首发|加密钱包安全不可小觑 谨防黑客远程控制设备

CertiK安全团队在Symbol桌面钱包中发现了一个远程执行代码漏洞,并将该漏洞提交到了Symbol漏洞赏金计划。Symbol对CertiK提交的报告非常重视,即刻采取了安全解决措施,并及时更新了代码。目前该问题已在v0.9.11版本中得到修复。

HackerOne报告目前尚未公开,但在征得了Symbol的允许后,本文将公开于此分享此次事件。在此,CertiK对Symbol提供的赏金奖励,以及对公开分享漏洞发现的许可表示感谢。

Symbol wallet是一个基于Electron的桌面应用程序,此次发现的漏洞与Electron配置有关。Electron是不是听起来很耳熟?但它可不是你在物理化学课上学到的那个电子。在展开漏洞分析之前,不妨先来看看本文中的Electron是什么,在安全层面有什么值得注意的事项。

Electron是由GitHub开发和维护的开源软件框架,它允许开发人员使用HTML,CSS和Javascript等网络技术来构建跨平台的桌面应用程序。

Electron通过将Chromium引擎和Node.js组合到一起来实现这一目标。一些知名的Electron应用程序包括Atom编辑器,VisualStudio Code和Slack等。

使用Electron的优点:

Web开发人员可以使用主要的Javascript框架库(包括Angular,React和Vue)构建能在不同操作系统上运行的跨平台桌面应用程序。此过程无需再花费时间学习新的编程语言。

调试基于Electron的应用程序比调试传统的桌面应用程序容易。Chromium中的DevTools扩展允许开发人员使用和Web应用程序相同的方式调试其基于Electron的应用程序。

Electron的安全性以及Node.js的危险性

基于Electron的应用程序本质上是一个Web应用程序,因此它包含常见的Web漏洞,例如跨站点脚本(XSS)、Sql注入、身份验证和授权漏洞。

Electron提供许多辅助桌面应用程序开发的API,此外,它还可以使用Node.js模块。

Node.js允许基于Electron的应用支持比在Web浏览器中运行的Web应用更多的功能。但是,启用Node.js会带来一定的安全风险。如果攻击者可以找到在应用程序中注入JavaScript,就可以在目标的计算机上执行系统命令。

如果想要检查Electron应用程序是否在启用了Node.js,用户可以在开发控制台中发送模块导入功能“require”。在macOS中,控制台可以通过同时按“option + command + i”打开。

如果Node.js未被启动,控制台将返回错误消息 “require is not defined”:

如果Node.js被启用,控制台将返回"require"的相关信息:

在开发控制台中发送以下命令,就能在macOS中弹出计算器:

require('child_process').exec('/System/Applications/Calculator.app/Contents/MacOS/Calculator')

R3区块链平台Corda将使用XDC作为结算币:企业区块链公司R3已与开源混合区块链协议eXchange inFinite(XinFin)合作,其区块链平台Corda将使用XDC代币作为主要结算币。双方将在R3的Corda网络和其他区块链平台之间架起一座桥。(Cryptopotato)[2021/3/31 19:31:10]

为了减轻因为注入JavaScript而引起的远程代码执行的风险,从版本5.0.0开始,Electron默认禁用了程序对Node.js模块的访问。开发人员可以通过在配置文件中将“nodeIntegration”设置为true来启用对Node.js模块的使用,从安全角度来说并不推荐。

值得注意的是在2018年,Electron被发现有一个严重漏洞可被攻击者利用来访问Node.js模块,即使在配置中已经被禁止。参考文献1也对此进行了详细说明,因此在开发时请务必使用最新版本的Electron。

在了解了基于Electron的应用程序相关特征之后,现在可以深入探讨在Symbol桌面钱包中发现的漏洞。

Symbol桌面钱包是开源的,可以在其Github(参考文献2)中找到该应用的源代码。build.js(参考文献3)是其应用程序的Electron构建配置文件。下面这段Build.js中的代码检查程序是否在“darwin”(macOS)上运行。如果不是,app.on将使用“createWindow”函数创建浏览器窗口。

....code...  

if (process.platform === 'darwin') { 

    app.on('ready',createMac) 

  } else { 

    app.on('ready',createWindow) 

 

....code... 

在“createwindow”函数中,函数内部的“ windowOptions”变量包含浏览器窗口配置选项。注意,红色部分显示的行将“nodeIntegration”变量设置为true,这表示此应用程序启用了Node.js。

...code... 

function createWindow(){      

    const windowOptions = {   

      minWidth: width,   

      minHeight: height,   

      width: width,   

      height: height,   

      title: app.getName(),   

      titleBarStyle: 'hiddenInset',   

      webPreferences: {   

        nodeIntegration: true,    

      },   

      resizable: true,   

    }   

....code...   

    mainWindow= newBrowserWindow(windowOptions) 

}   

根据build.js配置文件,可以了解到如果此应用在Windows操作系统上运行,Node.js将被启用。为了利用启用的Node.js,攻击者需要在应用程序中注入任意的JavaScript。攻击者一般可以通过利用XSS(跨站点脚本)漏洞或者在当前Electron窗口中加载任何包含攻击者注入的JavaScript的网站来实现攻击。

Symbol桌面钱包(v9.7版)提供了浏览“新闻”的功能,只要用户点击新闻中的链接,应用程序便会从钱包窗口加载外部网站(图中展示的是Github)。

那么漏洞又是如何被利用的呢?

为了演示该漏洞利用的流程,技术人员在个人网站上托管了以下代码段。在Github上可以很容易的放置指向其网站的URL。当“nodeIntegration”设置为true并启用Node.js,在“child_process”模块的帮助下可以将任意的JavaScript执行升级为远程代码执行。

用户访问包含payload的页面,并点击页面里的“Close”按钮后,用户的计算机上将弹出计算器。在目标系统中弹出计算器是证明成功利用代码执行漏洞的一种方法。

Proof-of-Concept(视频位于页首):

<!DOCTYPEhtml> 

<h1>click me</h1> 

<button type="button" onClick="rce_calc()">Submit</button> 

<script> 

functionrce_calc(){ 

const{ exec } = require('child_process'); 

exec('calc'); 

}  

</script> 

Symbol在修复中将“nodeIntegration”设置为false,禁止了JavaScript对Node.js模块的访问。此更改已经反映在了他们当前的build.js(参考文献4)文件中。他们还更新了“新闻”功能,停止了将远程网站加载到Electron窗口中的行为。

做为安全研究员,当在一个程序中发现漏洞,我们总会尝试去探索此类漏洞是否在别的应用中存在。通过互联网搜索,CertiK安全团队发现了另一个基于Electron的加密货币钱包: MyCrypto。在测试时,技术人员发现MyCrypto将“nodeintegration”设置为true,并启用了Node.js。虽然没有找到攻击此配置的办法。但是我们不应该给攻击者将“self-xss”转化为命令代码执行的机会。

CertiK旨在为加密社区的安全做出贡献,并帮助企业保护用户资产。技术人员在对方的Github 仓库中提交了Issue。

MyCrypto十分重视,并回复该漏洞将在下一版本中修复。

Electron本身是非常优秀的软件框架,但开发人员要注意不要因为配置错误而使程序暴露在危险之中。在产品中使用新技术时要小心,要保持谨慎并了解潜在的安全风险。这里CertiK安全团队总结了几个要点来提高基于Electron的应用程序的安全性:

在生产版本中移除对development console的访问。

除非应用程序绝对必要,否则将“nodeintegration”设置为false。

使用“event.preventDefault()来禁止应用程序加载外部网页。

使用React,Vue或Angular(2+)等前端框架开发应用程序,以减少应用程序包含XSS(跨站点脚本)漏洞的机会。

持续使用最新版本的Electron框架,并保持更新。

开发Electron应用程序时,请务必阅读参考官方安全指南(参考文献7)。其中包含了可以提高Electron的应用的安全性的建议。

无论是由内部安全团队还是第三方公司执行安全审计和渗透测试,对于确保系统的安全性都是至关重要的。专业的安全人员会试图从“恶意黑客”的角度来破坏系统,帮助在真正的黑客利用漏洞之前识别和补救漏洞。

对于专业安全服务提供商而言,要提高安全测试水平的唯一途径就是不断学习。CertiK的安全工程师自始至终都在通过广泛涉猎不同目标来提高自身的渗透测试技能,从而为客户提供最佳的渗透测试服务。

参考文献:

https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/cve-2018-1000136-electron-nodeintegration-bypass/

https://github.com/nemfoundation/symbol-desktop-wallet

https://github.com/nemfoundation/symbol-desktop-wallet/blob/14ddfd44fe9a54b54f8261dfaa68b2f88be211ce/public/build.js

https://github.com/nemfoundation/symbol-desktop-wallet/blob/master/public/build.js#L237

https://github.com/terra-project/station-electron/blob/5a919b87323c9d1d9c76f7c4a7deff5d731d235e/public/electron.js

https://www.electronjs.org/docs/tutorial/security#5-do-not-disable-websecurity

https://www.electronjs.org/docs/tutorial/securit

了解更多

General Information: info@certik.org

Audit & Partnerships: bd@certik.org

Website: certik.org

Twitter: @certik.org

Telegram: t.me/certik.org

Medium:medium.com/certik

币乎:bihu.com/people/1093109

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

区块博客

火币网下载官方appAAX交易所平台通证AAB上线麦子钱包

AAX交易所平台通证AAB于6月28日正式上线区块链数字资产钱包麦子钱包。用户可以登陆麦子钱包发送、接收、存储AAB资产,并可以通过麦子钱包连接硬件钱包实现AAB的离线存储。 AAX与麦子钱包很高兴能够达成此次合作,双方长久以来一直保持着长期有效的沟通。

USDC招商银行“疯狂”封卡 币圈多人信用卡被冻

在传统观点中,银行不会因为加密货币交易主动冻结用户的银行卡,但吴说区块链获悉,近期有多人因为正常的加密货币交易,招商银行信用卡遭到银行主动冻结或储蓄卡停止非柜面交易。 据悉,招商银行一直在业内以针对加密货币最严格的风控著称,招行客服也对吴说区块链表示会根据自身风控判断主动冻结银行卡,币圈人士应谨慎使用招行进行交易,以免误伤。

币安交易所app下载DeFi 通证会成为2020年表现最好的加密资产吗?

DeFi正在飙升,这一点从该领域头部代币的表现就可以看出。 一些显著的加密货币资产在今年表现不错,其中比特币上涨了32%,以太坊上涨了82%,但排名在前100位的以太坊DeFi代币有着一个 + 237% 的当年累计平均回报率。我们上一次讨论DeFi代币是在一月中旬的时候,我们比较了ETH和DeFi对比BTC在2019年中的表现。

OKB金晚8点丨多军滑铁卢 BTC又要开始阴跌了?

首档行情直播栏目 金晚8点 热点资讯、现货合约,一对一实时解答 随时随地掌握后市行情,把握币市掘金机会 2020/07/03丨今日主题:《多军滑铁卢,BTC又要开始阴跌了?》   请大家移步金色直播间,查看策略~ 本期嘉宾: 暮光币论:暮光币论本着真实的信息进行分析,欢迎大家和暮光一起讨论币圈大小事情。

[0:15ms0-14:427ms