[!IMPORTANT] 本仓库旨在用于学习漏洞。 本动手练习请务必在您自己管理的适当计算机上进行。绝对不要进行违法行为。 此外，对于因本仓库而发生的任何损害或责任，作者概不负责。

CVE-2024-4367-hands-on

体验 CVE-2024-4367 的动手练习

创建 poc.pdf

python CVE-2024-4367-PoC/CVE-2024-4367.py "alert('document.domain')"

引用来源：https://github.com/LOURC0D3/CVE-2024-4367-PoC

将创建用于攻击的 poc.pdf。 详细用法请参考以下内容： https://github.com/LOURC0D3/CVE-2024-4367-PoC

启动存在漏洞的 Firefox 并确认攻击

python firefox.py 125

使用存在漏洞版本的 Firefox Nightly 打开 poc.pdf。 首次启动时需要下载 Firefox Nightly，因此会花费一些时间。 确认 JavaScript 被执行并显示警报。

使用已修复漏洞的 Firefox 进行验证

python firefox.py 135

使用新版本的 Firefox Nightly 打开 poc.pdf，确认不显示警报，漏洞已被修复。

PDF.js 源代码的比较

包含漏洞的 vulnerable-pdf.js 和已修复漏洞的 invulnerable-pdf.js 都存在。

pdfjs_diff_font_renderer.js 是 vulnerable-pdf.js/src/core/font_renderer.js 与 invulnerable-pdf.js/src/core/font_renderer.js 之间的差异对比文件。