Enrolling Devices in Other Organisations
Last updated
Last updated
学习和实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习和实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)
正如 之前提到的， 为了尝试将设备注册到一个组织 只需要该组织的序列号。一旦设备注册，多个组织将会在新设备上安装敏感数据：证书、应用程序、WiFi 密码、VPN 配置 等等。 因此，如果注册过程没有得到正确保护，这可能成为攻击者的危险入口。
以下是研究的摘要 https://duo.com/labs/research/mdm-me-maybe。查看以获取更多技术细节！
本研究深入探讨了与 macOS 上的设备注册程序 (DEP) 和移动设备管理 (MDM) 相关的二进制文件。关键组件包括：
mdmclient：与 MDM 服务器通信，并在 macOS 10.13.4 之前的版本上触发 DEP 检查。
profiles：管理配置文件，并在 macOS 10.13.4 及更高版本上触发 DEP 检查。
cloudconfigurationd：管理 DEP API 通信并检索设备注册配置文件。
DEP 检查利用私有配置文件框架中的 CPFetchActivationRecord 和 CPGetActivationRecord 函数来获取激活记录，CPFetchActivationRecord 通过 XPC 与 cloudconfigurationd 协调。
DEP 检查涉及 cloudconfigurationd 向 iprofiles.apple.com/macProfile 发送加密的签名 JSON 有效负载。有效负载包括设备的序列号和操作 "RequestProfileConfiguration"。所使用的加密方案在内部称为 "Absinthe"。解开这个方案是复杂的，涉及多个步骤，这导致探索替代方法以在激活记录请求中插入任意序列号。
使用 Charles Proxy 等工具拦截和修改对 iprofiles.apple.com 的 DEP 请求的尝试受到有效负载加密和 SSL/TLS 安全措施的阻碍。然而，启用 MCCloudConfigAcceptAnyHTTPSCertificate 配置可以绕过服务器证书验证，尽管有效负载的加密性质仍然阻止在没有解密密钥的情况下修改序列号。
对系统二进制文件如 cloudconfigurationd 进行插桩需要在 macOS 上禁用系统完整性保护 (SIP)。禁用 SIP 后，可以使用 LLDB 等工具附加到系统进程，并可能修改在 DEP API 交互中使用的序列号。这种方法更可取，因为它避免了权限和代码签名的复杂性。
利用二进制插桩： 在 cloudconfigurationd 中在 JSON 序列化之前修改 DEP 请求有效负载被证明是有效的。该过程包括：
将 LLDB 附加到 cloudconfigurationd。
找到获取系统序列号的点。
在有效负载加密并发送之前将任意序列号注入内存中。
这种方法允许检索任意序列号的完整 DEP 配置文件，展示了潜在的漏洞。
利用 Python 和 LLDB API 自动化了利用过程，使得可以以编程方式注入任意序列号并检索相应的 DEP 配置文件。
研究突出了重大的安全隐患：
信息泄露：通过提供一个 DEP 注册的序列号，可以检索 DEP 配置文件中包含的敏感组织信息。
