Chromium CVE-2025-2783：沙盒逃逸与全链远程代码执行利用

本仓库包含了 CVE-2025-2783 的完整利用链实现。该漏洞存在于 Chromium 的 Ipcz 通信层，允许攻击者从受限的渲染器进程中实现沙盒逃逸和任意代码执行。该利用支持 134.0.6998.177 及之前的版本。

https://github.com/user-attachments/assets/a3e2bf34-739c-4db7-9101-0f4d48987ad0

1. 项目结构

• src/：核心利用实现。包含针对 CVE-2025-2783 的 Ipcz 劫持逻辑、V8 钩子以及线程劫持执行流程。
• demo/：全链演示环境。通过 HTML 文件触发 V8 类型混淆漏洞，并加载从 src/ 编译生成的二进制载荷，完成从渲染器进程到 Shellcode 执行的完整攻击链。

2. 漏洞背景（CVE-2025-2783）

• 组件：third_party/ipcz（Chromium 的 Ipcz 传输协议实现）
• 根本原因：Ipcz 在处理 RelayMessage 时，缺乏严格的跨进程句柄来源与权限验证。
• 影响：受感染的渲染器进程可以诱导浏览器进程（Broker）转发高权限线程句柄，从而绕过沙盒限制。

3. 利用链

1. 信号拦截：通过钩住 V8Console::Debug，从 demo/ 环境中的 JavaScript 拦截信号，安全地从 ArrayBuffer 中提取第二阶段的 Shellcode。
2. 漏洞触发：钩住 OnAcceptRelayedMessage，构造伪造的中继请求（消息 ID：0x69），通过 CVE-2025-2783 获取高权限句柄。
3. 线程劫持：
   • 挂起目标高权限线程。
   • 使用 SetThreadContext 强制修改寄存器状态。
   • 在目标上下文中依次调用 VirtualAlloc、ReadProcessMemory 以及 CreateThread，以执行 Shellcode。

4. 构建与演示

核心库构建（src/）

由于代码深度依赖 Chromium 内部的 ipcz 和 mojo 库，强烈建议将 src/ 目录集成到 Chromium 源码树中，并使用 GN 和 Ninja 进行构建，以确保正确链接所有内部依赖。

全链演示（demo/）

1. 兼容性：当前仅在 Chrome v128 上测试；由于利用的性质，仅适用于 Windows 系统。
2. 准备：确保 src/ 生成的二进制文件已就绪（demo/ 目录中已预编译了 payload.bin 和 shellcode.bin）。
3. 执行：在 demo/ 目录下运行 python -m http.server，然后在浏览器中访问 http://127.0.0.1:8000/exp.html。
4. 结果：演示脚本将自动加载二进制载荷，并在系统上执行预定义的 Shellcode。

5. 参考

• Chromium Issue 405143032
• Chromium Issue 381696874
• Minhook

6. 免责声明

本仓库仅用于学术和安全研究目的。作者不对因使用本代码而导致的任何损失或法律责任负责。请仅在授权环境中进行测试。