ChromSploit Framework v3.0

概述

ChromSploit Framework 是一款尖端的教育性安全研究工具，专为网络安全专业人士、研究人员和学生设计。它采用模块化架构，为在受控环境中研究浏览器漏洞和利用技术提供了全面平台。

重要提示：本框架仅用于教育目的和经授权的安全测试。严禁未经授权使用，否则可能违反适用法律。

核心亮点

• 智能浏览器检测：自动识别浏览器并提供漏洞利用建议
• 分析仪表盘：实时监控和性能指标
• 性能优化：先进缓存系统，加快执行速度
• 增强安全性：多级授权和目标验证
• 自动化测试：基于 Selenium/Playwright 的浏览器测试自动化
• 多漏洞利用链：多个 CVE 的自动化组合
• 高级混淆：采用 9 种以上技术的极限级载荷混淆
• Auto-Ngrok 集成：自动创建隧道，实现无缝利用
• 专业报告：全面的 PDF/HTML/JSON 报告

功能特性

快速开始

先决条件

• Python 3.9+（含 pip）
• Git，用于仓库操作
• 虚拟环境（推荐）
• 管理员权限（部分功能需要）

安装

# 1. Clone the repository
git clone https://github.com/Leviticus-Triage/ChromSploit-Framework.git
cd ChromSploit-Framework

# 2. Create virtual environment
python3 -m venv venv
source venv/bin/activate # Windows: venv\Scripts\activate

# 3. Install dependencies
pip install -r requirements.txt

# 4. Launch ChromSploit
python chromsploit.py

首次运行

# Safe mode (recommended for first run)
python chromsploit.py --simulation safe

# With debug output
python chromsploit.py --debug

# Environment check
python chromsploit.py --check

CVE 漏洞利用武器库

v3.0 新增功能：智能特性

浏览器检测与自动选择

从 User-Agent 字符串自动检测浏览器类型和版本，并推荐兼容的漏洞利用方案：

from modules.detection import get_browser_detector

detector = get_browser_detector()
browser_info = detector.detect_browser(user_agent)
recommendations = detector.recommend_exploit(browser_info)

功能：

• 支持 Chrome、Edge、Firefox、Brave、Vivaldi、Opera、Safari
• 版本解析与兼容性检查
• 基于浏览器版本的智能漏洞利用推荐
• 所有 CVE 的兼容性矩阵

监控与分析仪表盘

实时跟踪和分析漏洞利用执行情况：

• 成功率跟踪：计算每个 CVE 的成功率
• 性能指标：执行时间和性能统计
• 浏览器分布：目标浏览器分布分析
• 历史数据：跟踪最近 1000 次漏洞利用尝试
• 报告导出：生成 JSON 报告

访问方式：主菜单 → 分析仪表盘

缓存系统

高级缓存，提升性能：

• 载荷缓存：自动缓存已生成的载荷
• 混淆缓存：缓存混淆结果
• 浏览器检测缓存：检测结果 24 小时 TTL
• 持久化存储：基于 JSON 的持久化缓存
• LRU 淘汰：自动缓存管理

增强的安全与授权

多级安全控制：

• 漏洞利用授权：按用户/漏洞利用的授权系统
• 目标验证：Localhost 检查和生产环境警告
• 沙箱模式：默认安全测试模式
• 安全级别：SAFE（安全）、RESTRICTED（受限）、STANDARD（标准）、UNRESTRICTED（不受限）
• 审计日志：全面操作跟踪

浏览器测试自动化

基于 Selenium/Playwright 的自动化浏览器测试：

• 多浏览器测试：在不同浏览器中测试漏洞利用
• 自动验证：验证漏洞利用执行
• 测试报告：详细测试结果
• 截图支持：可视化验证

浏览器多漏洞利用链

该旗舰功能可按顺序自动化利用多个浏览器 CVE：

graph LR
 A[CVE-2025-4664<br/>Reconnaissance] --> B[CVE-2025-2857<br/>OAuth Theft]
 B --> C[CVE-2025-30397<br/>WebAssembly JIT]
 C --> D[CVE-2025-2783<br/>Sandbox Escape]
 
 style A fill:#e1f5fe
 style B fill:#f3e5f5
 style C fill:#fff3e0
 style D fill:#ffebee

增强功能

• 极限混淆：控制流平坦化、字符串加密、反调试
• Auto-Ngrok：自动为所有回调创建隧道
• 并行执行：多线程漏洞利用，提升速度
• 隐身模式：隐蔽的漏洞利用，具备规避检测能力
• 智能选择：基于浏览器检测的链路选择

架构

ChromSploit Framework v3.0
├── Core Engine
│ ├── Enhanced Menu System
│ ├── Module Loader
│ ├── Exploit Chain Manager
│ ├── Error Handler
│ └── Safety Manager
├── Detection & Analytics
│ ├── Browser Detector
│ ├── Exploit Monitor
│ └── Analytics Dashboard
├── Performance & Caching
│ ├── Exploit Cache
│ └── Cache Manager
├── Exploit Modules
│ ├── Browser CVEs (7)
│ ├── Server CVEs (2)
│ └── Custom Exploits
├── Obfuscation Engine
│ ├── JavaScript Obfuscation
│ ├── Binary Data Encryption
│ ├── Control Flow Flattening
│ └── Anti-Analysis
├── Testing Framework
│ ├── Browser Test Automation
│ ├── Selenium Integration
│ └── Playwright Integration
├── Network Integration
│ ├── Ngrok Manager
│ ├── HTTP Servers
│ └── WebSocket Handlers
└── Reporting System
 ├── PDF Generation
 ├── HTML Reports
 └── JSON Export

设计模式

• 模块化架构：基于插件的系统，易于扩展
• 安全优先：模拟模式防止意外利用
• 增强日志：结构化日志，具备分析能力
• 链路管理：依赖解析和状态共享
• 专业界面：彩色编码菜单，支持键盘快捷键
• 智能检测：自动检测浏览器和漏洞
• 性能优化：缓存和异步操作

文档

测试

# Run all tests
python -m pytest

# With coverage report
python -m pytest --cov=core --cov=modules --cov-report=html

# Test new improvements
python -m pytest tests/test_improvements.py -v

# Test new exploits
python -m pytest tests/test_new_exploits.py -v

# Validation framework
python -m core.validation_framework

测试覆盖率：核心模块达 95% 以上

v3.0 新增内容

贡献

我们欢迎安全研究社区的贡献！

请阅读我们的贡献指南以获取详细信息。

安全与道德

负责任的使用

本框架设计用于：

• 教育目的和学习
• 经授权的渗透测试
• 在受控环境中进行安全研究
• 具有适当授权的漏洞赏金计划

禁止用途

• 未经授权访问系统或网络
• 对第三方系统进行恶意攻击
• 未经许可进行商业利用
• 分发恶意软件或有害内容

安全功能

• 模拟模式：安全测试，不进行实际利用
• 沙箱模式：默认启用安全模式
• 多级授权：每次漏洞利用均需授权
• 目标验证：自动检查 localhost/生产环境
• 审计日志：完整的操作跟踪
• 确认提示：针对危险操作
• 教育标识：明确标记所有教育内容

许可证

本项目基于 Apache License 2.0 许可 - 详见 LICENSE 文件。

摘要

• 允许商业使用（有限制）
• 允许修改和分发
• 授予专利权使用
• 必须包含许可证和版权声明
• 不提供任何担保

致谢

支持与联系