技能介绍

大模型在 V8 漏洞利用上的盲区

V8 漏洞利用是浏览器 Pwn 的高阶主题，而大模型在这一领域的输出常常在两处失真：一是把 V8 对象表示讲得过于简化，漏掉 SMI 与 HeapObject 的 tagged pointer 布局；二是对 pointer compression（V8 ≥ 8.0）的沙箱边界视而不见，直接把 ArrayBuffer.backing_store 当作完整 64 位指针使用。这本手册整理了 CTF Wiki、Project Zero 与历年 CTF 题目的利用模式，专门填这两个坑。

手册覆盖的核心能力

V8 架构基础：编译管线（TurboFan）、Maps（Hidden Classes）、Elements kinds、Orinoco GC，以及 64 位下 pointer compression 的对象布局。

七类常见漏洞：JIT Type Confusion、Incorrect Bounds Elimination、Prototype Chain Confusion、Turbofan Reduction Bug、Race Condition（SAB + worker）、Builtin Off-by-one、Typer Bug，每类都给出触发条件和典型代码路径。

利用原语与后利用：

addrof / fakeobj：泄露对象地址与伪造对象引用，组合成任意 R/W
OOB 读写：通过 TurboFan 错误消除的边界检查，控制相邻堆对象
ArrayBuffer 破坏：拿到 cage 内的任意 R/W，但要跨出 4GB 沙箱仍需逃逸
WASM RWX：现代 Chrome 的 W^X 策略下的写入窗口与 JIT spray 思路
V8 沙箱逃逸：external pointer table、WASM 函数指针、JIT 代码页破坏、backing store seal bypass
Chrome 沙箱逃逸概览：Renderer RCE → Mojo IPC UAF/Type Confusion → Browser process

适用边界

这是专家级战术手册，假设读者已熟悉堆漏洞利用、JIT 编译和 Pwn 工具链。手册聚焦 renderer 内的 V8 利用模式，Chrome 沙箱逃逸只给出 Mojo IPC 层面的概览，不等于完整的浏览器提权 exploit。真实场景中的地址布局、GC 时机与版本差异需要配合调试器与实际目标确认。