堆喷射（Heap Spray）是一种利用内存分配行为辅助漏洞利用的技术，常见于浏览器、PDF阅读器和Flash等需要执行脚本的环境。攻击者并不直接利用漏洞跳转到shellcode，而是先用大量内存块覆盖大范围地址空间，将NOP滑梯和shellcode铺撒在可预测的位置。之后即使漏洞只能实现一次不可精确控制的跳转，也有很大概率落入已经布置好的区域。这种策略在2005年前后的浏览器漏洞利用中被广泛使用，并催生了HeapLib等专用库。
一、堆喷射为什么有效
理解堆喷射先要看堆分配器。用户态程序通过malloc、HeapAlloc或JavaScript引擎的分配器申请动态内存。对于相近大小的块，分配器通常会从空闲链表或内存段中连续切分，尤其在大量重复分配时，地址增长具备很强的规律性。攻击者利用这一点，不断申请大小一致的块，并在每个块内填充相同内容，使某个地址范围内几乎处处都是NOP滑梯。
NOP滑梯由大量单字节空操作指令组成。x86平台常用0x90，ARM平台可能需要多条无害指令组合。shellcode位于滑梯尾部，跳转落在滑梯任意位置都会顺着执行到shellcode。因此堆喷射把“需要精确控制跳转地址”变成“只需命中一个大范围区域”。配合漏洞利用，比如UAF或整数溢出导致函数指针被改写，最终控制流转移到一个固定地址，例如0x0c0c0c0c，这个地址已经被喷射内容覆盖。
地址选择也有讲究。早期IE浏览器在Windows平台常用0x0c0c0c0c，因为通过大量200MB左右的喷射后，该地址几乎总能命中。攻击者还会结合浏览器解析字符串的方式，让堆块数据从指定偏移开始呈现指令流。这也是为什么很多检测规则会关注大块重复分配和特定地址写入。
二、经典JavaScript堆喷射示例
下面是一段简化后的JavaScript堆喷射代码，用来解释基本流程。它虽然不能在现代浏览器中直接运行，但能说明早期攻击的构造方式。
// 构造NOP滑梯，这里用0x90填充
var nop = unescape("%u9090%u9090");
while (nop.length < 0x100000) {
nop += nop;
}
// shellcode示例，实际使用时应替换为有效载荷
var shellcode = unescape("%u4141%u4141%u4141%u4141");
// 组合块：NOP滑梯 + shellcode
var chunk = nop + shellcode;
var size = chunk.length;
// 重复分配大量内存块
var spray = [];
for (var i = 0; i < 200; i++) {
spray[i] = chunk + "A";
}
这段代码先通过unescape把十六进制字符串转换成二进制字符串，%u9090对应两个0x90字节。循环将NOP滑梯扩展到约1MB，再拼接shellcode。最后循环200次，每次分配一个1MB左右的字符串并存入数组，防止垃圾回收。由于JavaScript字符串在旧引擎中可能被分配在相邻堆区，这些块会覆盖大面积地址空间。
实际攻击远比示例复杂。不同浏览器对字符串存储方式不同，有的使用UTF-16，有的使用Latin-1，这会影响指令字节的排布。攻击者需要调整NOP和shellcode的编码，甚至用多个喷射块覆盖不同的地址偏移。经典的HeapLib库封装了这些细节，允许指定块大小、填充内容和对齐方式。
堆喷射也不仅限JavaScript。ActionScript、VBScript、PDF JavaScript都曾被用于实施喷射。在Flash时代，攻击者利用ActionScript的ByteArray一次性分配大块连续内存，喷射效率和稳定性更高。这些脚本语言为攻击者提供了比直接编译二进制更方便的堆布局手段。
三、ASLR与DEP对堆喷射的影响
地址空间布局随机化（ASLR）出现后，堆的基址不再固定，攻击者无法依赖一个固定地址命中喷射块。但早期ASLR覆盖不完整，某些模块或堆区仍可能位于固定位置。于是攻击者发展出“堆风水”和“部分覆盖”等技巧，先泄露一个地址，再根据偏移计算喷射块位置。另外，如果漏洞本身能实现任意地址写入，也可以先破坏堆元数据，把后续分配引向可预测区域。
数据执行保护（DEP）把堆、栈等内存页标记为不可执行，即使EIP跳入喷射块，CPU也会因执行保护而报错。攻击者转而使用ROP（返回导向编程）或JIT喷射。JIT喷射利用即时编译器生成可执行代码页，这些页带有攻击者可控的常量，通过大量算术操作让机器码出现在可执行内存中。它和堆喷射思路类似，但目标从堆数据区换成了可执行代码区。
现代浏览器进一步压缩了这些空间。Chrome、Firefox、Edge都将JavaScript堆与DOM堆隔离，字符串分配不再直接映射到可预测的进程地址。V8等引擎还引入了堆隔离、指针压缩和内存随机化，普通脚本很难影响浏览器自身的对象布局。即使攻击者能在渲染进程内执行代码，还要面对沙箱隔离和站点隔离等额外防线。
四、检测堆喷射与防御思路
防御堆喷射不能只靠单一机制。从产品侧看，可以在脚本引擎中限制单次分配大小或总分配量，也可以监控短时间大量相同大小的分配请求。但正常网页也可能频繁分配内存，因此需要更细粒度的特征，比如块内容熵值低、重复模式明显、包含长串NOP指令等。
安全工具常通过扫描进程内存来识别喷射迹象。例如计算堆块的字节熵，如果一段连续内存几乎全是0x90或短序列循环，就标记为可疑。EDR和反病毒引擎可以在脚本执行前模拟分析，检测典型unescape加循环扩展的模式。浏览器本身也可以延迟执行或隔离来自不可信源的脚本，减少脚本获得连续分配的机会。
对开发者而言，修复漏洞才是根本。堆喷射只是放大漏洞影响的辅助手段，没有内存破坏漏洞，喷射内容就无法触发。代码审计中要重点关注数组越界、释放后使用、类型混淆和整数溢出，这些是浏览器和解析器中常见的可被堆喷射利用的缺陷。采用现代安全编程语言、启用编译器和运行时缓解措施，也能从源头减少攻击面。
总结来说，堆喷射是内存漏洞利用链条中的布局阶段。它利用分配器行为把不确定性转化为概率优势，曾经非常有效，但ASLR、DEP、JIT缓解和隔离机制已经显著提高攻击成本。理解其原理仍然有助于识别新型变种，因为只要存在可控的内存分配和可预测的堆布局，类似思路就可能以新的形式出现。
堆喷射Heap Spray内存漏洞利用修改时间：2026-09-28 14:21:46