Vm2沙箱逃逸漏洞复现(CVE-2023-32314)

0x01 产品简介

Node.js

Node.js 是一个基于 V8 引擎的开源、跨平台的 JavaScript 运行环境，它可以在多个操作系统上运行，包括 Windows、macOS 和 Linux 等。Node.js 提供了一个运行在服务器端的 JavaScript 环境，使得开发者可以编写并发的、高效的服务器端应用程序。Node.js 使用事件驱动、非阻塞 I/O 模型来支持并发运行。它支持通过插件扩展 API，以及通过 npm(Node.js 包管理器) 安装其他插件和模块。Node.js 还提供了一些内置模块，如 http、fs、path 等，使得开发者可以快速构建网络应用程序和文件系统。

Npm

NPM的全称是Node Package Manager，是一个NodeJS包管理和分发工具，已经成为了非官方的发布Node模块（包）的标准。NPM由三部分组成：网站，注册表（registry），命令行工具（CLI）。

简单来说， Node.js 就是运行在服务端的JavaScript，npm是随同Node.js一起安装的包管理工具，通过命令从npm服务器下载别人编写的第三方工具到本地使用。

VM

在 Node.js 中，VM(Virtual Machine) 是一个用于解释和执行 JavaScript 代码的引擎。VM 是一个沙箱 (sandbox),它允许 Node.js 在执行脚本时限制其访问系统资源的权限，以防止脚本执行恶意代码或访问不必要的系统资源。

VM2

由于vm不安全，能轻易地获取到了主程序的全局对象 process，造成沙箱逃逸&#