一个与 V8 沙箱漏洞研究（VR）和利用相关的链接集合
2023: "问题编号：40940619，由于 ExternalPointerTable 中的类型标签对于嵌入器对象过于粗糙而导致 V8 沙箱逃逸"
2023: "问题编号：40940623，由于对 Foreigns 的粗糙类型检查导致 V8 沙箱逃逸"
2024: "问题编号：42204606，缓解 RegExp 中的沙箱逃逸"
2024: "问题编号：336507783，V8 沙箱：防止基于 Wasm 的沙箱逃逸 "
2024: "问题编号：327732554，由于将（不可信的）字符串长度与缓冲区大小进行有符号比较而导致的 V8 沙箱违规"
2024: "问题编号：326086002，当 switch 后的代码存在 UB 时，对枚举进行（穷尽的）switch 而导致的沙箱违规"
2024: "问题编号：327732554，在 v8::internal::Builtins::code 中的 V8 沙箱违规"
2024: "问题编号：328692018，在 v8::bigint::Digits::read_4byte_aligned 中的 V8 沙箱违规"
2024: "问题编号：328858270，在 v8::internal::GetBailoutReason 中的 V8 沙箱违规"
2024: "问题编号：332475841，在 v8::internal::ElementsKindToString 中的 V8 沙箱违规"
2024: "问题编号：41487854，在 Builtins_StarWideHandler 中的 V8 沙箱违规"
2024: "问题编号：323736727，在 Builtins_DeoptimizationEntry_Eager 中的 V8 沙箱违规"
2024: "问题编号：323694399，在 Builtins_DeoptimizationEntry_Eager 中的 V8 沙箱违规"
2024: "问题编号：323696394，在 Builtins_DeoptimizationEntry_Eager 中的 V8 沙箱违规"
2024: "问题编号：323690010，在 Builtins_DeoptimizationEntry_Eager 中的 V8 沙箱违规"
2024: "问题编号：327550517，在 v8::internal::ArrayBufferSweeper::Detach 中的 V8 沙箱违规"
2024: "问题编号：324343442，在 v8::internal::SemiSpace::FixPagesFlags 中的 V8 沙箱违规"
2024: "问题编号：326109866，在 v8::internal::compiler::MapData::instance_type 中的中毒后使用"
2024: "问题编号：327719160，在 v8::internal::MarkCompactCollector::ProcessMarkingWorklist 中的 V8 沙箱违规"
2024: "问题编号：327827222，在 v8::internal::ConcurrentMarking::RunMajor 中的 V8 沙箱违规"
2024: "问题编号：329425726，在 v8::internal::Scavenger::IterateAndScavengePromotedObject 中的 V8 沙箱违规"
2024: "问题编号：329886545，在 v8::internal::JSFunction::CalculateExpectedNofProperties 中的 V8 沙箱违规"
2024: "问题编号：330219140，在 unsigned int v8::base::AsAtomicImpl::Relaxed_Load 中的 V8 沙箱违规"
2024: "问题编号：330385840，在 v8::internal::Code::kind 中的 V8 沙箱违规"
2024: "问题编号：330404819，通过正则表达式导致的 V8 沙箱逃逸"
2024: "问题编号：329781445，在 v8::internal::Scavenger::IterateAndScavengePromotedObject 中的 V8 沙箱违规"
2024: "问题编号：330563095，WebCodecs VideoFrame 竞态条件导致 UAF 写入并实现 RCE" 由 Seunghyun Lee(@0x10n) [Pwn2Own 2024]
2024: "问题编号：331042197，在 v8::internal::Scavenger::IterateAndScavengePromotedObject 中的 V8 沙箱违规"
2024: "问题编号：330922416，在 v8::internal::ArrayBufferExtension::backing_store 中的 V8 沙箱违规"
2024: "问题编号：331036491，在 icu_73::Locale::getBaseName 中的 V8 沙箱违规"
2024: "问题编号：330096629，在 icu_73::RelativeDateTimeFormatter::getFormatStyle 中的 V8 沙箱违规"
2024: "问题编号：331241020，由于编译器中的缓冲区溢出导致的 V8 沙箱违规和内存破坏"
2024: "问题编号：331883947，在 v8::internal::Managed<icu_73::Locale>::GetSharedPtrPtr 中的 V8 沙箱违规"
2024: "问题编号：331042216，在 v8::internal::LazyCreateDateIntervalFormat 中的 V8 沙箱违规"
2024: "问题编号：333065495，在 v8::internal::MemoryChunkMetadata::heap 中的 V8 沙箱违规"
2024: "问题编号：330800450，在 unsigned long v8::base::AsAtomicImpl::Relaxed_Load 中的 V8 沙箱违规"
2024: "问题编号：335763881，在 v8::internal::TranslatedState::CreateNextTranslatedValue 中的 V8 沙箱违规"
2024: "问题编号：335544065，在 Builtins_DeoptimizationEntry_Eager 中的 V8 沙箱违规"
2024: "问题编号：335322609，在 v8::internal::maglev::CapturedObject::set 中的 V8 沙箱违规"
2024: "问题编号：335810507，在 v8::internal::ToLatin1Lower 中的 V8 沙箱违规"
2024: "问题编号：337094992，在 v8::internal::ArrayBufferExtension::backing_store 中的 V8 沙箱违规"
2024: "问题编号：336655186，在 v8::internal::Scavenger::IterateAndScavengePromotedObject 中的 V8 沙箱违规"
2024: "问题编号：327473161，在 v8::internal::TranslatedState::CreateNextTranslatedValue 中的 V8 沙箱违规"
2024: "问题编号：334120897，V8 沙箱绕过：wasm 函数签名混淆导致沙箱外任意读写 "
2024: "问题编号：336648007，在 v8::internal::maglev::CapturedObject::set 中的 V8 沙箱违规"
2024: "问题编号：343407073，V8 沙箱绕过：通过 WASM 表间接调用实现控制流劫持"[Edouard Bochin (@le_douds) 与 Tao Yan (@Ga1ois)]
2024: "问题编号：339141292，在 Builtins_JSToJSWrapper 中的 V8 沙箱违规"
2024: "问题编号：339310133，在 v8::internal::maglev::CapturedObject::set 中的 V8 沙箱违规"
2024: "问题编号：339517309，在 v8::internal::maglev::CapturedObject::set 中的 V8 沙箱违规"
2024: "问题编号：338342089，在 v8::internal::wasm::name 中的 V8 沙箱违规"
2024: "问题编号：342866373，V8 沙箱绕过：JSToWasmWrapperAsm 可访问并允许类型混淆"
2024: "问题编号：338342091，在 Builtins_JSToJSWrapper 中的 V8 沙箱违规"
2024: "问题编号：337547182，在 Builtins_SuspendGeneratorHandler 中的 V8 沙箱违规"
2024: "问题编号：342297062，如果 SFI::formal_parameter_count 与函数代码的参数数量不匹配，则发生 V8 沙箱违规"
2024: "问题编号：343801366，V8 沙箱绕过：实验性正则表达式引擎的加固不完整"
2024: "问题编号：344963941，V8 沙箱绕过：Irregexp 引擎字节码修改导致沙箱外任意读写"
2024: "问题编号：346799730，Regexp 回溯栈可能下溢"
2024: "问题编号：339043698，在 unsigned char v8::base::ReadUnalignedValue 中的 V8 沙箱违规"
2024: "问题编号：348324480，OutsideSandboxOrInReadonlySpace 检查沙箱内数据"
2024: "问题编号：349517592，Wasm FeedbackMaker 越界访问"
2024: "问题编号：345547973，在 v8::internal::wasm::name 中的 V8 沙箱违规"
2024: "问题编号：349563054，V8 沙箱绕过：通过操纵 Managed 实现 UAF"
2024: "问题编号：349641090，在 v8::internal::compiler::MapData::instance_type 中的 V8 沙箱违规"
2024: "问题编号：337906704，在 v8::internal::OldLargeObjectSpace::PromoteNewLargeObject 中的 V8 沙箱违规"
2024: "问题编号：348793147，V8 沙箱绕过：通过绕过表导入签名检查实现 AAR/W"
2024: "问题编号：351327767，由于缓存的内存索引混淆导致 WebAssembly 越界内存访问"
2024: "问题编号：352446085，V8 沙箱绕过：通过 WASM 导入竞态条件导致 memory64 运行时边界检查失效，实现 AAR/W"
2024: "问题编号：349502157，V8 沙箱绕过：通过绕过 table set 越界 SBXCHECK_LT() 检查实现 AAR/W"
2024: "问题编号：349529650，V8 沙箱绕过：通过函数导入签名检查竞态实现 AAR/W"
2024: "问题编号：352689356，V8 沙箱绕过：通过 TurboFan call_ref 中的 WASM 函数签名混淆实现 AAR/W"
2024: "问题编号：372298915，在 v8::internal::BuiltinArguments::operator 中的 V8 沙箱违规"
2024: "问题编号：356649155，在 v8::internal::OldLargeObjectSpace::PromoteNewLargeObject 中的 V8 沙箱违规"
2024: "问题编号：329345899，当堆内存被破坏时，由于越界访问 SlotSet Bucket 导致的 V8 沙箱违规"
2024: "问题编号：341129593，V8 沙箱绕过：解释函数参数不匹配"
2024: "问题编号：344343031，V8 沙箱绕过：代码指针表索引混淆导致栈破坏"
2024: "问题编号：338381304，V8 沙箱绕过：由于参数数量不匹配导致栈破坏"
2024: "问题编号：359952306，在 v8::internal::CommonFrameWithJSLinkage::GetParameter 中的 V8 沙箱违规"
2024: "问题编号：359070975，在 unsigned int v8::internal::ReadMaybeUnalignedValue 中的 V8 沙箱违规"
2024: "问题编号：369652807，在 v8::internal::wasm::name 中的 V8 沙箱违规"
2024: "问题编号：354408144，V8 沙箱绕过：通过 PodArrayOfWasmValueType 覆盖在 Wasm-to-JS 包装器中实现 WASM 签名混淆，从而导致 AAR/W"
2024: "问题编号：348084786，V8 沙箱绕过：通过 Shared Function Info"
2024: "问题编号：361862752，V8 沙箱绕过：编译后的 JS-to-WASM 包装器未防护 trusted_function_data 被覆盖"
2024: "问题编号：372749557，在 Builtins_SuspendGeneratorBaseline 中的 V8 沙箱违规"
2024: "问题编号：366374966，在 Builtins_CEntry_Return1_ArgvOnStack_BuiltinExit 中的 V8 沙箱违规"
2024: "问题编号：376496315，在 v8::internal::TranslatedValue::kind 中的 V8 沙箱违规"
2024: "问题编号：379418918，在 Builtins_ContinueToJavaScriptBuiltinWithResult 中的 V8 沙箱违规"
2024: "问题编号：374812612，如果 FeedbackVector 上的代码被修改，在 OSR 升级期间发生 V8 沙箱违规"
2024: "问题编号：350628675，V8 沙箱绕过：通过来自 `WasmTableObject.uses' 的 WASM 分派表索引越界实现 AAR/W"
2024: "问题编号：382147423，在 v8::internal::MutablePageMetadata::SweepingDone 中的 V8 沙箱违规"
2024: "问题编号：381999810，V8 沙箱绕过：V8 沙箱外内存破坏"
2024: "问题编号：350292240，V8 沙箱绕过：通过绕过通用函数表 call_indirect 的 rtt 检查实现 AAR/W"
2024: "问题编号：384186547，V8 沙箱绕过：攻击者操纵 ArrayBufferSweeper 链表导致 ArrayBufferExtension 悬垂指针"
2025: "问题编号：389713719，V8 沙箱绕过：MemoryChunk metadata_pointer_table 越界写入"
2025: "问题编号：388437270，V8 沙箱绕过：JsonStringifier::SerializeString 中的越界写入"
2025: "问题编号：389970331，V8 沙箱绕过：StringToBigIntHelper 栈缓冲区溢出"
2025: "问题编号：390568183，V8 沙箱绕过：由于无效的 MessageTemplate 变体导致 MessageHandler::GetMessage 中的 UB"
2025: "问题编号：390453039，V8 沙箱绕过：由于 AddressType 由堆上数据构造导致 WebAssemblyMemoryGrow 中的 UB"
2025: "问题编号：390816209，V8 沙箱绕过：通过对被破坏的 MessageTemplate 枚举值进行 switch-case 实现控制流劫持"
2025: "问题编号：390441099，V8 沙箱绕过：StringToBigIntHelper 栈缓冲区溢出"
2025: "V8 沙箱绕过：由于 %TypedArray%.prototype.set 边界检查整数溢出导致的 AAW（wildcopy）"
2025: "问题编号：395659804，V8 沙箱绕过：通过 OSR DeoptimizationData 混淆实现任意代码执行"
2025: "问题编号：398773898，V8 沙箱绕过：JsonStringifier::TrySerializeSimplePropertyKey 中的越界写入"
2025: "问题编号：393989622，在 icu_74::UnicodeString::doAppend 中的 V8 沙箱违规"
2024: "问题编号：385775375，由于 std::sort 期间并发修改 ArrayBuffer 导致的 V8 沙箱违规"
2024: "问题编号：386565139，V8 沙箱绕过：TypedArraySet 中的整数溢出导致沙箱外写入"
2025: "问题编号：403600260，V8 沙箱绕过：在 Maglev JSGeneratorObject 分配内联中，未初始化读取导致 switch-case 越界跳转"
2025: "问题编号：401732698，在 v8 中的 V8 沙箱违规"
2025: "问题编号：404285918，V8 沙箱绕过：通过 Wasm JSPI 中央栈顶混淆实现 SP/PC 控制"
2025: "问题编号：396446145，V8 沙箱绕过：JsonParser::DecodeString 中的越界写入（双重读取）"
2025: "问题编号：395895382，V8 沙箱绕过：通过 Turbofan 展开调用内联中的数组长度破坏实现 AAW"
2022: "在 Chromium 的 V8 堆沙箱中执行代码"
2022: "KITCTFCTF 2022 V8 堆沙箱逃逸"
2022: "memory hole"[DiceCTF 2022]
2022: "Memory Hole：攻破 V8 堆沙箱"[DiceCTF 2022]
2023: "利用函数的原生指针绕过最新 Chrome v8 沙箱（issue1378239 的 exp）"
2023: "再次使用 Wasm 绕过最新 Chrome v8sbx"
2023: "从 Chrome 中利用 Zenbleed"2023: "探索历史上的 V8 堆沙箱逃逸 I"
2023: "滥用 Liftoff 汇编并高效逃离沙箱(@r3tr074)"
2023: "发动引擎 - 在谷歌全新 v8CTF 中夺得首个 Flag"
2024: "Google Chrome V8 CVE-2024-0517 越界写入代码执行"
2024: "Issue-1472121 : 利用越界 CloneObjectIC 类型混淆"
2024: "从对象转换到 Chrome 渲染器中的 RCE"
2024: "克隆攻击: 利用重复对象属性在 Chrome 渲染器中实现 RCE"
2024: "深入剖析在野利用中使用的 V8 沙箱逃逸技术"
2024: "CVE-2024-2887: Google Chrome 中赢得 Pwn2Own 的漏洞"
2024: "利用可信指针表攻破 V8 沙箱"[HITCON CTF 2024]
2024: "HITCON CTF QUAL 2024 Pwn 挑战赛第 1 部分 - Halloween 与 v8sbx"[HITCON CTF 2024]
2024: "SSD 安全公告 – Google Chrome RCE(Seunghyun Lee (@0x10n)"[TyphoonPWN 2024]
2022: "V8 沙箱化(Samuel Groß, @5aelo)"
2023: "现代 Chrome 漏洞利用链开发"[POC2023 - @numencyber]
2024: "V8 堆沙箱(Samuel Groß, @5aelo)"[OffensiveCon 2024]
2024: "Manfred Paul(@_manfp) 利用 V8 WASM 类型混淆实现 Chrome/Edge RCE"[Pwn2Own Vancouver 2024]
2024: "仅限渲染器的 Google Chrome RCE - Seunghyun Lee (@0x10n)"[Pwn2Own Vancouver 2024]
2024: "V8 JSE 防护机制的演进"[幻灯片][全文][SSTIC2024]
2024: "从漏洞到胜利: Chrome 渲染器 1-Day 漏洞利用的 v8CTF 荣耀之旅"[TyphoonCon 2024]
2024: "TIKTAG: 利用推测执行攻破 ARM 的内存标记扩展"
2024: "让缓存去缓存，让 WebAssembly 去汇编: 叩响 Chrome 的 Shell"[blackhat USA 2024]
2024: "V8 沙箱逃逸分析 - Edouard Bochin (@le_douds) 和 Tao Yan (@Ga1ois)"[Pwn2Own Vancouver 2024]
2024: "绕过 V8 沙箱防护机制"[OFFZONE 2024]
2024: "Chrome 漏洞利用: 从零到堆沙箱逃逸"[BSides Oslo 2024][matteo malvica]NDC Security 2025
2024: "WebAssembly 就是你所需要的一切: 利用 WASM 10+ 次攻破 Chrome 与 V8 沙箱"[POC2024][Seunghyun Lee]
2024: "先假装，后成真: 通过构造虚假的 Isolate 绕过 V8 沙箱"[POC2024][Jaewon Min][Kaan Ezder]
