https://blog.qife122.com/tags/%E6%B5%8F%E8%A7%88%E5%99%A8%E5%88%A9%E7%94%A8/ Recent content in 浏览器利用 on 办公AI智能小助手 Hugo zh-cn qife Thu, 18 Sep 2025 22:32:41 +0800 https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90apple-coretext%E6%BC%8F%E6%B4%9E%E4%BB%8Eoob%E5%86%99%E5%85%A5%E5%88%B0vtable%E8%A6%86%E7%9B%96%E7%9A%84%E5%88%A9%E7%94%A8%E4%B9%8B%E6%97%85/ Thu, 18 Sep 2025 22:32:41 +0800 https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90apple-coretext%E6%BC%8F%E6%B4%9E%E4%BB%8Eoob%E5%86%99%E5%85%A5%E5%88%B0vtable%E8%A6%86%E7%9B%96%E7%9A%84%E5%88%A9%E7%94%A8%E4%B9%8B%E6%97%85/ <h1 id="apple-coretext---一次意外学习失败的旅程--star-labs">Apple CoreText - 一次意外学习失败的旅程 | STAR Labs</h1> <h2 id="目录">目录</h2> <h3 id="1-攻击面">1. 攻击面</h3> <ul> <li>2021年10月1日</li> <li>2021年10月20日</li> <li>2021年10月26日</li> </ul> <h3 id="2-漏洞详情">2. 漏洞详情</h3> <ul> <li>2021年11月1日</li> <li>2021年11月3日</li> <li>2021年11月8日</li> </ul> <h3 id="第3a部分利用-崩溃">第3a部分：利用-崩溃</h3> <ul> <li>步骤0：触发崩溃</li> <li>用于调试POC的LLDB设置</li> <li>崩溃是如何发生的？</li> <li>所有想法都不奏效，除了一个</li> </ul> <h3 id="第3b部分利用-控制栈">第3b部分：利用-控制栈</h3> <ul> <li>尝试1（失败）：通过创建多个嵌套HTML元素</li> <li>尝试2（成功）：递归JS函数调用</li> <li>现在加入POC字体</li> </ul> <h3 id="第3c部分利用-oob写入">第3c部分：利用-OOB写入</h3> <ul> <li>OOB写入代码路径</li> <li>尝试1（失败）：</li> <li>尝试2（失败）：DFG JIT</li> <li>尝试3（成功）：wasm</li> <li>最终说明</li> </ul> <h3 id="第3d部分利用-vtable覆盖">第3d部分：利用-vtable覆盖</h3> <ul> <li>一些统计数据</li> <li>每个核心一个堆</li> <li>堆中的空洞</li> <li>tfont和glyphs的内存布局</li> <li>CTNativeGlyphStorage结构</li> <li>TFont结构</li> <li>禁用vtable调用（失败）</li> <li>利用步骤</li> <li>在正确的时间中断</li> <li>其他可探索的想法</li> <li>参考文献</li> </ul> <p>去年年底，我花了2-3个月的时间专注于研究CoreText框架。特别是与文本整形引擎相关的代码以及负责解析AAT表的代码。</p>