ElectronアプリのXSSでrm -fr /を実行する - Qiita

Electronアプリでxssを発生させると任意のコードが実行できるらしいのでrm -fr /を試してみます。 想定 web版とelectron版のあるチャットアプリケーションという設定です。攻撃者が用意したリンクをクリックすると、PC内のすべてのファイルを消し去るというシチュエーションを考えてみます。 用意 環境はホストmac OSX、ゲストにubuntu14.04環境をvagrantを利用し用意しました。 expressでリストとフォームからなる脆弱性のあるチャットをつくります。エスケープ処理をしてないので、任意のコードが実行できる状況です。 'use strict'; const path = require('path'); const express = require('express'); const app = express(); const ejs = require(

[lli]

仮想環境に本番環境がマウントされてて一緒に飛ばした登大遊先生は関係ないだろいい加減にしろ

[izumin5210]

XSSでクライアントを殺せる時代

[akameco]

やってみたタグを付けようか迷った

[YukeSkywalker]

サヨナラ！サーバ＝サンは爆発四散！

[ryota-murakami]

クライアントマシンに対してOSコマンドインジェクションが成立している、びっくり

[habarhaba]

リンク一発即逝きって何かconcon問題思い出すな

[mizdra]

“さよなら！”

[m_m3zono]

仮想環境じゃなくてホストで試しちゃうやつ…さすがにいないか。

[urza358]

security electron

[manaten]

できることがふえるとXSSでできることも増えて、実装者の責任も増えるというお話

[otiai10]

“ワンクリックですべてが吹き飛ぶの最高ですね。gifを撮り忘れたのが心残りです。”

[fake-jizo]

web版とelectron版のあるチャットアプリケーションという設定です。攻撃者が用意したリンクをクリックすると、PC内のすべてのファイルを消し去るというシチュエーションを考えてみます。 Tags: via Pocket

[teramako]

どうやって特権昇格してるの？とみてみたらsudoでNOPASSWORDなのかな？だとしたら、それがセキュリティホールのような…。

[rochefort]

破壊力すごい

[joe-re]

“ワンクリックですべてが吹き飛ぶの最高ですね”やばい

[konishika]

怖い

[june29]

便利そう

[hiroshi_revolution]

こわっ

[masayoshinym]

“死にました。”淡々としてて良い。

[naga_sawa]

明示的に eval とかしなくてもプロセス叩けちゃうのか

[bps_tomoya]

Electron プラットフォームで用意されている対策方法が全部ザルなのでどう対処するかというと根性

[YaSuYuKi]

現状の対策は「根性でxssを防ぐ」しかないらしいんだよな……

[khtokage]

gif版は見てみたいけど見たら変な笑いが出そうだｗ

[kuxttoba]

『gifを撮り忘れたのが心残り』

[akabekobeko]

Renderer 側でネイティブ機能を実行可能なのはよろしくない。IPC のみ許可するモードをつけて標準化してほしい。

[reteria]

関係ないけど underscoreのtemplateと ejsのtemplateのエスケープありなしの展開方法 逆なのか・・・

[hataichi]

XSSつくれぽ

[jinjor]

あえてそのコマンドでやるところが素敵

[ono_matope]

Electronこえー。同様にデスクトップJS環境であったかつてのKonfabulator (Yahoo! Widget)はどうだったんだろう

[bamch0h]

ひえー

[fa11enprince]

こええ

[ytsnomiya221]

"一応githubに今回試した脆弱性アプリを置いておいたので、試したい人はどうぞ。"フリなのかな

[ytsk]

恐ろしい

[lefb766]

win.loadURL('http://～な時点で即死級ですがな

[umai_bow]

BrowserWindowからnodeモジュール使えないようにしてくれ〜＞人＜

[key_amb]

electronのヤバさを端的に示しているようだ。

[progrhyme]

electronのヤバさを端的に示しているようだ。

[tolkine9999h]

うおっほ。electron触ろうと思ってた直後だからたのしいなこれ。