CVE-2023-4357-Exploitation — Network Security Project | Kitploit

CVE-2023-4357-漏洞利用

网络安全项目

描述

Google Chrome 116.0.5845.96之前版本中对XML中不可信输入的验证不足，允许远程攻击者通过特制的HTML页面绕过文件访问限制。

复现

设置环境

在Linux上下载Chrome

$ wget https://edgedl.me.gvt1.com/edgedl/chrome/chrome-for-testing/114.0.5735.90/linux64/chrome-linux64.zip

$ unzip chrome-linux64.zip

执行

$ ./chrome-linux64/chrome --no-sandbox

启动Web服务器

准备一个SVG文件以利用漏洞
准备一个bash脚本用于启动HTTP服务器
执行脚本

$ chmod +x start_server.sh

$ ./start_server.sh

访问浏览器

在Chrome中通过导航到localhost的8888端口来访问d.svg文件

http://127.0.0.1:8888/d.svg

参考

链接