福利 | CVE-2024-29943 Firefox RCE （附EXP）内网书籍赠送

渗透Xiao白帽 2024-06-28 22:40

声明：该公众号大部分文章来自作者日常学习笔记，也有部分文章是经过作者授权和其他公众号白名单转载，未经授权，严禁转载，如需转载，联系开白。

请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。

现在只对常读和星标的公众号才展示大图推送，建议大家把
渗透Xiao白帽
“
设为星标
”，
否则可能看不到了
！

0x01 漏洞描述

Firefox 124.0.1之前版本中，由于基于范围的边界检查消除过程中存在问题，威胁者可通过绕过预期安全检查的方式操纵JavaScript对象执行越界读取或写入，成功利用可能导致远程代码执行。

https://www.mozilla.org/en-US/security/advisories/mfsa2024-15/

此外，Firefox 124.0.1之前版本和Firefox ESR 115.9.1之前版本桌面版中还修复了一个代码执行漏洞（CVE-2024-29944）,威胁者可将事件处理程序注入特权对象，从而可能导致在父进程中执行任意JavaScript。

0x02 影响范围

CVE-2024-29943
Firefox < 124.0.1

CVE-2024-29944
Firefox < 124.0.1
Firefox ESR < 115.9.1

注：CVE-2024-29944仅影响桌面版Firefox，不影响移动版Firefox。

0x03 POC演示

POC下载地址

点击下方名片进入公众号

回复关键字【
FirefoxRCE】获取
下载链接

福利抽奖

一：红队实战宝典之内网渗透测试

《红队实战宝典之内网渗透测试》
一书的编
写目的是让从网络安全从业人员及希望从事网络安全工作的人更加系统化地了解内网渗透中各个环节所使用的技术手段与工具，能够以攻促防，通过攻击手段来检测企业、单位、学校等的内部网络是否安全。

本书没有大而全地介绍每个攻击阶段的全部攻击手段，而是挑选常用的攻击手段进行分析。
读者可以对这些攻击手段进行扩展，找到更多的方法，并思考如何防御。

本书介绍的内网渗透和域渗透也不是真实攻击的结束，而是真实攻击的开始。
一场真实的、有目的的网络攻击，通常包括对业务的控制、修改和对数据的获取等，而对业务的攻击，一般都是通过本书介绍的方法拿到权限后展开的。

宠粉们福利，会有
5
本书籍免费赠送
。

规则如下：

1. 本文末点‘
在看’给个支持的动力就可以
，不需要转发朋友圈！！

2.
私聊下面公众号发送
“
抽奖
”即可扫描参与抽奖，注意看是发送暗号
“
抽奖
”。

3. 活动截止时间为7月1日 18:00点，到时候还要中奖者及时联系号主
发送你的中奖核验二维码、收货地址、姓名、手机号以及想要的书籍，好给您发送书籍哦！24小时内未联系号主视为自动放弃！骗书行为出版社会永久拉黑！

高薪内推 | 2024国HVV来了！大量招人中···

内推通道👇

http://gywa.com.cn/XeBvWX

报名投递简历时记得备注【
渗透Xiao白帽】可优先直推面试～

也可阅读原文报名或扫描上方二维码邀请进群交流～

24hvv红蓝py交流群，共享资源一起py

不定期福利赠送

群满可以后台加vx备注py 邀请进群

网安考证

需要考以下各类安全证书的可以联系我，
价格优惠、组团更便宜！

CISP、PTE、PTS、DSG、IRE、IRS、NISP、PMP、CCSK、CISSP、ISO27001…

近期文章