Exploit for Chrome Issue992914

## https://sploitus.com/exploit?id=3E770CA1-3FD1-5CD8-90A6-AA20D9AD021C
# Chrome Issue 992914 — 32-bit Port (Windows)

> **다시 올리는 이유 / Re-upload notice**
>
> **KR** — 2019년 Exodus Intelligence가 공개한 64비트 익스플로잇을 제가 **32비트 Windows Chrome용으로 포팅**하면서 정리해 둔 자료입니다. 예전에 GitHub에 올렸다가 내렸던 저장소를, 기록 보존 차원에서 그대로 다시 공개합니다. (작성 시점: 2019~2021, 내용은 당시 그대로이며 이후 갱신 없음)
>
> **EN** — This is an old project: a **32-bit Windows port** of Exodus Intelligence's original 64-bit exploit for Chromium bug 992914. It was published here years ago, taken down, and is now **re-uploaded as-is for archival purposes**. Written 2019–2021; unchanged since.

---

## 개요 / Overview

**KR** — Chromium V8의 **sealed/frozen elements kind type confusion** (Chromium bug **992914**) 취약점 익스플로잇입니다. 원본은 Exodus Intelligence의 "patch-gapping" 연구에서 공개된 **64비트** 버전이고, 이 저장소는 이를 **32비트 Chrome (Windows)** 환경에 맞게 변환한 것입니다.

**EN** — The bug is a type confusion in V8's handling of sealed/frozen element kinds (Chromium bug **992914**). Exodus published a working **64-bit** exploit as part of their patch-gapping research; this repository contains a **32-bit Windows port** of that exploit, together with the slide deck describing how the conversion was done.

* **Original 64-bit exploit author / 원본 64비트 익스플로잇 제작:** Exodus Intelligence
* **32-bit port / 32비트 변환:** this repository
* **Tested on / 테스트 환경:** Windows 10, **32-bit** Chrome 76.0.3809.100 / 76.0.3809.132

## 이 문서의 목적 / Purpose

**KR** — 단순히 동작하는 익스플로잇을 하나 더 공개하려는 것이 아니라, **64비트 익스플로잇을 32비트로 직접 이식해 보는 과정을 통해 크롬(V8) 익스플로잇에 대한 이해의 폭을 넓히는 것**이 이 자료의 목적입니다.

남이 만든 64비트 익스플로잇을 그대로 실행해 보는 것과, 그것을 다른 아키텍처로 옮기는 것은 요구되는 이해도가 다릅니다. 포팅을 하려면 각 단계가 *왜* 그렇게 동작하는지를 알아야 하고, 그 과정에서 자연스럽게 다음을 파고들게 됩니다.

* V8의 객체 메모리 레이아웃 — Map, elements, properties backing store가 힙에 어떻게 배치되는가
* 32비트에서의 SMI/포인터 태깅과 double 표현 — 왜 하나의 double(64비트) 안에 32비트 포인터 두 개를 넣어 다뤄야 하는가
* 64비트 기준으로 하드코딩된 오프셋·인덱스를 32비트 기준으로 어떻게 다시 계산하는가
* `WebAssembly.Instance` → `WasmExportedFunctionData` → RWX 페이지로 이어지는 코드 실행 체인이 아키텍처별로 어떻게 달라지는가
* d8과 실제 브라우저에서 힙 상태가 어떻게 달라지고, 그것이 익스플로잇 신뢰성에 어떤 영향을 주는가

첨부한 발표 자료(`.pptx`)는 이 변환 과정을 단계별로 따라가며 정리한 것으로, 결과물인 코드보다 **거기까지 가는 과정**에 초점을 맞추고 있습니다.

**EN** — The point of this repository is not to publish yet another working exploit. It is to use the **port from 64-bit to 32-bit as a vehicle for broadening one's understanding of Chrome/V8 exploitation**.

Running someone else's 64-bit exploit and moving that exploit to a different architecture demand very different levels of understanding. Porting it requires knowing *why* each step works the way it does, and in doing so you end up digging into:

* V8's object memory layout — how the Map, elements, and properties backing stores are arranged on the heap
* SMI/pointer tagging and double representation on 32-bit — why a single 64-bit double has to carry and be manipulated as two 32-bit pointers
* How offsets and indices hardcoded for 64-bit must be recomputed for 32-bit
* How the `WebAssembly.Instance` → `WasmExportedFunctionData` → RWX page code-execution chain differs between architectures
* How the heap state differs between d8 and the real browser, and what that does to exploit reliability

The attached slide deck (`.pptx`) walks through the conversion step by step; it focuses on **the reasoning that leads to the result** rather than on the finished code.

## 파일 구성 / Files

| File | 설명 / Description |
| --- | --- |
| `exp_32bit.html` | **KR** 익스플로잇 진입점. `print()` / `hex()` / `hexdump()` 헬퍼를 정의하고 `chrome_992914_32bit.js`를 로드합니다.**EN** Exploit entry point. Defines the `print()` / `hex()` / `hexdump()` helpers and loads `chrome_992914_32bit.js`. |
| `chrome_992914_32bit.js` | **KR** 브라우저용 32비트 익스플로잇 본체 (type confusion → addrof/AAR/AAW → WASM RWX → shellcode).**EN** The 32-bit exploit itself, for the browser (type confusion → addrof/AAR/AAW → WASM RWX → shellcode). |
| `d8_32bit_ex.js` | **KR** d8(V8 셸)에서 디버깅용으로 쓰던 변형본. 로그가 더 자세하고 일부 단계가 주석 처리되어 있습니다.**EN** A variant used for debugging under d8 (the V8 shell): more verbose logging, with some stages commented out. |
| `How_to_convert_Chrome_Issue992914_exploit_to_32-bit_on_Windows.pptx` | **KR** 64비트 → 32비트 변환 과정을 정리한 발표 자료 (약 34MB).**EN** Slide deck documenting the 64-bit → 32-bit conversion (~34 MB). |

## 동작 방식 요약 / How it works

**KR**

1. Sealed/frozen element kind 타입 혼동을 이용해 인접한 `float_array`의 길이/데이터 포인터를 깨뜨립니다.
2. 깨진 float 배열로 **relative OOB read/write**를 얻고, 이를 `addrof` 프리미티브로 확장합니다.
3. 32비트에서는 하나의 double(64비트) 안에 두 개의 32비트 포인터가 들어가므로, `setHighUint32()` / `float_to_low_32bit()` 같은 헬퍼로 상·하위 32비트를 나눠 다루며 **임의 주소 읽기/쓰기(AAR/AAW)** 를 구성합니다.
4. `WebAssembly.Instance` → `WasmExportedFunctionData` → instance 오브젝트를 따라가 **RWX 페이지 주소**를 얻습니다.
5. RWX 페이지에 셸코드를 쓰고, 익스포트된 WASM 함수(`wfunc()`)를 호출해 실행합니다.

기본 셸코드는 PEB 워킹으로 `WinExec`를 찾아 **`calc`** 를 실행하는 32비트 코드입니다 (`chrome_992914_32bit.js`의 `shellcode` 배열). 힙 상태에 따라 실패할 수 있어 최대 500회 반복하고, 그래도 실패하면 2초 뒤 페이지를 리로드해 재시도합니다.

**EN**

1. The sealed/frozen element kind type confusion is used to corrupt the length/data pointer of an adjacent `float_array`.
2. The corrupted float array yields a **relative OOB read/write**, which is extended into an `addrof` primitive.
3. On 32-bit, a single 64-bit double holds two 32-bit pointers, so helpers such as `setHighUint32()` / `float_to_low_32bit()` split it into high and low halves to build **arbitrary address read/write (AAR/AAW)**.
4. Following `WebAssembly.Instance` → `WasmExportedFunctionData` → the instance object yields the address of an **RWX page**.
5. The shellcode is written into that RWX page and executed by calling the exported WASM function (`wfunc()`).

The default shellcode is 32-bit code that walks the PEB to resolve `WinExec` and launches **`calc`** (see the `shellcode` array in `chrome_992914_32bit.js`). Because success depends on heap state, the exploit retries up to 500 times, then reloads the page after 2 seconds and tries again.

## 실행 방법 / Usage

**KR**

1. **32비트** Chrome 76.0.3809.100 또는 76.0.3809.132 를 `--no-sandbox` 로 실행합니다.
2. 이 디렉터리를 로컬 웹서버로 호스팅합니다. (예: `python -m http.server 8000`)
3. 브라우저에서 `http://localhost:8000/exp_32bit.html` 에 접속합니다.
4. 성공하면 계산기가 뜹니다. 진행 로그는 DevTools 콘솔에서 확인할 수 있습니다.

**EN**

1. Launch **32-bit** Chrome 76.0.3809.100 or 76.0.3809.132 with `--no-sandbox`.
2. Host this directory with a local web server (e.g. `python -m http.server 8000`).
3. Browse to `http://localhost:8000/exp_32bit.html`.
4. On success, the calculator pops. Progress messages are visible in the DevTools console.

```
chrome.exe --no-sandbox
python -m http.server 8000
```

d8로 디버깅할 때 / For debugging under d8:

```
d8.exe --allow-natives-syntax d8_32bit_ex.js
```

## 주의 / Disclaimer

**KR**

* 대상 취약점은 **2019년에 이미 패치**되었습니다. 최신 Chrome에서는 동작하지 않습니다.
* 이 코드는 **연구·교육 목적**으로만 공개합니다. 반드시 본인 소유이거나 명시적으로 허가받은 격리된 테스트 환경에서만 실행하세요.
* 셸코드가 포함되어 있으므로 실 사용 중인 머신에서 실행하지 마시고, VM에서 테스트하시기 바랍니다.
* 원본 익스플로잇의 저작권/크레딧은 Exodus Intelligence에 있습니다.

**EN**

* The vulnerability was **patched back in 2019**. This does not work against current Chrome.
* Published for **research and educational purposes only**. Run it only in an isolated test environment you own or have explicit permission to test.
* It contains shellcode — do not run it on a machine you actually use; test in a VM.
* Credit and copyright for the original exploit belong to Exodus Intelligence.

---

*Originally written 2019–2021. Re-uploaded unchanged. / 2019~2021년 작성, 내용 변경 없이 재업로드.*