CertiK安全团队在Symbol桌面钱包中发现了一个远程执行代码漏洞，并将该漏洞提交到了Symbol漏洞赏金计划。Symbol对CertiK提交的报告非常重视，即刻采取了安全解决措施，并及时更新了代码。目前该问题已在v0.9.11版本中得到修复。
HackerOne报告目前尚未公开，但在征得了Symbol的允许后，本文将公开于此分享此次事件。在此，CertiK对Symbol提供的赏金奖励，以及对公开分享漏洞发现的许可表示感谢。
Symbol wallet是一个基于Electron的桌面应用程序，此次发现的漏洞与Electron配置有关。Electron是不是听起来很耳熟？但它可不是你在物理化学课上学到的那个电子。在展开漏洞分析之前，不妨先来看看本文中的Electron是什么，在安全层面有什么值得注意的事项。
Electron是由GitHub开发和维护的开源软件框架，它允许开发人员使用HTML，CSS和Javascript等网络技术来构建跨平台的桌面应用程序。
Electron通过将Chromium引擎和Node.js组合到一起来实现这一目标。一些知名的Electron应用程序包括Atom编辑器，VisualStudio Code和Slack等。
使用Electron的优点：
Web开发人员可以使用主要的Javascript框架库（包括Angular，React和Vue）构建能在不同操作系统上运行的跨平台桌面应用程序。此过程无需再花费时间学习新的编程语言。
调试基于Electron的应用程序比调试传统的桌面应用程序容易。Chromium中的DevTools扩展允许开发人员使用和Web应用程序相同的方式调试其基于Electron的应用程序。
南京夫子庙首发数字藏品门票:金色财经报道，据南京夫子庙官方公众号，南京夫子庙首发数字藏品（NFT）门票，通过区块链技术上链确权，让这些数字藏品获得者在同时拥有了不可复制、永久保存、随时鉴赏分享的数字藏品以外，还同时获得线下赋能景区对应权益的门票，线下权益需在有效期限内由数字藏品购买者本人前往相对应景区，向工作人员出示有效数字藏品，进行权益核销后，即可成功兑换使用。[2022/6/28 1:35:39]
Electron的安全性以及Node.js的危险性
基于Electron的应用程序本质上是一个Web应用程序，因此它包含常见的Web漏洞，例如跨站点脚本（XSS）、Sql注入、身份验证和授权漏洞。
Electron提供许多辅助桌面应用程序开发的API，此外，它还可以使用Node.js模块。
Node.js允许基于Electron的应用支持比在Web浏览器中运行的Web应用更多的功能。但是，启用Node.js会带来一定的安全风险。如果攻击者可以找到在应用程序中注入JavaScript，就可以在目标的计算机上执行系统命令。
如果想要检查Electron应用程序是否在启用了Node.js，用户可以在开发控制台中发送模块导入功能“require”。在macOS中，控制台可以通过同时按“option + command + i”打开。
如果Node.js未被启动，控制台将返回错误消息 “require is not defined”：
如果Node.js被启用，控制台将返回"require"的相关信息：
在开发控制台中发送以下命令，就能在macOS中弹出计算器：
红洞数藏首发中国大熊猫国际形象“阿璞”NFT:1月20日，由趣链科技提供技术支持的数字收藏品平台红洞数藏将于今日19点发布中国大熊猫国际形象“阿璞”数字藏品，限量发售10000个。平台同期空投15000枚小竹笋纪念徽章，用户实名认证后可以免费领取。[2022/1/20 9:01:50]
require('child_process').exec('/System/Applications/Calculator.app/Contents/MacOS/Calculator')
为了减轻因为注入JavaScript而引起的远程代码执行的风险，从版本5.0.0开始，Electron默认禁用了程序对Node.js模块的访问。开发人员可以通过在配置文件中将“nodeIntegration”设置为true来启用对Node.js模块的使用，从安全角度来说并不推荐。
值得注意的是在2018年，Electron被发现有一个严重漏洞可被攻击者利用来访问Node.js模块，即使在配置中已经被禁止。参考文献1也对此进行了详细说明，因此在开发时请务必使用最新版本的Electron。
在了解了基于Electron的应用程序相关特征之后，现在可以深入探讨在Symbol桌面钱包中发现的漏洞。
Symbol桌面钱包是开源的，可以在其Github（参考文献2）中找到该应用的源代码。build.js（参考文献3）是其应用程序的Electron构建配置文件。下面这段Build.js中的代码检查程序是否在“darwin”（macOS）上运行。如果不是，app.on将使用“createWindow”函数创建浏览器窗口。
....code...
if (process.platform === 'darwin') {
IRD将于今日首发上线WBF交易所并开放交易:据官方消息，IRD将于2021年1月5日17:58分正式上线WBF（瓦特）交易所，开启IRD/USDT交易对。同期将开启交易大赛等多项福利政策，届时请留意IRD官方社群。
IRD是IRDswap平台的母币，平台所有对标企业上线的子币都只接受持有IRD承兑和空投，并会开启以IRD为基准的交易对。
同时IRDswap百城千店共识之旅计划已经正式启动，继深圳、广州以后，东莞也即将开始。[2021/1/5 16:29:21]
app.on('ready',createMac)
} else {
app.on('ready',createWindow)
....code...
在“createwindow”函数中，函数内部的“ windowOptions”变量包含浏览器窗口配置选项。注意，红色部分显示的行将“nodeIntegration”变量设置为true，这表示此应用程序启用了Node.js。
...code...
function createWindow(){
const windowOptions = {
minWidth: width,
minHeight: height,
AVAX首发上线ZG.COM NEW+打新计划，于7月17日10:00开启认购:据官方公告，ZG.COM\"NEW+\"打新计划第16期AVAX将于7月17日10:00正式开启，本次打新分别于7月17日、7月20日、7月22日进行，每天两场，共3天。用户可通过申购以及抢购的方式参与打新，打新价格0.5 USDT起。
据悉，Avalanche - 简称为Ava，使用突破性的共识协议构架，是第一个在一秒内确认交易的智能合约平台，支持 Ethereum 开发工具包的全部内容，使数百万个完整的区块生产者成为可能。[2020/7/16]
width: width,
height: height,
title: app.getName(),
titleBarStyle: 'hiddenInset',
webPreferences: {
nodeIntegration: true,
},
resizable: true,
首发 | 蚂蚁矿机S17性能曝光 采用全新散热技术及全局优化定制方案:金色财经讯，日前，比特大陆即将发布的蚂蚁矿机S17性能曝光。据蚂蚁矿机S17产品经理朋友圈称，新品将采用新一代散热技术及全局优化定制方案。据了解，该散热技术可能是指芯片的封装技术，也有可能是机器的散热结构设计。至于S17产品“全局优化定制”方案未有细节透露。有声音评价，这或许是为决战丰水期做出的准备。[2019/3/22]
}
....code...
mainWindow= newBrowserWindow(windowOptions)
}
根据build.js配置文件，可以了解到如果此应用在Windows操作系统上运行，Node.js将被启用。为了利用启用的Node.js，攻击者需要在应用程序中注入任意的JavaScript。攻击者一般可以通过利用XSS（跨站点脚本）漏洞或者在当前Electron窗口中加载任何包含攻击者注入的JavaScript的网站来实现攻击。
Symbol桌面钱包（v9.7版）提供了浏览“新闻”的功能，只要用户点击新闻中的链接，应用程序便会从钱包窗口加载外部网站（图中展示的是Github）。
那么漏洞又是如何被利用的呢？
为了演示该漏洞利用的流程，技术人员在个人网站上托管了以下代码段。在Github上可以很容易的放置指向其网站的URL。当“nodeIntegration”设置为true并启用Node.js，在“child_process”模块的帮助下可以将任意的JavaScript执行升级为远程代码执行。
用户访问包含payload的页面,并点击页面里的“Close”按钮后，用户的计算机上将弹出计算器。在目标系统中弹出计算器是证明成功利用代码执行漏洞的一种方法。
Proof-of-Concept（视频位于页首）:
<!DOCTYPEhtml>
<h1>click me</h1>
<button type="button" onClick="rce_calc()">Submit</button>
<script>
functionrce_calc(){
const{ exec } = require('child_process');
exec('calc');
}
</script>
Symbol在修复中将“nodeIntegration”设置为false，禁止了JavaScript对Node.js模块的访问。此更改已经反映在了他们当前的build.js（参考文献4）文件中。他们还更新了“新闻”功能，停止了将远程网站加载到Electron窗口中的行为。
做为安全研究员，当在一个程序中发现漏洞，我们总会尝试去探索此类漏洞是否在别的应用中存在。通过互联网搜索，CertiK安全团队发现了另一个基于Electron的加密货币钱包: MyCrypto。在测试时，技术人员发现MyCrypto将“nodeintegration”设置为true，并启用了Node.js。虽然没有找到攻击此配置的办法。但是我们不应该给攻击者将“self-xss”转化为命令代码执行的机会。
CertiK旨在为加密社区的安全做出贡献，并帮助企业保护用户资产。技术人员在对方的Github 仓库中提交了Issue。
MyCrypto十分重视，并回复该漏洞将在下一版本中修复。
Electron本身是非常优秀的软件框架，但开发人员要注意不要因为配置错误而使程序暴露在危险之中。在产品中使用新技术时要小心，要保持谨慎并了解潜在的安全风险。这里CertiK安全团队总结了几个要点来提高基于Electron的应用程序的安全性：
在生产版本中移除对development console的访问。
除非应用程序绝对必要，否则将“nodeintegration”设置为false。
使用“event.preventDefault（）来禁止应用程序加载外部网页。
使用React，Vue或Angular（2+）等前端框架开发应用程序，以减少应用程序包含XSS（跨站点脚本）漏洞的机会。
持续使用最新版本的Electron框架，并保持更新。
开发Electron应用程序时，请务必阅读参考官方安全指南（参考文献7）。其中包含了可以提高Electron的应用的安全性的建议。
无论是由内部安全团队还是第三方公司执行安全审计和渗透测试，对于确保系统的安全性都是至关重要的。专业的安全人员会试图从“恶意黑客”的角度来破坏系统，帮助在真正的黑客利用漏洞之前识别和补救漏洞。
对于专业安全服务提供商而言，要提高安全测试水平的唯一途径就是不断学习。CertiK的安全工程师自始至终都在通过广泛涉猎不同目标来提高自身的渗透测试技能，从而为客户提供最佳的渗透测试服务。
参考文献：
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/cve-2018-1000136-electron-nodeintegration-bypass/
https://github.com/nemfoundation/symbol-desktop-wallet
https://github.com/nemfoundation/symbol-desktop-wallet/blob/14ddfd44fe9a54b54f8261dfaa68b2f88be211ce/public/build.js
https://github.com/nemfoundation/symbol-desktop-wallet/blob/master/public/build.js#L237
https://github.com/terra-project/station-electron/blob/5a919b87323c9d1d9c76f7c4a7deff5d731d235e/public/electron.js
https://www.electronjs.org/docs/tutorial/security#5-do-not-disable-websecurity
https://www.electronjs.org/docs/tutorial/securit
了解更多
General Information: info@certik.org
Audit & Partnerships: bd@certik.org
Website: certik.org
Twitter: @certik.org
Telegram: t.me/certik.org
Medium:medium.com/certik
币乎：bihu.com/people/1093109
区块链正成为一个“比武场”,全国各地都在上演着速度与激情。继多地发布区块链相关政策后,近日,在浙江省政府新闻办举行的新闻发布会上,《浙江省新型基础设施建设三年行动计划》（以下简称“行动计划”）正.
1900/1/1 0:00:00DappBirds联合金色财经共同发布「DeFi Data」最新数据周榜：DeFi Token整体市值突破80亿美金,单周增长8.9%；DeFi协议总锁仓量达718.7亿美元.
1900/1/1 0:00:00头条▌以太坊开发人员决定推迟柏林硬分叉金色财经报道,许多用户仍依赖于以太坊客户端Geth,因此如果出现漏洞,则可能会使网络暂时冻结.
1900/1/1 0:00:00在首选的供交易的数字资产类型方面,美国市场和瑞士市场中的选择是不一样的。美国前两年,主要是用security token也就是通证的方式来把不动产和私募基金数字化,然后在一些数字交易平台中进行交.
1900/1/1 0:00:00近半个月的时间,币市一片大好,主流币虽无波动,但山寨币和一些明星币种频频突破阻力位。在众多突破阻力位的币种里,LINK的走势可圈可点,交易量和价格都有所突破.
1900/1/1 0:00:007月1日,中国专利保护协会发布《2020年区块链领域全球授权专利报告》。报告显示,全球已获得授权的区块链专利排名中,支付宝以212件区块链授权专利数位列全球第一,接近第二名IBM（136件）和第.
1900/1/1 0:00:00
月亮链