macOS Sandbox
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
MacOS Sandbox (aanvanklik Seatbelt genoem) beperk toepassings wat binne die sandbox loop na die toegelate aksies wat in die Sandbox-profiel gespesifiseer is waarmee die app loop. Dit help om te verseker dat die toepassing slegs verwagte hulpbronne sal benader.
Enige app met die regte com.apple.security.app-sandbox sal binne die sandbox uitgevoer word. Apple-binaries word gewoonlik binne 'n Sandbox uitgevoer, en alle toepassings van die App Store het daardie regte. Dus sal verskeie toepassings binne die sandbox uitgevoer word.
Om te beheer wat 'n proses kan of nie kan doen nie, het die Sandbox haakplekke in byna enige operasie wat 'n proses mag probeer (insluitend die meeste syscalls) met behulp van MACF. egter, depending op die regte van die app mag die Sandbox meer toelaatbaar wees met die proses.
Sommige belangrike komponente van die Sandbox is:
Die kernel-uitbreiding /System/Library/Extensions/Sandbox.kext
Die privaat raamwerk /System/Library/PrivateFrameworks/AppSandbox.framework
'n daemon wat in userland loop /usr/libexec/sandboxd
Die houers ~/Library/Containers
Elke sandboxed toepassing sal sy eie houer hê in ~/Library/Containers/{CFBundleIdentifier} :
Binne elke bundel-id gids kan jy die plist en die Data-gids van die App vind met 'n struktuur wat die Huis-gids naboots:
Let daarop dat selfs al is die symlinks daar om te "ontsnap" uit die Sandbox en ander mappen te benader, moet die App steeds toestemmings hê om toegang tot hulle te verkry. Hierdie toestemmings is binne die .plist in die RedirectablePaths.
Die SandboxProfileData is die gecompileerde sandbox-profiel CFData wat na B64 ontsnap is.
Alles wat deur 'n Sandboxed-toepassing geskep/gewysig word, sal die kwarantynattribuut ontvang. Dit sal 'n sandbox ruimte voorkom deur Gatekeeper te aktiveer as die sandbox-toepassing probeer om iets met open uit te voer.
Die Sandbox profiele is konfigurasie lêers wat aandui wat in daardie Sandbox toegelaat/verbode gaan wees. Dit gebruik die Sandbox Profile Language (SBPL), wat die Scheme programmeertaal gebruik.
Hier kan jy 'n voorbeeld vind:
Kontrollere hierdie navorsing om meer aksies te kontroleer wat toegelaat of geweier kan word.
Let daarop dat in die saamgestelde weergawe van 'n profiel die name van die operasies vervang word deur hul inskrywings in 'n array wat deur die dylib en die kext bekend is, wat die saamgestelde weergawe korter en moeiliker leesbaar maak.
Belangrike stelseldienste loop ook binne hul eie pasgemaakte sandbox soos die mdnsresponder diens. Jy kan hierdie pasgemaakte sandbox-profiele binne kyk:
/usr/share/sandbox
/System/Library/Sandbox/Profiles
Ander sandbox-profiele kan nagegaan word in https://github.com/s7ephen/OSX-Sandbox--Seatbelt--Profiles.
App Store programme gebruik die profiel /System/Library/Sandbox/Profiles/application.sb. Jy kan in hierdie profiel kyk hoe regte soos com.apple.security.network.server 'n proses toelaat om die netwerk te gebruik.
SIP is 'n Sandbox-profiel genaamd platform_profile in /System/Library/Sandbox/rootless.conf
Om 'n toepassing met 'n spesifieke sandbox-profiel te begin, kan jy gebruik maak van:
Let daarop dat die Apple-geskrewe programmatuur wat op Windows loop, nie addisionele sekuriteitsmaatreëls het nie, soos toepassingsandboxing.
Bypasses voorbeelde:
https://desi-jarvis.medium.com/office365-macos-sandbox-escape-fcce4fa4123c (hulle kan lêers buite die sandbox skryf waarvan die naam met ~$ begin).
Dit is moontlik om al die kontroles wat die sandbox elke keer wanneer 'n aksie nagegaan word, uit te spoor. Skep net die volgende profiel:
En voer dan net iets uit met daardie profiel:
In /tmp/trace.out sal jy in staat wees om elke sandbox kontrole te sien wat uitgevoer is elke keer dit aangeroep is (dus, baie duplikate).
Dit is ook moontlik om die sandbox te volg met die -t parameter: sandbox-exec -t /path/trace.out -p "(version 1)" /bin/ls
Die funksie sandbox_set_trace_path wat deur libsystem_sandbox.dylib uitgevoer word, laat jou toe om 'n trace lêernaam te spesifiseer waar sandbox kontroles geskryf sal word.
Dit is ook moontlik om iets soortgelyks te doen deur sandbox_vtrace_enable() aan te roep en dan die logs fout van die buffer te verkry deur sandbox_vtrace_report() aan te roep.
libsandbox.dylib voer 'n funksie genaamd sandbox_inspect_pid uit wat 'n lys van die sandbox toestand van 'n proses gee (insluitend uitbreidings). Maar, slegs platform binêre kan hierdie funksie gebruik.
MacOS stoor stelselsandbox profiele in twee plekke: /usr/share/sandbox/ en /System/Library/Sandbox/Profiles.
En as 'n derdeparty toepassing die com.apple.security.app-sandbox regte het, pas die stelsel die /System/Library/Sandbox/Profiles/application.sb profiel op daardie proses toe.
In iOS, word die standaard profiel container genoem en ons het nie die SBPL teks voorstelling nie. In geheue, word hierdie sandbox voorgestel as 'n Toelaat/Weier binêre boom vir elke toestemming van die sandbox.
Dit kan moontlik wees vir maatskappye om hul toepassings te laat loop met pasgemaakte Sandbox profiele (in plaas van met die standaard een). Hulle moet die regte com.apple.security.temporary-exception.sbpl gebruik wat deur Apple goedgekeur moet word.
Dit is moontlik om die definisie van hierdie regte in /System/Library/Sandbox/Profiles/application.sb: te kontroleer.
This will eval die string na hierdie regte as 'n Sandbox-profiel.
Die sandbox-exec hulpmiddel gebruik die funksies sandbox_compile_* van libsandbox.dylib. Die hooffunksies wat ge-exporteer word is: sandbox_compile_file (verwag 'n lêer pad, param -f), sandbox_compile_string (verwag 'n string, param -p), sandbox_compile_name (verwag 'n naam van 'n houer, param -n), sandbox_compile_entitlements (verwag regte plist).
Hierdie omgekeerde en oopbron weergawe van die hulpmiddel sandbox-exec laat toe dat sandbox-exec in 'n lêer die gecompileerde sandbox-profiel skryf.
Boonop, om 'n proses binne 'n houer te beperk, kan dit sandbox_spawnattrs_set[container/profilename] aanroep en 'n houer of voorafbestaande profiel deurgee.
Op macOS, anders as iOS waar prosesse vanaf die begin deur die kern gesandboks is, moet prosesse self in die sandbox opt-in. Dit beteken op macOS, 'n proses is nie deur die sandbox beperk totdat dit aktief besluit om daarin te gaan, alhoewel App Store-apps altyd gesandboks is.
Prosesse word outomaties gesandboks vanaf gebruikersland wanneer hulle begin as hulle die regte het: com.apple.security.app-sandbox. Vir 'n gedetailleerde verduideliking van hierdie proses, kyk:
Uitbreidings laat toe om verdere voorregte aan 'n objek te gee en word verkry deur een van die funksies aan te roep:
sandbox_issue_extension
sandbox_extension_issue_file[_with_new_type]
sandbox_extension_issue_mach
sandbox_extension_issue_iokit_user_client_class
sandbox_extension_issue_iokit_registry_rentry_class
sandbox_extension_issue_generic
sandbox_extension_issue_posix_ipc
Die uitbreidings word in die tweede MACF etiketgleuf gestoor wat toeganklik is vanaf die proses kredensiale. Die volgende sbtool kan toegang tot hierdie inligting verkry.
Let daarop dat uitbreidings gewoonlik toegeken word deur toegelate prosesse, byvoorbeeld, tccd sal die uitbreidings-token van com.apple.tcc.kTCCServicePhotos toeken wanneer 'n proses probeer het om toegang tot die foto's te verkry en in 'n XPC-boodskap toegelaat is. Dan sal die proses die uitbreidings-token moet verbruik sodat dit daaraan bygevoeg word.
Let daarop dat die uitbreidings-token lang heksadesimale is wat die toegekende toestemmings kodeer. Hulle het egter nie die toegelate PID hardgecodeer nie, wat beteken dat enige proses met toegang tot die token deur verskeie prosesse verbruik kan word.
Let daarop dat uitbreidings baie verwant is aan regte, so om sekere regte te hê, kan sekere uitbreidings outomaties toeken.
Volgens hierdie, die sandbox_check funksies (dit is 'n __mac_syscall), kan kontroleer of 'n operasie toegelaat word of nie deur die sandbox in 'n sekere PID, oudit-token of unieke ID.
Die hulpmiddel sbtool (vind dit gecompileer hier) kan kontroleer of 'n PID sekere aksies kan uitvoer:
Dit is ook moontlik om die sandbox te suspend en te unsuspend met die funksies sandbox_suspend en sandbox_unsuspend van libsystem_sandbox.dylib.
Let daarop dat om die suspend-funksie aan te roep, sommige regte nagegaan word om die oproeper te magtig om dit aan te roep soos:
com.apple.private.security.sandbox-manager
com.apple.security.print
com.apple.security.temporary-exception.audio-unit-host
Hierdie stelselaanroep (#381) verwag een string eerste argument wat die module sal aandui om te loop, en dan 'n kode in die tweede argument wat die funksie sal aandui om te loop. Dan sal die derde argument afhang van die funksie wat uitgevoer word.
Die funksie ___sandbox_ms oproep verpak mac_syscall wat in die eerste argument "Sandbox" aandui net soos ___sandbox_msp 'n wrapper van mac_set_proc (#387) is. Dan kan sommige van die ondersteunde kodes deur ___sandbox_ms in hierdie tabel gevind word:
set_profile (#0): Pas 'n gecompileerde of benoemde profiel op 'n proses toe.
platform_policy (#1): Handhaaf platform-spesifieke beleidskontroles (verskil tussen macOS en iOS).
check_sandbox (#2): Voer 'n handmatige kontrole van 'n spesifieke sandbox-operasie uit.
note (#3): Voeg 'n annotasie by 'n Sandbox
container (#4): Koppel 'n annotasie aan 'n sandbox, tipies vir debugging of identifikasie.
extension_issue (#5): Genereer 'n nuwe uitbreiding vir 'n proses.
extension_consume (#6): Verbruik 'n gegewe uitbreiding.
extension_release (#7): Vry die geheue wat aan 'n verbruikte uitbreiding gekoppel is.
extension_update_file (#8): Wysig parameters van 'n bestaande lêer uitbreiding binne die sandbox.
extension_twiddle (#9): Pas 'n bestaande lêer uitbreiding aan of wysig (bv. TextEdit, rtf, rtfd).
suspend (#10): Tydelik alle sandbox kontroles suspend (vereis toepaslike regte).
unsuspend (#11): Herbegin alle voorheen gesuspendeerde sandbox kontroles.
passthrough_access (#12): Laat direkte passthrough toegang tot 'n hulpbron toe, wat sandbox kontroles omseil.
set_container_path (#13): (slegs iOS) Stel 'n houer pad vir 'n app-groep of onderteken ID in.
container_map (#14): (slegs iOS) Verkry 'n houer pad van containermanagerd.
sandbox_user_state_item_buffer_send (#15): (iOS 10+) Stel gebruikersmodus metadata in die sandbox.
inspect (#16): Verskaf debug-inligting oor 'n sandboxed proses.
dump (#18): (macOS 11) Dump die huidige profiel van 'n sandbox vir analise.
vtrace (#19): Volg sandbox operasies vir monitering of debugging.
builtin_profile_deactivate (#20): (macOS < 11) Deaktiveer benoemde profiele (bv. pe_i_can_has_debugger).
check_bulk (#21): Voer verskeie sandbox_check operasies in 'n enkele oproep uit.
reference_retain_by_audit_token (#28): Skep 'n verwysing vir 'n oudit token vir gebruik in sandbox kontroles.
reference_release (#29): Vry 'n voorheen behoue oudit token verwysing.
rootless_allows_task_for_pid (#30): Verifieer of task_for_pid toegelaat word (soortgelyk aan csr kontroles).
rootless_whitelist_push (#31): (macOS) Pas 'n Stelselintegriteitbeskerming (SIP) manifestlêer toe.
rootless_whitelist_check (preflight) (#32): Kontroleer die SIP manifestlêer voor uitvoering.
rootless_protected_volume (#33): (macOS) Pas SIP beskerming toe op 'n skyf of partisie.
rootless_mkdir_protected (#34): Pas SIP/DataVault beskerming toe op 'n gids skep proses.
Let daarop dat in iOS die kernuitbreiding hardcoded al die profiele binne die __TEXT.__const segment bevat om te verhoed dat hulle gewysig word. Die volgende is 'n paar interessante funksies van die kernuitbreiding:
hook_policy_init: Dit haak mpo_policy_init en dit word genoem na mac_policy_register. Dit voer die meeste van die inisialisasies van die Sandbox uit. Dit inisialiseer ook SIP.
hook_policy_initbsd: Dit stel die sysctl-koppelvlak op wat security.mac.sandbox.sentinel, security.mac.sandbox.audio_active en security.mac.sandbox.debug_mode registreer (as dit met PE_i_can_has_debugger geboot is).
hook_policy_syscall: Dit word deur mac_syscall aangeroep met "Sandbox" as eerste argument en kode wat die operasie in die tweede aandui. 'n Skakel word gebruik om die kode te vind wat volgens die aangevraagde kode moet loop.
Sandbox.kext gebruik meer as 'n honderd haakies via MACF. Meeste van die haakies sal net 'n paar triviale gevalle kontroleer wat die aksie toelaat as dit nie, sal hulle cred_sb_evalutate met die akkrediteer van MACF en 'n nommer wat ooreenstem met die operasie wat uitgevoer moet word en 'n buffer vir die uitvoer aanroep.
'n Goeie voorbeeld hiervan is die funksie _mpo_file_check_mmap wat mmap gehaak het en wat sal begin om te kontroleer of die nuwe geheue skryfbaar gaan wees (en as dit nie is nie, sal dit die uitvoering toelaat), dan sal dit kontroleer of dit vir die dyld gedeelde kas gebruik word en as dit so is, die uitvoering toelaat, en uiteindelik sal dit sb_evaluate_internal (of een van sy wrappers) aanroep om verdere toelaatbaarheid kontroles uit te voer.
Boonop, uit die honderd(s) haakies wat Sandbox gebruik, is daar 3 in die besonder wat baie interessant is:
mpo_proc_check_for: Dit pas die profiel toe indien nodig en as dit nie voorheen toegepas is nie.
mpo_vnode_check_exec: Geroep wanneer 'n proses die geassosieerde binêre laai, dan word 'n profielkontrole uitgevoer en ook 'n kontrole wat SUID/SGID uitvoerings verbied.
mpo_cred_label_update_execve: Dit word aangeroep wanneer die etiket toegeken word. Dit is die langste een aangesien dit aangeroep word wanneer die binêre ten volle gelaai is, maar dit nog nie uitgevoer is nie. Dit sal aksies uitvoer soos om die sandbox objek te skep, die sandbox struktuur aan die kauth akkrediteer te heg, toegang tot mach-poorte te verwyder...
Let daarop dat _cred_sb_evalutate 'n wrapper oor sb_evaluate_internal is en hierdie funksie kry die akkrediteer wat oorgedra word en voer dan die evaluering uit met die eval funksie wat gewoonlik die platform profiel evalueer wat standaard op alle prosesse toegepas word en dan die spesifieke proses profiel. Let daarop dat die platform profiel een van die hoofkomponente van SIP in macOS is.
Sandbox het ook 'n gebruikersdemon wat die XPC Mach diens com.apple.sandboxd blootstel en die spesiale poort 14 (HOST_SEATBELT_PORT) bind wat die kernuitbreiding gebruik om met dit te kommunikeer. Dit blootstel 'n paar funksies met MIG.
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
