用的呢？

<a target="_blank"><img alt="" data-original="https://p0.ssl.qhimg.com/t011242d01f1532c1d7.png" src="http://pgicons.cn-bj.ufileos.com/img_open/153017337426bb7e3a722bb50e27fcd6b2263f8708ed574a6e.png"></a>&nbsp;

观察Float64Array的setIndex函数，当我们要写入数据时，它会做一个重定位，重定位的基地址正是刚才的g_gigacageBasePtrs，经过几步简单的映射计算，得到在保留区域的最终目的地址，最后写入的位置也是在这个安全的位置。

&nbsp;它的实现我们了解了，那么绕过的方案应该从哪方面入手呢？

<a target="_blank"><img alt="" data-original="https://p0.ssl.qhimg.com/t014e99d2ab8b724f56.png" src="http://pgicons.cn-bj.ufileos.com/img_open/15301733765bd7b00341151ce492fac6e874d27e5c677c24d2.png"></a>&nbsp;

可以从几个大方向去考虑，我们也分别找到了对应的绕过方案，在这个会议前几天，_niklasb也公开了一种绕过方案

<a target="_blank"><img alt="" data-original="https://p1.ssl.qhimg.com/t012c496b459143c009.png" src="http://pgicons.cn-bj.ufileos.com/img_open/1530173378cc87f4bb2efe89b31ba99f4a0cfbb61e1f5e770c.png"></a>&nbsp;

他的思路属于上面列举的第二种，具体实现可以参照他的利用代码

<a>https://github.com/phoenhex/files/blob/master/exploits/ios-11.3.1/pwn_i8.js</a>&nbsp;

最后我们还介绍了准备在mp2o上使用的chrome bug,这个漏洞在chrome的正式版上消失了又在比赛前重新出现,最终直接报告给了google:

<a target="_blank"><img alt="" data-original="https://p1.ssl.qhimg.com/t016da19b297d9e39da.png" src="http://pgicons.cn-bj.ufileos.com/img_open/15301733817b4bdfbeb090865310f64159ec17eeedc5a16d6b.png"></a>&nbsp;

<a target="_blank"><img alt="" data-original="https://p2.ssl.qhimg.com/t01a8add0f54a66af4e.png" src="http://pgicons.cn-bj.ufileos.com/img_open/1530173388f1d2be02ecb4f5ec5c9135275031f4bd7e6f0b94.png"></a>&nbsp;

会议的最后,我们放出一个彩蛋demo,就是最新版iOS 12上面通过Safari浏览器远程越狱的视频。

原文 / From https://www.anquanke.com/post/id/149939