（这里解释下为什么要安装 python2.7 ，这个漏洞存在于 v8 老版本，这个commit下版本编译/同步等诸多脚本使用的还是 python2 的语法，用python3 会有一大堆报错）

我这里就选择python2.7版本为默认版本

这里我选择的是设置命令行的 HTTP 全局代理 和 git 代理

设置之后 depot_tools 下载包用的代理

至此，V8已经被被我们编译出来了

至此，环境搭建完毕。

拉取并编译

Output :

使用 --print-code 可以全量观察 JIT 优化前后机器码的区别，其中我们需要注意的是 Check 函数的优化

修改 poc.js ，在其中加入 native syntax ，便于我们调试 ，然后进入 gdb

触发 native syntax 语法 %SystemBreak(); 断下来后，关注打印的信息

使用 job 命令 可以看到 带有解释的汇编以及机器吗实际的地址

此时我们就能对我们感兴趣的部分下断点了, 直接断点到取地址赋值的开始

可以看到 这个时候 FixedArray 的长度是 0，如果此时向其中写入内容则会发生数组越界
越界前 FixedArray:

越界前 先看下各项是什么：

所以在越界前， FixArray的内存布局为

来到越界写的这一条指令：

单步执行后验证

在构造利用前 我们先观察一个规律，

如上的Check函数 当循环多次后，JIT 引擎对函数产生了优化， 对 n 的赋值部分汇编如下

可以看到 ，其中 只有 n.xyz 把 [[rax+0x7] + offset] 位置的数据当作指针处理，而其他的变量都是直接写到 [[rax+0x7] + offset] 位置上。

如果我们换一个js写法：

此时优化后的汇编如下：

由此可以总结出一条规律，只要是写入浮点数，（通过参考文章也可以知道，其实是非 smi 的赋值），我们写入的目标就是 [[rax+0x7] + offset] 指针指向的内存
如果是写入的是 smi ，则会直接写在 [[rax+0x7] + offset] 上

构造 payload 如下：

调试观察内存情况

如此，我们便把 Check JSFunciton 结构的地址填到了 null string 的 value 字段，然后我们通过 str.charCodeAt(x) 即可取出每个字节的数据

如上，组合后即可 leak 出填入 string value 字段的目标地址。

通过上一节的规律我们可以发现，如果写入一个非smi，则会写入[[rax+0x7] + offset]指向的地址，那如果 [[rax+0x7] + offset] 指向的位置即是 [rax+0x7] 是不是即可以完成任意地址写？

即，我们想要构造的内存如下：

这个内存结构就是 null(string).value -> &null(string)，然后我们再创造另一个优化后目标是写入指针的函数，即可在任意地址写入任意浮点数（任意写达成）
如下：

任意写之后，内存结构如下，如我们预期

这里直接解释下exp的思路：
当我们有了任意写的能力后，可以通过自定义一个函数，然后修改函数的机器码地址指针，让其指向我们申请的另一块数组内存
而我们将真正的 shellcode 写到这个内存中。
代码详见 后续完整exp部分

shellcode 可以由 msf 生成

然后将其按照我们能够利用的方式排列

对于漏洞利用的研究，我认为由远及近的系统性研究更能对其演变产生理解，熟悉系统，强化漏洞利用的技法，最终形成自己的一套方法论，但是由于这个漏洞年代有些远了，很多当时复现文章中装环境的部分已经失去了有效性，容易踩坑，在折腾了许久环境后终于找到一条可用路径，故分享出来给各个想要入门的同学。

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！