Chromium CVE-2025-2783: 沙箱逃逸与全链远程代码执行利用

本仓库包含针对CVE-2025-2783的全链利用实现。漏洞位于Chromium的Ipcz通信层，允许攻击者从受限的渲染进程实现沙箱逃逸和任意代码执行。此利用支持至134.0.6998.177版本。

https://github.com/user-attachments/assets/a3e2bf34-739c-4db7-9101-0f4d48987ad0

1. 项目结构

• src/：核心利用实现。包含针对CVE-2025-2783的Ipcz劫持逻辑、V8钩子以及线程劫持执行流程。
• demo/：全链演示环境。通过HTML文件触发V8类型混淆漏洞，并加载从src/编译的二进制载荷，完成从渲染进程到Shellcode执行的整个链条。

2. 漏洞背景 (CVE-2025-2783)

• 组件：third_party/ipcz（Chromium的Ipcz传输协议实现）
• 根本原因：Ipcz在处理RelayMessage时，缺乏对跨进程句柄的严格来源和权限验证。
• 影响：被攻破的渲染进程可以诱使浏览器进程（Broker）中继高特权线程句柄，从而有效绕过沙箱限制。

3. 利用链

1. 信号拦截：通过挂钩V8Console::Debug，拦截demo/环境中来自JavaScript的信号，安全地从ArrayBuffer中提取第二阶段Shellcode。
2. 漏洞触发：挂钩OnAcceptRelayedMessage，构造伪造的中继请求（消息ID：0x69），通过CVE-2025-2783获取高特权句柄。
3. 线程劫持：
   • 挂起目标高特权线程。
   • 使用SetThreadContext强制修改寄存器状态。
   • 在目标上下文中依次调用VirtualAlloc、ReadProcessMemory和CreateThread以执行Shellcode。

4. 构建与演示

核心库构建 (src/)

由于代码深度依赖Chromium内部的ipcz和mojo库，强烈建议将src/目录集成到Chromium源码树中，并使用GN和Ninja构建，以确保所有内部依赖正确链接。

全链演示 (demo/)

1. 兼容性：目前仅在Chrome v128上测试；由于利用的特性，仅适用于Windows系统。
2. 准备：确保src/的二进制产物就绪（demo/目录中已提供预编译的payload.bin和shellcode.bin）。
3. 执行：在demo/目录下运行python -m http.server，然后在浏览器中导航至http://127.0.0.1:8000/exp.html。
4. 结果：演示脚本将自动加载二进制载荷，并在系统上执行预定义的Shellcode。

5. 参考

• Chromium Issue 405143032
• Chromium Issue 381696874
• Minhook

6. 免责声明

本仓库仅供学术和安全研究目的使用。作者不对因使用此代码造成的任何损失或法律责任负责。请仅在授权环境中进行测试。