首页课程文章
无痕注入APC注入线程注入读写驱动注入技术句柄表进程线程系统调用保护模式内存管理远程CALL软件调试驱动封装云下发驱动开发FPS数据方框透视FPS方框FPS自瞄CED3DHOOKD3D绘制Imgui绘制DWM
内核课程驱动出租学习路线聊天室免责声明提问技巧

WEB安全-魔改chromium, 改变 cdp 中 console 的实现, 让 devtools 无法再通过 console 检测

推荐 原创

周杰伦

文章分类Web安全阅读数 : 196阅读时长 : 9分钟


【WEB安全-魔改chromium, 改变 cdp 中 console 的实现, 让 devtools 无法再通过 console 检测】此文章归类为：WEB安全。

如果对 V8 Inspector 一头雾水的话, 可以参考一下我写 V8 Inspector 的文章

f52K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6*7K9s2g2S2L8X3I4S2L8W2)9J5k6i4A6Z5K9h3S2#2i4K6u0W2j5$3!0E0i4K6u0r3M7q4)9J5c8U0p5&6x3e0b7%4y4o6x3J5z5o6M7H3x3e0R3&6x3e0b7H3x3o6R3`.

思路

改变 cdp 中 console 的实现, 让 devtools 无法再通过 console 检测

让我们从 v8/src/inspector/v8-console.cc 开始

以 console.log 为例子, 当 JS 调用 console.log 时, V8 会通过​​外部引用​​机制调用注册的 C++ 函数, 具体实现:

1
2
3
4
5
6
void V8Console::Log(const v8::debug::ConsoleCallArguments& info,
                    const v8::debug::ConsoleContext& consoleContext) {
  TRACE_EVENT0(TRACE_DISABLED_BY_DEFAULT("v8.inspector"), "V8Console::Log");
  ConsoleHelper(info, consoleContext, m_inspector)
      .reportCall(ConsoleAPIType::kLog);
}

而 console 所有要输出到控制台的内容都会通过 ConsoleHelper 类中的 reportCall 方法传输, 让我们来看看它的实现:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
// 参数：
// - type: 控制台 API 类型(例如 log、error、trace 等)。
// - arguments: 调用时传递的参数列表。
void reportCall(ConsoleAPIType type,
                v8::MemorySpan<const v8::Local<v8::Value>> arguments) {
  // 如果当前上下文不属于任何上下文组，则直接返回，不进行任何操作。
  if (!groupId()) return;
 
  // 根据控制台消息的类型，决定捕获堆栈跟踪的深度。
  // 有些情况下可能只捕获部分堆栈，或者根本不捕获堆栈。
  std::unique_ptr<V8StackTraceImpl> stackTrace;
 
  // 根据控制台 API 类型选择合适的堆栈跟踪捕获策略。
  switch (type) {
    case ConsoleAPIType::kTrace:
      // `console.trace()` 的目的是在开发者工具控制台中输出完整的堆栈跟踪。
      // 因此，即使尚未连接调试器，也应始终尝试捕获完整的堆栈跟踪。
      stackTrace = m_inspector->debugger()->captureStackTrace(true);
      break;
 
    case ConsoleAPIType::kTimeEnd:
      // `console.time()` 和 `console.timeEnd()` API 用于性能分析。
      // 为了减少这些调用的总开销，并确保这些 API 的性能开销一致，
      // 始终只捕获顶部帧。否则，`console.timeEnd()` 的性能特性会因当前调用深度的不同而有所差异，从而歪曲结果。
      // 更多信息请参见：302K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0M7X3u0#2k6#2)9J5k6h3y4G2L8g2)9J5c8U0b7I4y4o6x3K6x3K6V1I4
      stackTrace = V8StackTraceImpl::capture(m_inspector->debugger(), 1);
      break;
 
    default:
      // 对于其他 API，只有在调试器连接时才捕获完整的堆栈跟踪，否则只记录顶部帧。
      stackTrace = m_inspector->debugger()->captureStackTrace(false);
      break;
  }
 
  // 创建一个控制台消息对象，用于封装控制台 API 调用的相关信息。
  std::unique_ptr<V8ConsoleMessage> message =
      V8ConsoleMessage::createForConsoleAPI(
          context(),  // 当前 V8 上下文
          contextId(),  // 当前上下文的 ID
          groupId(),  // 当前上下文所属的上下文组 ID
          m_inspector,  // V8InspectorImpl 实例
          m_inspector->client()->currentTimeMS(),  // 当前时间戳
          type,  // 控制台 API 类型
          arguments,  // 调用时传递的参数列表
          consoleContextToString(isolate(), m_consoleContext),  // 控制台上下文信息
          std::move(stackTrace)  // 捕获的堆栈跟踪
      );
 
  // 将创建的控制台消息添加到控制台消息存储中。
  consoleMessageStorage()->addMessage(std::move(message));
}

先让我们看看 V8ConsoleMessage::createForConsoleAPI 都做了什么:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
// 参数：
// - v8Context: 当前的 V8 上下文。
// - contextId: 当前上下文的 ID。
// - groupId: 当前上下文所属的上下文组 ID。
// - inspector: V8InspectorImpl 实例，用于访问调试器功能。
// - timestamp: 当前时间戳。
// - type: 控制台 API 类型(例如 log、error、warning 等)。
// - arguments: 控制台 API 调用时传递的参数列表。
// - consoleContext: 控制台上下文信息。
// - stackTrace: 捕获的堆栈跟踪。
std::unique_ptr<V8ConsoleMessage> V8ConsoleMessage::createForConsoleAPI(
    v8::Local<v8::Context> v8Context, int contextId, int groupId,
    V8InspectorImpl* inspector, double timestamp, ConsoleAPIType type,
    v8::MemorySpan<const v8::Local<v8::Value>> arguments,
    const String16& consoleContext,
    std::unique_ptr<V8StackTraceImpl> stackTrace) {
  // 获取当前的 V8 引擎隔离区。
  v8::Isolate* isolate = v8::Isolate::GetCurrent();
 
  // 创建一个 V8ConsoleMessage 对象，初始化其来源为控制台，时间戳为当前时间，消息为空字符串。
  std::unique_ptr<V8ConsoleMessage> message(
      new V8ConsoleMessage(V8MessageOrigin::kConsole, timestamp, String16()));
 
  // 如果有堆栈跟踪且堆栈跟踪不为空，则提取堆栈顶部的信息。
  if (stackTrace && !stackTrace->isEmpty()) {
    message->m_url = toString16(stackTrace->topSourceURL());  // 堆栈顶部的源代码 URL
    message->m_lineNumber = stackTrace->topLineNumber();     // 堆栈顶部的行号
    message->m_columnNumber = stackTrace->topColumnNumber(); // 堆栈顶部的列号
  }
 
  // 将堆栈跟踪对象附加到消息中。
  message->m_stackTrace = std::move(stackTrace);
 
  // 设置控制台上下文信息。
  message->m_consoleContext = consoleContext;
 
  // 设置控制台 API 类型。
  message->m_type = type;
 
  // 设置上下文 ID。
  message->m_contextId = contextId;
 
  // 遍历参数列表，将每个参数封装为全局句柄并附加到消息中。
  for (v8::Local<v8::Value> arg : arguments) {
    std::unique_ptr<v8::Global<v8::Value>> argument(
        new v8::Global<v8::Value>(isolate, arg)); // 创建全局句柄
    argument->AnnotateStrongRetainer(kGlobalConsoleMessageHandleLabel); // 标记强引用
    message->m_arguments.push_back(std::move(argument)); // 将参数附加到消息中
    message->m_v8Size += v8::debug::EstimatedValueSize(isolate, arg); // 累加参数的大小
  }
 
  // 将参数列表中的值转换为字符串，并拼接成一条完整的控制台消息。
  bool sep = false; // 用于控制参数之间的分隔符
  for (v8::Local<v8::Value> arg : arguments) {
    if (sep) {
      message->m_message += String16(" "); // 在参数之间添加空格
    } else {
      sep = true;
    }
    message->m_message += V8ValueStringBuilder::toString(arg, v8Context); // 将参数转换为字符串并拼接
  }
 
  // 根据控制台 API 类型，确定消息的级别。
  v8::Isolate::MessageErrorLevel clientLevel = v8::Isolate::kMessageInfo;
  if (type == ConsoleAPIType::kDebug || type == ConsoleAPIType::kCount ||
      type == ConsoleAPIType::kTimeEnd) {
    clientLevel = v8::Isolate::kMessageDebug; // 调试级别
  } else if (type == ConsoleAPIType::kError ||
             type == ConsoleAPIType::kAssert) {
    clientLevel = v8::Isolate::kMessageError; // 错误级别
  } else if (type == ConsoleAPIType::kWarning) {
    clientLevel = v8::Isolate::kMessageWarning; // 警告级别
  } else if (type == ConsoleAPIType::kInfo) {
    clientLevel = v8::Isolate::kMessageInfo; // 信息级别
  } else if (type == ConsoleAPIType::kLog) {
    clientLevel = v8::Isolate::kMessageLog; // 日志级别
  }
 
  // 如果不是清空操作，则将消息发送到客户端。
  if (type != ConsoleAPIType::kClear) {
    inspector->client()->consoleAPIMessage(
        groupId, clientLevel, toStringView(message->m_message), // 消息内容
        toStringView(message->m_url), message->m_lineNumber,    // 源代码位置
        message->m_columnNumber, message->m_stackTrace.get()); // 堆栈跟踪
  }
 
  // 返回创建的 V8ConsoleMessage 对象。
  return message;
}

总结来说, 创建一个 V8ConsoleMessage 对象，用于封装控制台 API 调用的信息。然后如果不是清空操作，则将消息发送到客户端。再来看看 consoleMessageStorage()->addMessage 的实现:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
// 参数：
// - message: 要添加的控制台消息对象。
void V8ConsoleMessageStorage::addMessage(
    std::unique_ptr<V8ConsoleMessage> message) {
  // 获取当前上下文组 ID 和关联的 V8InspectorImpl 实例。
  int contextGroupId = m_contextGroupId;
  V8InspectorImpl* inspector = m_inspector;
 
  // 如果消息类型是清空控制台(kClear)，则清空当前存储的所有消息。
  if (message->type() == ConsoleAPIType::kClear) clear();
 
  // 记录控制台消息事件，用于跟踪消息的来源和类型。
  TraceV8ConsoleMessageEvent(message->origin(), message->type());
 
  // 遍历当前上下文组的所有调试会话，并通知会话中的控制台代理和运行时代理。
  inspector->forEachSession(
      contextGroupId, [&message](V8InspectorSessionImpl* session) {
        if (message->origin() == V8MessageOrigin::kConsole)
          session->consoleAgent()->messageAdded(message.get());
        session->runtimeAgent()->messageAdded(message.get());
      });
 
  // 如果当前上下文组没有启用控制台消息存储，则直接返回。
  if (!inspector->hasConsoleMessageStorage(contextGroupId)) return;
 
  // 确保消息队列的大小不超过最大限制。
  DCHECK(m_messages.size() <= maxConsoleMessageCount);
 
  // 如果消息队列已满(达到最大消息数量限制)，则移除最早添加的消息。
  if (m_messages.size() == maxConsoleMessageCount) {
    m_estimatedSize -= m_messages.front()->estimatedSize(); // 减少总大小估计
    m_messages.pop_front(); // 移除最早的消息
  }
 
  // 如果添加当前消息后，总大小估计超过最大 V8 大小限制，则移除最早的消息，直到总大小符合限制。
  while (m_estimatedSize + message->estimatedSize() > maxConsoleMessageV8Size &&
         !m_messages.empty()) {
    m_estimatedSize -= m_messages.front()->estimatedSize(); // 减少总大小估计
    m_messages.pop_front(); // 移除最早的消息
  }
 
  // 将新消息添加到消息队列中。
  m_messages.push_back(std::move(message));
  // 更新总大小估计。
  m_estimatedSize += m_messages.back()->estimatedSize();
}

总结来说就是向控制台消息存储中添加一条新的控制台消息, 并将消息累积。让我们聚焦:

1
2
3
4
5
6
7
// 遍历当前上下文组的所有调试会话，并通知会话中的控制台代理和运行时代理。
inspector->forEachSession(
    contextGroupId, [&message](V8InspectorSessionImpl* session) {
    if (message->origin() == V8MessageOrigin::kConsole)
        session->consoleAgent()->messageAdded(message.get());
    session->runtimeAgent()->messageAdded(message.get());
    });

if (message->origin() == V8MessageOrigin::kConsole) 这个判断可以忽略, 只是为了区分正常消息和异常消息, 和是否打开 devtools 无关, 不在我们关注范围内, 来看看 session->consoleAgent()->messageAdded 的实现, 跟进去会发现进入了 v8/src/inspector/v8-console-agent-impl.cc 文件中的:

1
2
3
void V8ConsoleAgentImpl::messageAdded(V8ConsoleMessage* message) {
  if (m_enabled) reportMessage(message, true);
}

这里判断了 devtools 是否打开, 打开的话就向其发送消息, 否则就是什么也不做, 在 session->runtimeAgent()->messageAdded 中也是相似的逻辑, 只不过 m_enabled 属于不同的类, 有着不同的值和意义。

双重发送机制

第一遍发送 (基础通道)

可以看到在 std::unique_ptr<V8ConsoleMessage> V8ConsoleMessage::createForConsoleAPI 函数中会直接向宿主环境发送消息, 无论 devtools 是否打开:

1
2
3
4
inspector->client()->consoleAPIMessage(
    groupId, clientLevel, toStringView(message->m_message), // 消息内容
    toStringView(message->m_url), message->m_lineNumber,    // 源代码位置
    message->m_columnNumber, message->m_stackTrace.get()); // 堆栈跟踪

核心特性

  • ​​目标对象​: 宿主环境(浏览器控制台/Node.js 终端)
  • 触发条件​​: ​无条件执行​(无论 devTools 是否连接)
  • 数据负载​​:
    • 纯文本消息(message->m_message)
    • 基础位置信息(URL/行号/列号)
    • 精简堆栈(仅顶部帧或按需捕获)
      保障​​无 devTools 时的基础日志功能​, 低开销传输。

第二遍发送 (devTools 增强通道)

而在 void V8ConsoleMessageStorage::addMessage 函数中, 会判断 devtools 是否打开在决定是否发送消息, 如果 devtools 打开实际上发送了两遍消息。

1
session->consoleAgent()->messageAdded(message.get());

核心特性

  • ​​目标对象​: devTools 前端调试器
  • 触发条件​​: ​​仅当 devTools 连接且启用​(m_enabled=true)
  • 数据负载​​:
    • 完整 JS 对象引用​(m_arguments 中的 v8::Globalv8::Value)
    • 可展开的​​结构化元数据​(对象属性、函数详情)
    • 跨上下文关联信息(m_contextId)
      增强 devTools 交互式调试​​体验。

开始魔改(只想快速魔改的小伙伴可以直接看这, 前面算是方法论)

看懂了双重发送机制, 现在我们知道是否打开 devtools 的 console 的差别只在第二遍发送 (devTools 增强通道), 那么我们直接注释掉 v8\src\inspector\v8-console-message.cc 文件中的第二遍发送的逻辑:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
void V8ConsoleMessageStorage::addMessage(
    std::unique_ptr<V8ConsoleMessage> message) {
  int contextGroupId = m_contextGroupId;
  V8InspectorImpl* inspector = m_inspector;
  if (message->type() == ConsoleAPIType::kClear) clear();
 
  TraceV8ConsoleMessageEvent(message->origin(), message->type());
 
  inspector->forEachSession(
      contextGroupId, [&message](V8InspectorSessionImpl* session) {
        // if (message->origin() == V8MessageOrigin::kConsole)
        //   session->consoleAgent()->messageAdded(message.get());
        session->runtimeAgent()->messageAdded(message.get());
      });
  if (!inspector->hasConsoleMessageStorage(contextGroupId)) return;
 
  DCHECK(m_messages.size() <= maxConsoleMessageCount);
  if (m_messages.size() == maxConsoleMessageCount) {
    m_estimatedSize -= m_messages.front()->estimatedSize();
    m_messages.pop_front();
  }
  while (m_estimatedSize + message->estimatedSize() > maxConsoleMessageV8Size &&
         !m_messages.empty()) {
    m_estimatedSize -= m_messages.front()->estimatedSize();
    m_messages.pop_front();
  }
 
  m_messages.push_back(std::move(message));
  m_estimatedSize += m_messages.back()->estimatedSize();
}

这样保留了 console 的基础日志功能, 还绕过了检测, 一举两得。

重新编译

1
2
autoninja -C out/Debug chrome
# autoninja -C out/Release chrome

试验一下(console 的检测脚本放在附件)

改前

改后

改后 console 功能正常

将 patch 上传到附件了

1
git apply console.patch  # 应用工作区修改

上传的附件：


更多【WEB安全-魔改chromium, 改变 cdp 中 console 的实现, 让 devtools 无法再通过 console 检测】相关视频教程：www.yxfzedu.com




相关文章推荐

记录自己的技术轨迹
文章规则：
1)：文章标题请尽量与文章内容相符
2)：严禁色情、血腥、暴力
3)：严禁发布任何形式的广告贴
4)：严禁发表关于中国的政治类话题
5)：严格遵守中国互联网法律法规
6)：有侵权,疑问可发邮件至service@yxfzedu.com
近期原创 更多

Markdown Editor

友情链接
内核结构FAQ
免责声明
课程目录
Windows内核
游戏逆向(FPS)
技术交流QQ群
342478842215039827137189196
314055665159620936
www.yxfzedu.com是一个分享游戏安全,游戏外挂与反外挂,游戏驱动保护的视频网站！
接各种驱动定制如：游戏读写驱动，软件内存保护，防止调试等功能定制。
出租读写驱动，调试驱动，无痕注入支持各种游戏。
邮箱：service@yxfzedu.com
QQ：851920120
特别说明：不接游戏数据分析，外挂编写，登陆协议等类似业务。