一文读懂uxss-db：浏览器逻辑漏洞研究的终极资源库

一文读懂uxss-db浏览器逻辑漏洞研究的终极资源库【免费下载链接】uxss-dbBrowser logic vulnerabilities :skull_and_crossbones:项目地址: https://gitcode.com/gh_mirrors/ux/uxss-dbuxss-db是一个专注于浏览器逻辑漏洞研究的开源项目汇集了Webkit、Chromium、IE/Edge等主流浏览器的Universal Cross-Site ScriptingUXSS漏洞及相关利用代码为安全研究者和开发者提供了全面的漏洞分析资源。什么是UXSSUniversal Cross-Site ScriptingUXSS是一种特殊类型的跨站脚本漏洞攻击者可利用浏览器逻辑缺陷绕过同源策略SOP在受害者浏览器中执行恶意脚本。与传统XSS不同UXSS通常源于浏览器引擎或扩展的设计缺陷而非网站自身代码问题。核心概念解析同源策略SOP浏览器安全基石限制不同源页面间的资源访问跨域资源共享CORS现代浏览器实现的跨域访问机制漏洞标识规则项目采用标准化命名如CVE-YYYY-NNNN官方编号、cr-XXXXChromium漏洞、0-XXXXProject Zero漏洞项目结构与核心内容uxss-db按浏览器类型组织漏洞资源主要包含以下目录1. Webkit引擎漏洞集中收录Safari等基于Webkit的浏览器漏洞典型案例包括CVE编号漏洞标题影响版本CVE-2017-7089UXSS viaparent-tab://10?CVE-2017-7037JSObject::putInlineSlow逻辑缺陷10?0-1197CachedFrameBase::restore使用不当10?2. Chromium漏洞库覆盖Chrome及基于Chromium的浏览器漏洞包含多个经典UXSS案例CVE-2014-1747MHTML文件本地执行漏洞该漏洞允许攻击者通过构造恶意MHTML文件在本地环境执行跨域脚本。漏洞利用流程如下诱导用户下载特制HTML文件自动生成恶意MHTML文件到本地Downloads目录通过iframe加载本地MHTML文件触发UXSS漏洞细节DocumentLoader::maybeCreateArchive函数在处理MHTML内容时存在逻辑缺陷导致攻击者可注入任意脚本。影响Chrome 35及以下版本已在35.0.1916.114版本修复。其他典型Chromium漏洞CVE-2016-5207全屏元素更新导致的UXSSCVE-2017-5007ScopedPageSuspender绕过漏洞cr-687844window.external对象泄露漏洞3. 多浏览器支持项目还包含Firefox、Edge、Brave等浏览器的漏洞资源FirefoxCVE-2017-5415、CVE-2017-5418等Edge地址栏欺骗系列漏洞I/II/IIIBrave本地文件下载、URL欺骗等逻辑缺陷实用工具与资源漏洞导出脚本项目提供便捷的漏洞数据导出工具可将js-vuln-db的CVE数据转换为HTML/JS格式# 导出为HTML格式 bash ./scripts/js-vuln-db-to-format.sh html # 导出为JS格式 bash ./scripts/js-vuln-db-to-format.sh js学习资源导航技术文档浏览器安全白皮书、同源策略深度解析开发指南Chromium多进程架构、Webkit核心类解析漏洞赏金Chrome、Brave、Tor等浏览器安全奖励计划如何开始使用克隆项目仓库git clone https://gitcode.com/gh_mirrors/ux/uxss-db探索漏洞分类按浏览器类型浏览chrome/、webkit/、firefox/按漏洞编号查找如chrome/CVE-2014-1747/参考利用代码每个漏洞目录下通常包含exploit.html等演示文件总结uxss-db作为浏览器逻辑漏洞研究的终极资源库不仅收录了大量真实漏洞案例还提供了系统化的分类方式和实用工具。无论是安全研究者学习漏洞原理还是开发者了解浏览器安全机制都能从中获得宝贵的参考资料。项目持续更新欢迎通过Star支持或参与贡献。注意所有漏洞代码仅供研究学习使用请勿用于未授权测试。【免费下载链接】uxss-dbBrowser logic vulnerabilities :skull_and_crossbones:项目地址: https://gitcode.com/gh_mirrors/ux/uxss-db创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考