Pixel 9 零点击漏洞利用链 第二部分：用大浪破解沙箱
随着潜在的杜比统一解码器RCE漏洞利用的出现，谨慎起见，有必要探究从由此产生的用户态上下文（即mediacodec上下文）中可以访问哪些Linux内核驱动程序。根据AOSP文档，mediacodec SELinux上下文旨在成为一个受约束的（即沙盒化的）上下文，用于运行非安全的软件解码器。然而，使用...
网络安全
(75 篇文章)
跳出思维定式 [2017年尘封草稿重见天日]
前言来自未来的问候！ 这篇博文最初起草于2017年初。我写完了计划中的前半部分（关于利用 CVE-2017-3558 从虚拟机逃逸到 VirtualBox 主机用户空间进程），但一直没来得及写后半部分（从 VirtualBox 主机用户空间进程到主机内核），最终几乎忘记了这篇旧草稿……但让这篇旧草稿...
Windows利用技术：通过路径查找赢得竞争条件
本文最初于2016年为Project Zero博客撰写。但最终它被单独发表在PoC||GTFO期刊第13期以及印刷版的第二卷中。为了庆祝我们的新博客，我们在此博客上重新发布它，并包含了一个更新的分析，以查看它在现代Windows 11系统上是否仍然有效。 在我的Windows研究过程中，我倾向于发现...
Android ITW DNG exploit 分析
引言2024年7月至2025年2月期间，有6个可疑的图像文件被上传到VirusTotal。得益于Meta提供的线索，这些样本引起了Google威胁情报小组的注意。 对这些图像的分析表明，这些图像是针对Quram库的DNG文件，Quram库是三星设备专用的图像解析库。 2025年11月7日，Unit ...
不费吹灰之力击败KASLR
引言最近我一直在研究Pixel内核漏洞利用，作为这项研究的一部分，我发现自己拥有一个极好的任意写入原语……但却没有KASLR泄漏。由于需要是发明之母，凭直觉，我开始研究Linux内核的线性映射。 Linux线性映射线性映射是内核虚拟地址空间中的一个区域，它是物理内存的直接1:1非结构化表示。在与Ja...
通过指针键控数据结构导致的指针泄露
引言2024年的某个时候，在一次Project Zero团队讨论中，我们谈到了远程ASLR泄露对于利用某些类型的内存破坏漏洞会有帮助或必要，特别是在苹果设备的背景下。从"哪里是寻找远程ASLR泄露的好起点"这个角度出发，这导致我们发现了一个技巧，可能被用来远程泄露指针，无需任何内...
从Chrome渲染器代码执行到内核利用MSG_OOB
引言六月初，我在审查一个新的Linux内核功能时，了解到了面向流的UNIX域套接字支持的MSG_OOB功能。我审查了MSG_OOB的实现，并发现了一个影响Linux >=6.9的安全漏洞（CVE-2025-38236）。我向Linux报告了这个漏洞，并且它得到了修复。有趣的是，虽然Chrome...
策略与披露：2025年版
作者：Tim Willis，Google Project Zero2021年，我们将漏洞披露政策更新为现行的"90+30"模式。我们的目标是推动更快速且彻底的补丁开发，并提升补丁的采用率。虽然我们已看到进展，但一个重大挑战依然存在：修复程序实际到达终端用户设备所需的时间。 这种延...
Windows注册表探险 #7：攻击面分析
作者：Mateusz Jurczyk，Google Project Zero 在本系列的前三篇博客文章中，我试图概述Windows注册表究竟是什么、它的作用、历史以及在哪里可以找到更多相关信息。在随后的三篇文章中，我的目标是详细描述这个机制在内部是如何工作的——从其客户端（例如，在Windows上运...
打破声音屏障第一部分：使用Mach消息对CoreAudio进行模糊测试
特邀作者：Dillon Franke，高级安全工程师，20% 时间用于 Project Zero 每秒，高权限的 macOS 系统守护进程都会接收并处理数百条 IPC 消息。在某些情况下，这些消息处理器会接受来自沙盒化或非特权进程的数据。 在这篇博文中，我将探讨如何将 Mach IPC 消息用作攻击...