CVE-2020-15999漏洞利用PoC：Chrome与Ftview实例分析

资源摘要信息:"CVE-2020-15999是谷歌Chrome浏览器和Ftview（Ubuntu系统下的一个字体查看工具）中发现的一个安全漏洞。本资源库提供了针对CVE-2020-15999的安全漏洞PoC（概念验证）的所有必要材料，以便于开发者、安全研究者或IT专业人员重现和研究该漏洞。PoC（Proof of Concept）是用于演示漏洞存在并且可行的代码或攻击方法，是安全漏洞研究的关键部分。 CVE-2020-15999是一个与字体处理相关的漏洞，涉及到在浏览器中解析字体文件时的安全问题。该漏洞主要影响了Chrome浏览器的早期版本，在该漏洞被发现时，Chrome浏览器的版本已经更新到了86.0.4240.111之后，因此要重现该漏洞，需要使用该版本之前的Chrome浏览器。 为了重现该漏洞，需要回退安装特定版本的Chrome浏览器，即85.0.4183.121版本。该版本可以通过Linux系统的包管理器dpkg安装指定的deb包来完成，命令如下： sudo dpkg -i google-chrome-stable_85.0.4183.121-1_amd64.deb 一旦安装了上述版本的浏览器，可以通过访问提供的HTML文件来触发漏洞。资源库中提供了两个HTML文件，分别是exploitFontArray.html和exploitFontFile.html。这两个文件都可以用来触发漏洞，并且在成功利用漏洞后，可以达到预期的攻击效果。 在使用exploitFontFile.html文件时，需要生成一个名为googleFont.ttf的字体文件。这个文件是特定的恶意字体文件，它包含了触发漏洞的代码。通常，该文件的生成是通过特定的工具和方法来完成的，而该资源库也可能包含了生成该文件的相关工具和指导。 除了上述关于Chrome浏览器的内容，该资源库还包含了与Ubuntu系统下的Ftview工具相关的漏洞利用信息。Ftview是一个用于查看字体文件的工具，可能与Chrome中的字体处理功能类似，也会受到类似的漏洞影响。 在研究该漏洞时，还需要关注HTML标签的相关知识，因为利用该漏洞的代码是以HTML文件形式提供的。HTML（HyperText Markup Language）是构建网页内容的标准标记语言。理解HTML标签的结构和属性是理解如何通过网页触发漏洞的关键。例如，本资源库中提到的HTML文件使用了特定的标签和属性来嵌入和执行JavaScript代码，该代码能够触发浏览器中的字体解析漏洞。 在研究和测试CVE-2020-15999的PoC时，应该注意不要在公共网络或未授权的环境中使用漏洞利用代码，以避免造成安全风险和法律责任。该漏洞的具体细节、利用方法以及相关的安全补丁，可以参考官方的漏洞报告和更新。此外，进行漏洞测试时，务必在受控的测试环境中进行，并确保遵守相关的法律法规和道德准则。"