-
-
[原创]向Typora学习electron安全攻防
-
2022-5-3 23:02
-
【原创】向Typora学习electron安全攻防
@钞能力大叔
目标应用: aHR0cHM6Ly90eXBvcmEuaW8v
越来越多的应用开始使用 electron 来构建跨平台桌面应用。从实现方式上来说，其本质还是基于chrome内核的html、js、css构成的应用，基于浏览器，代码必定会暴露在用户侧，任何加密手段只是增加破解门槛跟时间成本而已。
认识electron项目文件目录特征
electron打包的项目，最常见的就是 asar 格式的私有编码文件，里面包含文件名、大小、内容偏移量等数据，按文件头部的 json内容 解析即可提取出所有文件。
electron asar解包
目前来说，官方的版本并没有提供保护源码的方法。在github开源的找到个大神提供的解决方案（https://github.com/toyobayashi/electron-asar-encrypt-demo） ，该方案可以把启动文件编译为node二进制文件，作为启动入口，来保护薄弱的js代码。在项目启动时，将加密后的代码进行解密，交回electron流程进行执行，从而避免上述步骤直接解包拿到源代码的可能。
经过分析对比，typora用的恰好是这个demo提供的思路。
找到上述步骤解压成功的 package.json 文件，main属性就是 electron 项目启动的主入口。 把 main.node 拖到ida中, 分析执行流程。
结合 electron-asar-encrypt-demo 跟 IDA伪代码， 可以定位到两个关键函数 napi_create_string_utf8 跟 napi_call_function
万能js提取方案
已知经过编译后的node文件, 在执行前，都会调用 napi_create_string_utf8 创建js字符串，所以在调用该函数的时候，基于electron没有自带加密的特性，想要运行js流程，必定会传递明文，所以在加载流程上截断，就可以导出解密后的数据。
直接上frida大法
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 | let napi_create_string_utf8 = Module.getExportByName(null, 'napi_create_string_utf8');var index = 0;if (napi_create_string_utf8) { console.log('绑定成功'); Interceptor.attach(napi_create_string_utf8, { onEnter: function (args) { console.log('napi_create_string_utf8', '调用', args[0], args[1].readCString().substring(0, 100), args[2], args[3]); if (args[2].toInt32() > 100) { // 过滤出大文件 index += 1; var f = new File('export_' + String(index) + '.js', 'wb'); f.write(args[1].readByteArray(args[2].toInt32())); f.flush(); f.close(); } } });} else { console.log('绑定失败');} |
解包项目中的所有 asar文件，就能拿到所有的源代码，并且把解压的文件夹，改成对应的 asar 文件名即可正常运行项目，无需重打包即可调试。
无限试用思路
删除注册表键，让程序认为是第一次安装
不想进入注册表这个繁琐的话，可以保存下面的代码, 把名字改成 xxx.reg, 双击运行即可无限畅玩。
1 2 3 4 5 | Windows Registry Editor Version 5.00[HKEY_CURRENT_USER\Software\Typora]"IDate"="1/24/9999""SLicense"="" |
去除授权功能实现单机版本思路
将所有的网络验证给他删掉/注释掉, 也可以直接把 “是否授权” 的变量，改成true即可。
注册机思路
由于该示例使用了rsa解密，所以要基于官方版本编写注册机就不太行了。一定要出注册机的话，需要先替换截图部分的rsa公钥即可。
这个地方使用了node自带的公钥解密，一些语言好像不能直接生成（可能我的打开方式不对），我就直接给出node版本的创建实例。
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 | const crypto = require('crypto');const fs = require('fs');const path = require('path');const keyPair = crypto.generateKeyPairSync('rsa', { modulusLength: 2048, publicKeyEncoding: { type: 'spki', format: 'pem' }, privateKeyEncoding: { type: 'pkcs8', format: 'pem', cipher: 'aes-256-cbc', passphrase: '' }});fs.writeFileSync("public_key.pem", keyPair.publicKey);fs.writeFileSync("private_key.pem", keyPair.privateKey); |
生成后的公钥, 覆盖即可，然后编写自己的注册机。
自建授权网关实现注册机思路
自建网关的话，可以把应用自带的域名，替换成自己的，然后按接口需要的返回值，给他返回响应的数据格式即可。 这个实例仅需要修改两处即可。
接口就不提供了，放张效果图
重打包发版思路
把解压的文件夹打包回 asar格式的文件即可， 这个网上一大把资料。
对于electron加密方式的思考
相对于原生开发来说，js安全做客户端毕竟薄弱，UI交互是没问题的，关键代码可以放到dll、so层去做，但是也没办法避免从js层面去剥离dll层函数的调用。所以目前来说并没有很好的解决方案，本文只是起到抛砖引玉的作用。期待electron有更好、更安全的解决方案。
[2023春季班]2023，新的征程，脱壳机更新、iOS/eBPF、赠送云手机套装！一块裸板虚拟化五个容器云手机！3月25日起同时上调价格并赠送新设备！
|
|
|---|---|
|
|
|
|
|
frida "安装路径/Typora.exe" -l 脚本 |
|
|
|
|
|
|
|
|
最新版可用哦，内存替换没试过，不过意外的标识符，应该是语法错了，你可以把替换后的js存出来，检查下语法。 |
|
|
我测试的是1.25版，前几天下的，真不行啊。。所有关联的地方都调整了，报错 无效或意外的token ， 楼主方便的话可以交流一下吗 ，我现在的疑惑是 版本问题还是内存破解不可行。。 或者楼主可以发我一份1.25破解的版本让我研究一下吗。。
最后于 2022-5-4 18:10
被yumoqaq编辑
，原因：
|
|
|
你说的这种情况，每次启动都会调用接口校验的，内存补丁的方案并没有直接改代码来的方便。 我这边测试1.2.5 32、64都没问题。 |
|
|
|
|
|
s是全局变量，这么改只是在激活页面呈现出“已激活”的效果而已。 |
|
|
我又改了一下，可以完美破解了 替换字符串如下： ;; 移除签名
const n;;/*
`,t\);;*/
JSON\.parse\(n\.;;JSON.parse(t.
;; 破解网络验证, 本机自动生成
async function\(e,t,n\){.*}\(t,n,o\);;async function(e,t,n){t={fingerprint:await M(),email:e,license:t,type:global.devVersion?"dev":""};return await Z(await Buffer.from(JSON.stringify(t),"utf8").toString("base64"))?[!0,""]:[!1,"Please input a valid license code"];}(t,n,o)
;; 破解renew
\(H\(o,n,i\),B\(t,e\)\);;H(o,n,i)修改后，需要激活一次(本机)就可以了，再次启动不会弹框。 如果版本更新了，可以修改 typora_with.txt 导出最新的js，然后做相应的补丁，当前版本: 1.2.5 。 |
|
|
大哥能发我一份修改后的js代码吗 |
|
|
0.js 是修改后的, 1.js 是修改前的，实际上可以查看补丁直接替换就好了 |
|
|
|
|
|
|
|
|
|
|
|
看之前的破解，有人提出来对asar可以进行文件劫持，直接将修改后的License.js放置到"resources\node_modules\"下面，加载优先级会先加载这个文件。不用再打包回去了！
最后于 2022-5-10 09:46
被nevinhappy编辑
，原因：
|
|
|
|
|
|
这个不行，放进去还是没激活 |
|
|
|
|
|
|
|
|
检查下是不是 utf8编码 跟 utf8-bom编码的问题。 |
|
|
|
|
|
我的也是执行0.js失败的，我的是utf8编码 |
|
|
可以发份源码么，想学习一下 |
