macOS Auto Start
Bu bölüm, Eski İyi LaunchAgents'in Ötesinde blog serisine dayanmaktadır, amacı daha fazla Otomatik Başlatma Yeri eklemek (mümkünse), hangi tekniklerin hala çalıştığını belirtmek ve gerekli izinleri belirtmektir.
Sandbox Bypass
Burada, sandbox bypass için yararlı başlangıç yerlerini bulabilirsiniz; bu, bir şeyi bir dosyaya yazarak ve çok yaygın bir hareket, belirli bir zaman aralığı veya genellikle bir sandbox içinde root izinlerine ihtiyaç duymadan gerçekleştirebileceğiniz bir hareket bekleyerek basitçe çalıştırmanıza olanak tanır.
Launchd
Yerler
/Library/LaunchAgentsTetikleyici: Yeniden başlatma
Root gerekli
/Library/LaunchDaemonsTetikleyici: Yeniden başlatma
Root gerekli
/System/Library/LaunchAgentsTetikleyici: Yeniden başlatma
Root gerekli
/System/Library/LaunchDaemonsTetikleyici: Yeniden başlatma
Root gerekli
~/Library/LaunchAgentsTetikleyici: Yeniden giriş
~/Library/LaunchDemonsTetikleyici: Yeniden giriş
İlginç bir gerçek olarak, launchd'nin Mach-o bölümünde __Text.__config içinde gömülü bir özellik listesi vardır; bu, launchd'nin başlatması gereken diğer bilinen hizmetleri içerir. Ayrıca, bu hizmetler RequireSuccess, RequireRun ve RebootOnSuccess içerebilir; bu, bunların çalıştırılması ve başarıyla tamamlanması gerektiği anlamına gelir.
Elbette, kod imzalamadan dolayı değiştirilemez.
Açıklama & Sömürü
launchd, OX S çekirdeği tarafından başlatıldığında ilk işlem ve kapatıldığında son biten işlemdir. Her zaman PID 1'e sahip olmalıdır. Bu işlem, ASEP **plist'lerinde belirtilen yapılandırmaları okuyacak ve çalıştıracaktır:
/Library/LaunchAgents: Yönetici tarafından kurulan kullanıcı başına ajanlar/Library/LaunchDaemons: Yönetici tarafından kurulan sistem genelinde daemonlar/System/Library/LaunchAgents: Apple tarafından sağlanan kullanıcı başına ajanlar./System/Library/LaunchDaemons: Apple tarafından sağlanan sistem genelinde daemonlar.
Bir kullanıcı oturum açtığında, /Users/$USER/Library/LaunchAgents ve /Users/$USER/Library/LaunchDemons içindeki plist'ler giriş yapan kullanıcıların izinleriyle başlatılır.
Ajanlar ve daemonlar arasındaki ana fark, ajanların kullanıcı oturum açtığında yüklenmesi ve daemonların sistem başlangıcında yüklenmesidir (herhangi bir kullanıcının sisteme erişmeden önce çalıştırılması gereken ssh gibi hizmetler vardır). Ayrıca, ajanlar GUI kullanabilirken, daemonlar arka planda çalışmalıdır.
Bir ajanın kullanıcı girişinden önce çalıştırılması gereken durumlar vardır, bunlara PreLoginAgents denir. Örneğin, bu, girişte yardımcı teknolojiyi sağlamak için faydalıdır. Ayrıca /Library/LaunchAgents içinde bulunabilirler (örneğin, burada bir örnek).
Yeni Daemon veya Ajan yapılandırma dosyaları bir sonraki yeniden başlatmadan sonra veya launchctl load <target.plist> kullanılarak yüklenir. O uzantıya sahip olmayan .plist dosyalarını yüklemek de mümkündür launchctl -F <file> ile (ancak bu plist dosyaları yeniden başlatmadan sonra otomatik olarak yüklenmeyecektir).
Ayrıca boşaltmak da mümkündür launchctl unload <target.plist> (ona işaret eden süreç sonlandırılacaktır),
Bir Ajanın veya Daemonun çalışmasını engelleyen herhangi bir şeyin (örneğin bir geçersiz kılma) olmadığından emin olmak için şunu çalıştırın: sudo launchctl load -w /System/Library/LaunchDaemos/com.apple.smdb.plist
Mevcut kullanıcı tarafından yüklenen tüm ajanları ve daemonları listeleyin:
Eğer bir plist bir kullanıcıya aitse, sistem genelinde bir daemon klasöründe olsa bile, görev kullanıcı olarak çalıştırılacaktır ve root olarak değil. Bu, bazı ayrıcalık yükseltme saldırılarını önleyebilir.
launchd hakkında daha fazla bilgi
launchd, kernel'den başlatılan ilk kullanıcı modu sürecidir. Sürecin başlaması başarılı olmalı ve çıkmamalı veya çökmemelidir. Hatta bazı öldürme sinyallerine karşı korunmaktadır.
launchd'nin yapacağı ilk şeylerden biri, aşağıdaki gibi tüm daemon'ları başlatmak olacaktır:
Zamanlayıcı daemon'ları:
atd (
com.apple.atrun.plist): 30 dakikaStartInterval'a sahiptircrond (
com.apple.systemstats.daily.plist): 00:15'te başlamak içinStartCalendarInterval'a sahiptirAğ daemon'ları:
org.cups.cups-lpd: TCP'de (SockType: stream)SockServiceName: printerile dinlerSockServiceName ya bir port ya da
/etc/services'den bir hizmet olmalıdırcom.apple.xscertd.plist: 1640 portunda TCP'de dinlerBelirli bir yol değiştiğinde çalıştırılan yol daemon'ları:
com.apple.postfix.master:/etc/postfix/aliasesyolunu kontrol ederIOKit bildirim daemon'ları:
com.apple.xartstorageremoted:"com.apple.iokit.matching" => { "com.apple.device-attach" => { "IOMatchLaunchStream" => 1 ...Mach portu:
com.apple.xscertd-helper.plist:MachServicesgirişindecom.apple.xscertd.helperadını belirtmektedirUserEventAgent:
Bu, önceki olandan farklıdır. launchd'yi belirli bir olaya yanıt olarak uygulamaları başlatması için kullanır. Ancak, bu durumda, ilgili ana ikili dosya
launchddeğil,/usr/libexec/UserEventAgent'dir. /System/Library/UserEventPlugins/ dizininden SIP kısıtlı klasöründen eklentileri yükler; her eklenti,XPCEventModuleInitializeranahtarında veya daha eski eklentiler durumunda,Info.plist'ininFB86416D-6164-2070-726F-70735C216EC0anahtarındakiCFPluginFactoriessözlüğünde başlatıcısını belirtir.
shell başlangıç dosyaları
Writeup: https://theevilbit.github.io/beyond/beyond_0001/ Writeup (xterm): https://theevilbit.github.io/beyond/beyond_0018/
Sandbox'ı atlamak için yararlıdır: ✅
TCC Atlatma: ✅
Ancak, bu dosyaları yükleyen bir shell'i çalıştıran bir TCC atlatma uygulaması bulmanız gerekiyor
Konumlar
~/.zshrc,~/.zlogin,~/.zshenv.zwc,~/.zshenv,~/.zprofileTetikleyici: zsh ile bir terminal aç
/etc/zshenv,/etc/zprofile,/etc/zshrc,/etc/zloginTetikleyici: zsh ile bir terminal aç
Root gereklidir
~/.zlogoutTetikleyici: zsh ile bir terminalden çık
/etc/zlogoutTetikleyici: zsh ile bir terminalden çık
Root gereklidir
Potansiyel olarak daha fazlası:
man zsh~/.bashrcTetikleyici: bash ile bir terminal aç
/etc/profile(çalışmadı)~/.profile(çalışmadı)~/.xinitrc,~/.xserverrc,/opt/X11/etc/X11/xinit/xinitrc.d/Tetikleyici: xterm ile tetiklenmesi bekleniyor, ancak kurulu değil ve kurulduktan sonra bile bu hata veriliyor: xterm:
DISPLAY is not set
Açıklama & Sömürü
zsh veya bash gibi bir shell ortamı başlatıldığında, belirli başlangıç dosyaları çalıştırılır. macOS şu anda varsayılan shell olarak /bin/zsh kullanmaktadır. Bu shell, Terminal uygulaması başlatıldığında veya bir cihaza SSH ile erişildiğinde otomatik olarak erişilir. bash ve sh de macOS'ta mevcut olsa da, kullanılmak için açıkça çağrılmaları gerekir.
man zsh ile okuyabileceğimiz zsh'nin man sayfası, başlangıç dosyaları hakkında uzun bir açıklama içermektedir.
Yeniden Açılan Uygulamalar
Belirtilen istismar yapılandırması ve oturumu kapatıp açma veya hatta yeniden başlatma benim için uygulamayı çalıştırmadı. (Uygulama çalıştırılmıyordu, belki bu eylemler gerçekleştirilirken çalışıyor olması gerekiyor)
Yazım: https://theevilbit.github.io/beyond/beyond_0021/
Konum
~/Library/Preferences/ByHost/com.apple.loginwindow.<UUID>.plistTetikleyici: Uygulamaları yeniden açmak için yeniden başlatma
Açıklama & İstismar
Yeniden açılacak tüm uygulamalar plist ~/Library/Preferences/ByHost/com.apple.loginwindow.<UUID>.plist içinde yer almaktadır.
Bu nedenle, yeniden açılan uygulamaların kendi uygulamanızı başlatmasını sağlamak için, uygulamanızı listeye eklemeniz yeterlidir.
UUID, o dizini listeleyerek veya ioreg -rd1 -c IOPlatformExpertDevice | awk -F'"' '/IOPlatformUUID/{print $4}' komutuyla bulunabilir.
Yeniden açılacak uygulamaları kontrol etmek için şunu yapabilirsiniz:
Bu listeye bir uygulama eklemek için şunu kullanabilirsiniz:
Terminal Tercihleri
Sandbox'ı atlatmak için yararlıdır: ✅
TCC atlatma: ✅
Terminal, kullanıcının FDA izinlerine sahip olmasını sağlar
Konum
~/Library/Preferences/com.apple.Terminal.plistTetikleyici: Terminal'i aç
Açıklama & Sömürü
~/Library/Preferences içinde, Kullanıcı'nın Uygulamalarındaki tercihleri saklanır. Bu tercihlerden bazıları diğer uygulamaları/scriptleri çalıştırmak için bir yapılandırma içerebilir.
Örneğin, Terminal bir komutu Başlangıçta çalıştırabilir:
Bu yapılandırma ~/Library/Preferences/com.apple.Terminal.plist dosyasında şu şekilde yansıtılır:
Yani, sistemdeki terminalin tercihleri plist'i üzerine yazılabilirse, open işlevi kullanılarak terminal açılabilir ve o komut çalıştırılacaktır.
Bunu cli üzerinden ekleyebilirsiniz:
Terminal Scriptleri / Diğer dosya uzantıları
Sandbox'ı atlatmak için yararlıdır: ✅
TCC atlatma: ✅
Terminal, kullanıcının FDA izinlerine sahip olması için kullanılır
Konum
Her yerde
Tetikleyici: Terminal'i aç
Açıklama & Sömürü
Eğer bir .terminal scripti oluşturursanız ve açarsanız, Terminal uygulaması orada belirtilen komutları yürütmek için otomatik olarak çağrılacaktır. Eğer Terminal uygulaması bazı özel ayrıcalıklara sahipse (örneğin TCC), komutunuz bu özel ayrıcalıklarla çalıştırılacaktır.
Bunu deneyin:
You could also use the extensions .command, .tool, with regular shell scripts content and they will be also opened by Terminal.
Eğer terminalin Tam Disk Erişimi varsa, bu işlemi tamamlayabilecektir (çalıştırılan komutun bir terminal penceresinde görünür olacağını unutmayın).
Ses Eklentileri
Writeup: https://theevilbit.github.io/beyond/beyond_0013/ Writeup: https://posts.specterops.io/audio-unit-plug-ins-896d3434a882
Konum
/Library/Audio/Plug-Ins/HALRoot gerekli
Tetikleyici: coreaudiod'u veya bilgisayarı yeniden başlat
/Library/Audio/Plug-ins/ComponentsRoot gerekli
Tetikleyici: coreaudiod'u veya bilgisayarı yeniden başlat
~/Library/Audio/Plug-ins/ComponentsTetikleyici: coreaudiod'u veya bilgisayarı yeniden başlat
/System/Library/ComponentsRoot gerekli
Tetikleyici: coreaudiod'u veya bilgisayarı yeniden başlat
Açıklama
Önceki yazılara göre, bazı ses eklentilerini derlemek ve yüklemek mümkündür.
QuickLook Eklentileri
Writeup: https://theevilbit.github.io/beyond/beyond_0028/
Konum
/System/Library/QuickLook/Library/QuickLook~/Library/QuickLook/Applications/AppNameHere/Contents/Library/QuickLook/~/Applications/AppNameHere/Contents/Library/QuickLook/
Açıklama & Sömürü
QuickLook eklentileri, bir dosyanın önizlemesini tetiklediğinizde (Finder'da dosya seçili iken boşluk tuşuna basarak) ve o dosya türünü destekleyen bir eklenti yüklüyse çalıştırılabilir.
Kendi QuickLook eklentinizi derlemek, onu önceki konumlardan birine yerleştirmek ve ardından desteklenen bir dosyaya gidip tetiklemek için boşluk tuşuna basmak mümkündür.
Giriş/Çıkış Kancaları
Bu benim için çalışmadı, ne kullanıcı Giriş Kancası ne de root Çıkış Kancası ile
Writeup: https://theevilbit.github.io/beyond/beyond_0022/
Konum
defaults write com.apple.loginwindow LoginHook /Users/$USER/hook.shgibi bir şeyi çalıştırabilmeniz gerekiyor~/Library/Preferences/com.apple.loginwindow.plistiçinde bulunur
Kullanımdan kaldırılmıştır ancak bir kullanıcı giriş yaptığında komutları çalıştırmak için kullanılabilir.
Bu ayar /Users/$USER/Library/Preferences/com.apple.loginwindow.plist içinde saklanır.
Bunu silmek için:
The root user one is stored in /private/var/root/Library/Preferences/com.apple.loginwindow.plist
Koşullu Sandbox Atlama
Burada, sandbox atlama için yararlı başlangıç yerlerini bulabilirsiniz; bu, bir şeyi bir dosyaya yazarak ve belirli programların yüklü olması, "olağandışı" kullanıcı eylemleri veya ortamlar gibi çok yaygın olmayan koşulları bekleyerek basitçe çalıştırmanıza olanak tanır.
Cron
Yazı: https://theevilbit.github.io/beyond/beyond_0004/
Sandbox'ı atlamak için yararlıdır: ✅
Ancak,
crontabikili dosyasını çalıştırabilmeniz gerekirYa da root olmalısınız
TCC atlama: 🔴
Konum
/usr/lib/cron/tabs/,/private/var/at/tabs,/private/var/at/jobs,/etc/periodic/Doğrudan yazma erişimi için root gereklidir.
crontab <file>çalıştırabiliyorsanız root gerekmezTetikleyici: Cron işine bağlıdır
Açıklama & Sömürü
Geçerli kullanıcı için cron işlerini listeleyin:
Kullanıcıların tüm cron görevlerini /usr/lib/cron/tabs/ ve /var/at/tabs/ içinde görebilirsiniz (root gerektirir).
MacOS'ta belirli bir sıklıkla scriptleri çalıştıran birkaç klasör bulunmaktadır:
Orada düzenli cron görevlerini, at görevlerini (çok fazla kullanılmayan) ve periyodik görevleri (esas olarak geçici dosyaları temizlemek için kullanılan) bulabilirsiniz. Günlük periyodik görevler, örneğin periodic daily ile çalıştırılabilir.
Bir kullanıcı cronjob'unu programatik olarak eklemek için şunu kullanabilirsiniz:
iTerm2
Writeup: https://theevilbit.github.io/beyond/beyond_0002/
Sandbox'ı atlatmak için yararlıdır: ✅
TCC atlatma: ✅
iTerm2, TCC izinleri verilmiş olarak kullanılıyordu
Locations
~/Library/Application Support/iTerm2/Scripts/AutoLaunchTetikleyici: iTerm'i aç
~/Library/Application Support/iTerm2/Scripts/AutoLaunch.scptTetikleyici: iTerm'i aç
~/Library/Preferences/com.googlecode.iterm2.plistTetikleyici: iTerm'i aç
Description & Exploitation
~/Library/Application Support/iTerm2/Scripts/AutoLaunch içinde saklanan betikler çalıştırılacaktır. Örneğin:
veya:
~/Library/Application Support/iTerm2/Scripts/AutoLaunch.scpt betiği de çalıştırılacaktır:
iTerm2 tercihleri ~/Library/Preferences/com.googlecode.iterm2.plist içinde çalıştırılacak bir komut belirtebilir iTerm2 terminali açıldığında.
Bu ayar iTerm2 ayarlarında yapılandırılabilir:
Ve komut tercihlerde yansıtılır:
Türkçe çeviri:
Komutu çalıştırmak için ayarlayabilirsiniz:
iTerm2 ayarlarını kötüye kullanmanın başka yollarının olma olasılığı yüksektir.
xbar
Yazı: https://theevilbit.github.io/beyond/beyond_0007/
Sandbox'ı atlatmak için kullanışlı: ✅
Ancak xbar'ın kurulu olması gerekir
TCC atlatma: ✅
Erişilebilirlik izinleri talep eder
Konum
~/Library/Application\ Support/xbar/plugins/Tetikleyici: xbar çalıştırıldığında
Açıklama
Eğer popüler program xbar kuruluysa, ~/Library/Application\ Support/xbar/plugins/ dizininde bir shell script yazmak mümkündür; bu script xbar başlatıldığında çalıştırılacaktır:
Hammerspoon
Writeup: https://theevilbit.github.io/beyond/beyond_0008/
Sandbox'ı atlatmak için kullanışlı: ✅
Ancak Hammerspoon'un kurulmuş olması gerekir
TCC atlatma: ✅
Erişim izinleri talep eder
Location
~/.hammerspoon/init.luaTrigger: Hammerspoon çalıştırıldığında
Description
Hammerspoon, macOS için bir otomasyon platformu olarak hizmet vermekte olup, işlemleri için LUA betik dili kullanmaktadır. Özellikle, tam AppleScript kodunun entegrasyonunu ve kabuk betiklerinin yürütülmesini destekleyerek betik yeteneklerini önemli ölçüde artırmaktadır.
Uygulama, tek bir dosya olan ~/.hammerspoon/init.lua'yı arar ve başlatıldığında betik yürütülecektir.
BetterTouchTool
Sandbox'ı atlatmak için yararlıdır: ✅
Ancak BetterTouchTool'un kurulmuş olması gerekir
TCC atlatma: ✅
Otomasyon-Kısayolları ve Erişilebilirlik izinleri talep eder
Konum
~/Library/Application Support/BetterTouchTool/*
Bu araç, bazı kısayollar basıldığında çalıştırılacak uygulamaları veya betikleri belirtmeye olanak tanır. Bir saldırgan, veritabanında çalıştırılacak kendi kısayolunu ve eylemini yapılandırabilir ve rastgele kod çalıştırabilir (bir kısayol, sadece bir tuşa basmak olabilir).
Alfred
Sandbox'ı atlatmak için yararlıdır: ✅
Ancak Alfred'in kurulmuş olması gerekir
TCC atlatma: ✅
Otomasyon, Erişilebilirlik ve hatta Tam Disk erişim izinleri talep eder
Konum
???
Belirli koşullar sağlandığında kod çalıştırabilen iş akışları oluşturmayı sağlar. Potansiyel olarak, bir saldırgan bir iş akışı dosyası oluşturup Alfred'in bunu yüklemesini sağlayabilir (iş akışlarını kullanmak için premium sürüm satın almak gerekir).
SSHRC
Yazı: https://theevilbit.github.io/beyond/beyond_0006/
Sandbox'ı atlatmak için yararlıdır: ✅
Ancak ssh'nin etkinleştirilmesi ve kullanılması gerekir
TCC atlatma: ✅
SSH, FDA erişimine sahip olmalıdır
Konum
~/.ssh/rcTetikleyici: ssh ile giriş
/etc/ssh/sshrcRoot gereklidir
Tetikleyici: ssh ile giriş
ssh'yi açmak için Tam Disk Erişimi gereklidir:
Açıklama & Sömürü
Varsayılan olarak, /etc/ssh/sshd_config dosyasında PermitUserRC no yoksa, bir kullanıcı SSH ile giriş yaptığında /etc/ssh/sshrc ve ~/.ssh/rc dosyaları çalıştırılacaktır.
Giriş Öğeleri
Yazı: https://theevilbit.github.io/beyond/beyond_0003/
Sandbox'ı atlatmak için yararlıdır: ✅
Ancak
osascript'i argümanlarla çalıştırmanız gerekirTCC atlatma: 🔴
Konumlar
~/Library/Application Support/com.apple.backgroundtaskmanagementagentTetikleyici: Giriş
Sömürü yükü
osascriptçağrısı ile saklanır/var/db/com.apple.xpc.launchd/loginitems.501.plistTetikleyici: Giriş
Root gereklidir
Açıklama
Sistem Tercihleri -> Kullanıcılar & Gruplar -> Giriş Öğeleri bölümünde kullanıcı giriş yaptığında çalıştırılacak öğeleri bulabilirsiniz. Onları listelemek, eklemek ve komut satırından kaldırmak mümkündür:
Bu öğeler ~/Library/Application Support/com.apple.backgroundtaskmanagementagent dosyasında saklanır.
Giriş öğeleri ayrıca /var/db/com.apple.xpc.launchd/loginitems.501.plist dosyasında yapılandırmayı saklayacak olan SMLoginItemSetEnabled API'si kullanılarak da belirtilebilir.
ZIP olarak Giriş Öğesi
(Giriş Öğeleri hakkında önceki bölümü kontrol edin, bu bir uzantıdır)
Bir ZIP dosyasını Giriş Öğesi olarak saklarsanız, Archive Utility bunu açacaktır ve eğer zip örneğin ~/Library içinde saklanmışsa ve LaunchAgents/file.plist adlı bir klasör içeriyorsa, bu klasör oluşturulacaktır (varsayılan olarak yoktur) ve plist eklenecektir, böylece kullanıcı bir sonraki oturum açtığında, plist'te belirtilen arka kapı çalıştırılacaktır.
Diğer bir seçenek, kullanıcı HOME dizininde .bash_profile ve .zshenv dosyalarını oluşturmaktır, böylece LaunchAgents klasörü zaten mevcutsa bu teknik yine de çalışacaktır.
At
Yazı: https://theevilbit.github.io/beyond/beyond_0014/
Sandbox'ı atlamak için faydalı: ✅
Ancak
atkomutunu çalıştırmanız ve etkinleştirilmiş olması gerekir.TCC atlatma: 🔴
Konum
atkomutunu çalıştırmanız ve etkinleştirilmiş olması gerekir.
Açıklama
at görevleri, belirli zamanlarda bir kerelik görevleri planlamak için tasarlanmıştır. Cron görevlerinin aksine, at görevleri yürütüldükten sonra otomatik olarak kaldırılır. Bu görevlerin sistem yeniden başlatmalarında kalıcı olduğunu belirtmek önemlidir, bu da belirli koşullar altında potansiyel güvenlik endişeleri olarak işaretlenmelerine neden olur.
Varsayılan olarak devre dışıdırlar ancak root kullanıcısı bunları etkinleştirebilir:
Bu, 1 saat içinde bir dosya oluşturacaktır:
atq kullanarak iş kuyruğunu kontrol edin:
Yukarıda iki planlanmış iş görebiliriz. İşin detaylarını at -c JOBNUMBER komutunu kullanarak yazdırabiliriz.
Eğer AT görevleri etkinleştirilmemişse, oluşturulan görevler çalıştırılmayacaktır.
iş dosyaları /private/var/at/jobs/ konumunda bulunabilir.
The filename contains the queue, the job number, and the time it’s scheduled to run. For example let’s take a loot at a0001a019bdcd2.
a- bu kuyruktur0001a- iş numarası hex formatında,0x1a = 26019bdcd2- zaman hex formatında. Epoch'tan itibaren geçen dakikaları temsil eder.0x019bdcd2ondalık olarak26991826'dır. Bunu 60 ile çarptığımızda1619509560elde ederiz, bu daGMT: 2021. Nisan 27., Salı 7:46:00'dır.
Eğer iş dosyasını yazdırırsak, at -c kullanarak elde ettiğimiz aynı bilgileri içerdiğini buluruz.
Folder Actions
Writeup: https://theevilbit.github.io/beyond/beyond_0024/ Writeup: https://posts.specterops.io/folder-actions-for-persistence-on-macos-8923f222343d
Sandbox'ı atlatmak için faydalı: ✅
Ancak, Folder Actions'ı yapılandırmak için
System Eventsile iletişim kurmak üzere argümanlarlaosascriptçağırabilmeniz gerekir.TCC atlatma: 🟠
Masaüstü, Belgeler ve İndirilenler gibi bazı temel TCC izinlerine sahiptir.
Location
/Library/Scripts/Folder Action ScriptsRoot gereklidir
Tetikleyici: Belirtilen klasöre erişim
~/Library/Scripts/Folder Action ScriptsTetikleyici: Belirtilen klasöre erişim
Description & Exploitation
Folder Actions, bir klasördeki değişiklikler (öğeleri ekleme, kaldırma veya klasör penceresini açma veya boyutlandırma gibi diğer eylemler) tarafından otomatik olarak tetiklenen betiklerdir. Bu eylemler çeşitli görevler için kullanılabilir ve Finder UI veya terminal komutları gibi farklı yollarla tetiklenebilir.
Folder Actions'ı ayarlamak için şu seçenekleriniz vardır:
Automator ile bir Folder Action iş akışı oluşturmak ve bunu bir hizmet olarak yüklemek.
Bir klasörün bağlam menüsündeki Folder Actions Ayarı aracılığıyla bir betiği manuel olarak eklemek.
System Events.app'e Apple Event mesajları göndermek için OSAScript kullanarak programatik olarak bir Folder Action ayarlamak.
Bu yöntem, eylemi sisteme entegre etmek için özellikle faydalıdır ve bir düzeyde kalıcılık sunar.
Aşağıdaki betik, bir Folder Action tarafından yürütülebilecek bir örnektir:
Folder Actions tarafından kullanılabilir hale getirmek için yukarıdaki script'i şu şekilde derleyin:
Aşağıdaki script çalıştırılarak Klasör Eylemleri ayarlayın. Bu script, Klasör Eylemlerini genel olarak etkinleştirecek ve daha önce derlenmiş scripti Masaüstü klasörüne özel olarak bağlayacaktır.
Kurulum betiğini şu şekilde çalıştırın:
Bu, bu kalıcılığı GUI aracılığıyla uygulamanın yoludur:
Bu, çalıştırılacak olan betiktir:
Bunu ile derleyin: osacompile -l JavaScript -o folder.scpt source.js
Bunu taşıyın:
Sonra, Folder Actions Setup uygulamasını açın, izlemek istediğiniz klasörü seçin ve sizin durumunuzda folder.scpt'yi seçin (benim durumumda buna output2.scp dedim):
Artık, bu klasörü Finder ile açtığınızda, scriptiniz çalıştırılacaktır.
Bu yapılandırma, base64 formatında ~/Library/Preferences/com.apple.FolderActionsDispatcher.plist konumundaki plist dosyasında saklandı.
Şimdi, bu kalıcılığı GUI erişimi olmadan hazırlamaya çalışalım:
~/Library/Preferences/com.apple.FolderActionsDispatcher.plistdosyasını yedeklemek için/tmp'ye kopyalayın:
cp ~/Library/Preferences/com.apple.FolderActionsDispatcher.plist /tmp
Yeni ayarladığınız Klasör Eylemlerini kaldırın:
Artık boş bir ortamımız var
Yedek dosyasını kopyalayın:
cp /tmp/com.apple.FolderActionsDispatcher.plist ~/Library/Preferences/Bu yapılandırmayı kullanmak için Folder Actions Setup.app'ı açın:
open "/System/Library/CoreServices/Applications/Folder Actions Setup.app/"
Ve bu benim için çalışmadı, ama bunlar yazımın talimatları:(
Dock kısayolları
Yazım: https://theevilbit.github.io/beyond/beyond_0027/
Sandbox'ı atlatmak için faydalı: ✅
Ama sistem içinde kötü niyetli bir uygulama kurmuş olmanız gerekiyor
TCC atlatma: 🔴
Konum
~/Library/Preferences/com.apple.dock.plistTetikleyici: Kullanıcı dock içindeki uygulamaya tıkladığında
Açıklama & Sömürü
Dock'ta görünen tüm uygulamalar plist içinde belirtilmiştir: ~/Library/Preferences/com.apple.dock.plist
Sadece bir uygulama eklemek mümkündür:
Bazı sosyal mühendislik teknikleri kullanarak, dock içinde örneğin Google Chrome'u taklit edebilir ve aslında kendi scriptinizi çalıştırabilirsiniz:
Renk Seçiciler
Writeup: https://theevilbit.github.io/beyond/beyond_0017
Sandbox'ı atlatmak için yararlıdır: 🟠
Çok spesifik bir eylem gerçekleşmelidir
Başka bir sandbox'ta sonlanacaksınız
TCC atlatma: 🔴
Konum
/Library/ColorPickersRoot gereklidir
Tetikleyici: Renk seçiciyi kullanın
~/Library/ColorPickersTetikleyici: Renk seçiciyi kullanın
Açıklama & Sömürü
Kendi kodunuzla bir renk seçici paketi derleyin (örneğin bunu kullanabilirsiniz) ve bir yapıcı ekleyin (örneğin Ekran Koruyucu bölümündeki gibi) ve paketi ~/Library/ColorPickers dizinine kopyalayın.
Sonra, renk seçici tetiklendiğinde, sizin kodunuz da tetiklenecektir.
Kütüphanenizi yükleyen ikilinin çok kısıtlayıcı bir sandbox'ı olduğunu unutmayın: /System/Library/Frameworks/AppKit.framework/Versions/C/XPCServices/LegacyExternalColorPickerService-x86_64.xpc/Contents/MacOS/LegacyExternalColorPickerService-x86_64
Finder Sync Eklentileri
Yazı: https://theevilbit.github.io/beyond/beyond_0026/ Yazı: https://objective-see.org/blog/blog_0x11.html
Sandbox'ı atlatmak için yararlı: Hayır, çünkü kendi uygulamanızı çalıştırmanız gerekiyor
TCC atlatma: ???
Konum
Belirli bir uygulama
Açıklama & Sömürü
Bir Finder Sync Eklentisi ile bir uygulama örneği burada bulunabilir.
Uygulamalar Finder Sync Eklentileri içerebilir. Bu eklenti, çalıştırılacak bir uygulamanın içine girecektir. Ayrıca, eklentinin kodunu çalıştırabilmesi için geçerli bir Apple geliştirici sertifikası ile imzalanması gerekir, sandbox'lanmış olmalıdır (rahatlatılmış istisnalar eklenebilir) ve bir şeyle kaydedilmelidir:
Ekran Koruyucu
Writeup: https://theevilbit.github.io/beyond/beyond_0016/ Writeup: https://posts.specterops.io/saving-your-access-d562bf5bf90b
Konum
/System/Library/Screen SaversRoot gereklidir
Tetikleyici: Ekran koruyucuyu seçin
/Library/Screen SaversRoot gereklidir
Tetikleyici: Ekran koruyucuyu seçin
~/Library/Screen SaversTetikleyici: Ekran koruyucuyu seçin
Açıklama & Sömürü
Xcode'da yeni bir proje oluşturun ve yeni bir Ekran Koruyucu oluşturmak için şablonu seçin. Ardından, buna kodunuzu ekleyin, örneğin log oluşturmak için aşağıdaki kodu kullanın.
Derleyin ve .saver paketini ~/Library/Screen Savers dizinine kopyalayın. Ardından, Ekran Koruyucu GUI'sini açın ve üzerine tıkladığınızda, birçok log oluşturması gerekir:
Bu kodu yükleyen ikilinin yetkilendirmeleri içinde com.apple.security.app-sandbox bulunduğundan, ortak uygulama kumandasının içinde olacaksınız.
Saver kodu:
Spotlight Eklentileri
writeup: https://theevilbit.github.io/beyond/beyond_0011/
Sandbox'ı atlatmak için yararlıdır: 🟠
Ama bir uygulama sandbox'ında kalacaksınız
TCC atlatma: 🔴
Sandbox çok sınırlı görünüyor
Konum
~/Library/Spotlight/Tetikleyici: Spotlight eklentisi tarafından yönetilen bir uzantıya sahip yeni bir dosya oluşturulur.
/Library/Spotlight/Tetikleyici: Spotlight eklentisi tarafından yönetilen bir uzantıya sahip yeni bir dosya oluşturulur.
Root gerekli
/System/Library/Spotlight/Tetikleyici: Spotlight eklentisi tarafından yönetilen bir uzantıya sahip yeni bir dosya oluşturulur.
Root gerekli
Some.app/Contents/Library/Spotlight/Tetikleyici: Spotlight eklentisi tarafından yönetilen bir uzantıya sahip yeni bir dosya oluşturulur.
Yeni uygulama gerekli
Açıklama & Sömürü
Spotlight, kullanıcıların bilgisayarlarındaki verilere hızlı ve kapsamlı erişim sağlaması için tasarlanmış macOS'un yerleşik arama özelliğidir. Bu hızlı arama yeteneğini kolaylaştırmak için, Spotlight özel bir veritabanı tutar ve çoğu dosyayı ayrıştırarak bir indeks oluşturur, böylece dosya adları ve içerikleri üzerinden hızlı aramalar yapılmasını sağlar.
Spotlight'ın temel mekanizması, 'metadata server' anlamına gelen 'mds' adlı merkezi bir süreç içerir. Bu süreç, tüm Spotlight hizmetini yönetir. Bununla birlikte, farklı dosya türlerini indeksleme gibi çeşitli bakım görevlerini yerine getiren birden fazla 'mdworker' daemon'u vardır (ps -ef | grep mdworker). Bu görevler, Spotlight'ın çeşitli dosya formatları arasında içerikleri anlamasını ve indekslemesini sağlayan Spotlight importer eklentileri veya ".mdimporter paketleri aracılığıyla mümkün hale gelir.
Eklentiler veya .mdimporter paketleri daha önce belirtilen yerlerde bulunur ve yeni bir paket ortaya çıktığında, bir dakika içinde yüklenir (herhangi bir hizmetin yeniden başlatılmasına gerek yoktur). Bu paketler, hangi dosya türü ve uzantıları yönetebileceklerini belirtmelidir, bu şekilde, belirtilen uzantıya sahip yeni bir dosya oluşturulduğunda Spotlight bunları kullanacaktır.
Tüm yüklü mdimporters'ı bulmak mümkündür:
Ve örneğin /Library/Spotlight/iBooksAuthor.mdimporter bu tür dosyaları (diğerleri arasında .iba ve .book uzantıları) ayrıştırmak için kullanılır:
Diğer mdimporter'ların Plist'ini kontrol ederseniz, UTTypeConformsTo girişini bulamayabilirsiniz. Bunun nedeni, bunun yerleşik bir Uniform Type Identifiers (UTI) olması ve uzantıları belirtmesine gerek olmamasıdır.
Ayrıca, sistem varsayılan eklentileri her zaman önceliklidir, bu nedenle bir saldırgan yalnızca Apple'ın kendi mdimporters tarafından başka türlü dizinlenmemiş dosyalara erişebilir.
Kendi importer'ınızı oluşturmak için bu projeyle başlayabilirsiniz: https://github.com/megrimm/pd-spotlight-importer ve ardından ismi, CFBundleDocumentTypes'ı değiştirip desteklemek istediğiniz uzantıyı desteklemesi için UTImportedTypeDeclarations ekleyin ve bunları schema.xml'de yansıtın.
Sonra GetMetadataForFile fonksiyonunun kodunu, işlenmiş uzantıya sahip bir dosya oluşturulduğunda yüklemenizi çalıştıracak şekilde değiştirin.
Son olarak, yeni .mdimporter'ınızı oluşturun ve kopyalayın ve önceki konumlardan birine yerleştirin, logları izleyerek veya mdimport -L. kontrol ederek yüklendiğini kontrol edebilirsiniz.
Tercih Pane
Artık bunun çalıştığı görünmüyor.
Yazı: https://theevilbit.github.io/beyond/beyond_0009/
Konum
/System/Library/PreferencePanes/Library/PreferencePanes~/Library/PreferencePanes
Açıklama
Artık bunun çalıştığı görünmüyor.
Root Sandbox Atlatma
Burada, root olarak bir dosyaya yazarak basitçe bir şey çalıştırmanıza olanak tanıyan sandbox atlatma için yararlı başlangıç konumlarını bulabilirsiniz ve/veya diğer garip koşulları gerektirir.
Periyodik
Yazı: https://theevilbit.github.io/beyond/beyond_0019/
Konum
/etc/periodic/daily,/etc/periodic/weekly,/etc/periodic/monthly,/usr/local/etc/periodicRoot gereklidir
Tetikleyici: Zamanı geldiğinde
/etc/daily.local,/etc/weekly.localveya/etc/monthly.localRoot gereklidir
Tetikleyici: Zamanı geldiğinde
Açıklama & Sömürü
Periyodik betikler (/etc/periodic) /System/Library/LaunchDaemons/com.apple.periodic* içinde yapılandırılan başlatma daemon'ları nedeniyle çalıştırılır. /etc/periodic/ içinde saklanan betiklerin dosya sahibi olarak çalıştırıldığını unutmayın, bu nedenle bu potansiyel bir ayrıcalık yükseltmesi için işe yaramayacaktır.
/etc/defaults/periodic.conf dosyasında belirtilen diğer periyodik betikler de çalıştırılacaktır:
Eğer /etc/daily.local, /etc/weekly.local veya /etc/monthly.local dosyalarından herhangi birini yazmayı başarırsanız, bu dosya bir şekilde çalıştırılacaktır.
Periyodik scriptin scriptin sahibi olarak çalıştırılacağını unutmayın. Yani eğer scriptin sahibi bir normal kullanıcıysa, bu script o kullanıcı olarak çalıştırılacaktır (bu, ayrıcalık yükseltme saldırılarını önleyebilir).
PAM
Yazı: Linux Hacktricks PAM Yazı: https://theevilbit.github.io/beyond/beyond_0005/
Konum
Her zaman root gereklidir
Açıklama & Sömürü
PAM, kalıcılık ve kötü amaçlı yazılımlara daha fazla odaklandığı için, bu blog detaylı bir açıklama vermeyecek, bu tekniği daha iyi anlamak için yazıları okuyun.
PAM modüllerini kontrol etmek için:
Bir kalıcılık/ayrım yükseltme tekniği PAM'ı istismar etmek, /etc/pam.d/sudo modülünü değiştirmek kadar kolaydır; başına şu satırı ekleyerek:
Böyle bir şeye benziyor:
Ve bu nedenle sudo kullanma girişimi çalışacaktır.
Bu dizinin TCC tarafından korunduğunu unutmayın, bu nedenle kullanıcının erişim izni istemesi olasıdır.
Başka güzel bir örnek ise su'dur, burada PAM modüllerine parametreler vermenin de mümkün olduğunu görebilirsiniz (ve bu dosyayı da arka kapı ile değiştirebilirsiniz):
Authorization Plugins
Writeup: https://theevilbit.github.io/beyond/beyond_0028/ Writeup: https://posts.specterops.io/persistent-credential-theft-with-authorization-plugins-d17b34719d65
Sandbox'ı atlatmak için yararlıdır: 🟠
Ancak root olmanız ve ek yapılandırmalar yapmanız gerekir
TCC atlatma: ???
Location
/Library/Security/SecurityAgentPlugins/Root gereklidir
Eklentiyi kullanmak için yetkilendirme veritabanının da yapılandırılması gerekir
Description & Exploitation
Kullanıcı giriş yaptığında çalışacak bir yetkilendirme eklentisi oluşturabilirsiniz. Bu eklentilerden birini nasıl oluşturacağınız hakkında daha fazla bilgi için önceki yazılara göz atın (ve dikkatli olun, kötü yazılmış bir eklenti sizi kilitleyebilir ve mac'inizi kurtarma modundan temizlemeniz gerekebilir).
Taşı paketi yüklenecek konuma:
Son olarak, bu Eklentiyi yüklemek için kuralı ekleyin:
evaluate-mechanisms yetkilendirme çerçevesine harici bir yetkilendirme mekanizmasını çağırması gerektiğini söyleyecektir. Ayrıca, privileged bunun root tarafından çalıştırılmasını sağlayacaktır.
Bunu tetiklemek için:
Ve ardından staff grubunun sudo erişimine sahip olması gerekir (doğrulamak için /etc/sudoers dosyasını okuyun).
Man.conf
Yazı: https://theevilbit.github.io/beyond/beyond_0030/
Sandbox'ı atlatmak için yararlıdır: 🟠
Ancak root olmanız ve kullanıcının man kullanması gerekir
TCC atlatma: 🔴
Konum
/private/etc/man.confRoot gereklidir
/private/etc/man.conf: Man kullanıldığında
Açıklama & Sömürü
Yapılandırma dosyası /private/etc/man.conf, man belgelerini açarken kullanılacak ikili/dosya yolunu belirtir. Bu nedenle, yürütülebilir dosyanın yolu değiştirilerek, kullanıcı man ile bazı belgeleri okuduğunda bir arka kapının çalıştırılması sağlanabilir.
Örneğin /private/etc/man.conf içinde ayarlayın:
Ve ardından /tmp/view oluşturun:
Apache2
Yazı: https://theevilbit.github.io/beyond/beyond_0023/
Sandbox'ı atlatmak için yararlıdır: 🟠
Ancak root olmanız ve apache'nin çalışıyor olması gerekir
TCC atlatma: 🔴
Httpd'nin yetkileri yoktur
Konum
/etc/apache2/httpd.confRoot gereklidir
Tetikleyici: Apache2 başlatıldığında
Açıklama & Sömürü
/etc/apache2/httpd.conf dosyasında bir modül yüklemek için aşağıdaki gibi bir satır ekleyebilirsiniz:
Bu şekilde derlenmiş modülleriniz Apache tarafından yüklenecektir. Tek gereken, ya geçerli bir Apple sertifikası ile imzalamanız, ya da sistemde yeni bir güvenilir sertifika eklemeniz ve bunu imzalamanızdır.
Sonra, gerekirse, sunucunun başlatılmasını sağlamak için şunu çalıştırabilirsiniz:
Dylb için kod örneği:
BSM denetim çerçevesi
Writeup: https://theevilbit.github.io/beyond/beyond_0031/
Sandbox'ı atlatmak için yararlıdır: 🟠
Ancak root olmanız, auditd'nin çalışıyor olması ve bir uyarı oluşturmanız gerekir
TCC atlatma: 🔴
Konum
/etc/security/audit_warnRoot gereklidir
Tetikleyici: auditd bir uyarı tespit ettiğinde
Açıklama & Sömürü
auditd her uyarı tespit ettiğinde /etc/security/audit_warn dosyası çalıştırılır. Bu nedenle, yükünüzü buna ekleyebilirsiniz.
You could force a warning with sudo audit -n.
Startup Items
Bu artık kullanılmıyor, bu nedenle bu dizinlerde hiçbir şey bulunmamalıdır.
StartupItem, ya /Library/StartupItems/ ya da /System/Library/StartupItems/ dizininde konumlandırılması gereken bir dizindir. Bu dizin oluşturulduktan sonra, iki belirli dosyayı içermelidir:
Bir rc script: Başlangıçta çalıştırılan bir shell script.
Özellikle
StartupParameters.plistadı verilen bir plist dosyası, çeşitli yapılandırma ayarlarını içerir.
Başlangıç sürecinin bunları tanıyıp kullanabilmesi için hem rc script hem de StartupParameters.plist dosyasının StartupItem dizini içinde doğru bir şekilde yerleştirildiğinden emin olun.
emond
Bu bileşeni macOS'ümde bulamıyorum, bu yüzden daha fazla bilgi için yazıya bakın
Yazı: https://theevilbit.github.io/beyond/beyond_0023/
Apple tarafından tanıtılan emond, gelişmemiş veya muhtemelen terkedilmiş gibi görünen bir günlükleme mekanizmasıdır, ancak yine de erişilebilir durumdadır. Bir Mac yöneticisi için özellikle faydalı olmasa da, bu belirsiz hizmet, tehdit aktörleri için ince bir kalıcılık yöntemi olarak hizmet edebilir ve muhtemelen çoğu macOS yöneticisi tarafından fark edilmez.
Var olduğunun farkında olanlar için, emond'un herhangi bir kötüye kullanımını tespit etmek oldukça basittir. Bu hizmetin sisteminin LaunchDaemon'ı, çalıştırılacak betikleri tek bir dizinde arar. Bunu incelemek için aşağıdaki komut kullanılabilir:
XQuartz
Writeup: https://theevilbit.github.io/beyond/beyond_0018/
Location
/opt/X11/etc/X11/xinit/privileged_startx.dRoot gerekli
Tetikleyici: XQuartz ile
Description & Exploit
XQuartz artık macOS'ta yüklü değil, bu yüzden daha fazla bilgi istiyorsanız yazıya bakın.
kext
Kext'i kök olarak yüklemek o kadar karmaşık ki, bunu sandbox'lardan kaçmak veya kalıcılık için düşünmeyeceğim (bir exploit'iniz yoksa).
Location
Bir KEXT'i başlangıç öğesi olarak yüklemek için, aşağıdaki konumlardan birine yüklenmesi gerekir:
/System/Library/ExtensionsOS X işletim sistemine entegre edilmiş KEXT dosyaları.
/Library/Extensionsparti yazılımlar tarafından yüklenen KEXT dosyaları
Mevcut yüklü kext dosyalarını listelemek için:
For more information about kernel extensions check this section.
amstoold
Writeup: https://theevilbit.github.io/beyond/beyond_0029/
Location
/usr/local/bin/amstooldRoot required
Description & Exploitation
Görünüşe göre /System/Library/LaunchAgents/com.apple.amstoold.plist dosyasındaki plist, bir XPC servisi sunarken bu ikiliyi kullanıyordu... sorun şu ki, ikili mevcut değildi, bu yüzden oraya bir şey yerleştirebilir ve XPC servisi çağrıldığında ikilinizin çağrılmasını sağlayabilirsiniz.
Artık bunu macOS'ümde bulamıyorum.
xsanctl
Writeup: https://theevilbit.github.io/beyond/beyond_0015/
Location
/Library/Preferences/Xsan/.xsanrcRoot required
Trigger: Servis çalıştırıldığında (nadiren)
Description & exploit
Görünüşe göre bu scripti çalıştırmak pek yaygın değil ve ben bile macOS'ümde bulamadım, bu yüzden daha fazla bilgi istiyorsanız yazıyı kontrol edin.
/etc/rc.common
Bu modern MacOS sürümlerinde çalışmıyor
Ayrıca burada başlangıçta çalıştırılacak komutlar yerleştirmek mümkündür. Örnek olarak düzenli rc.common scripti:
Süreklilik teknikleri ve araçları
Last updated
