macOS Dangerous Entitlements & TCC perms
Last updated
Last updated
AWS Hacking öğrenin ve pratik yapın:HackTricks Eğitim AWS Kırmızı Takım Uzmanı (ARTE) GCP Hacking öğrenin ve pratik yapın: HackTricks Eğitim GCP Kırmızı Takım Uzmanı (GRTE)
com.apple ile başlayan yetkilerin üçüncü taraflara sunulmadığını, yalnızca Apple'ın bunları verebileceğini unutmayın.
com.apple.rootless.install.heritableYetki com.apple.rootless.install.heritable, SIP'yi atlamaya izin verir. Daha fazla bilgi için bunu kontrol edin.
com.apple.rootless.installYetki com.apple.rootless.install, SIP'yi atlamaya izin verir. Daha fazla bilgi için bunu kontrol edin.
com.apple.system-task-ports (önceden task_for_pid-allow olarak adlandırılıyordu)Bu yetki, çekirdek hariç herhangi bir süreç için görev portunu almayı sağlar. Daha fazla bilgi için bunu kontrol edin.
com.apple.security.get-task-allowBu yetki, com.apple.security.cs.debugger yetkisine sahip diğer süreçlerin, bu yetkiye sahip ikili dosya tarafından çalıştırılan sürecin görev portunu almasına ve kod enjekte etmesine izin verir. Daha fazla bilgi için bunu kontrol edin.
com.apple.security.cs.debuggerDebugging Tool Yetkisine sahip uygulamalar, Get Task Allow yetkisi true olarak ayarlanmış imzasız ve üçüncü taraf uygulamalar için geçerli bir görev portu almak üzere task_for_pid() çağrısı yapabilir. Ancak, debugging tool yetkisi ile bile, bir debugger Get Task Allow yetkisine sahip olmayan süreçlerin görev portlarını alamaz ve bu nedenle Sistem Bütünlüğü Koruması tarafından korunur. Daha fazla bilgi için bunu kontrol edin.
com.apple.security.cs.disable-library-validationBu yetki, Apple tarafından imzalanmamış veya ana yürütücü ile aynı Takım Kimliği ile imzalanmamış çerçeveleri, eklentileri veya kütüphaneleri yüklemeye izin verir, bu nedenle bir saldırgan bazı keyfi kütüphane yüklemelerini kötüye kullanarak kod enjekte edebilir. Daha fazla bilgi için bunu kontrol edin.
com.apple.private.security.clear-library-validationBu yetki, com.apple.security.cs.disable-library-validation ile çok benzer, ancak doğrudan kütüphane doğrulamasını devre dışı bırakmak yerine, sürecin bunu devre dışı bırakmak için bir csops sistem çağrısı yapmasına izin verir.
Daha fazla bilgi için bunu kontrol edin.
com.apple.security.cs.allow-dyld-environment-variablesBu yetki, kütüphaneleri ve kodu enjekte etmek için kullanılabilecek DYLD ortam değişkenlerini kullanmaya izin verir. Daha fazla bilgi için bunu kontrol edin.
com.apple.private.tcc.manager veya com.apple.rootless.storage.TCCBu bloga göre ve bu bloga göre, bu yetkiler TCC veritabanını değiştirmeye izin verir.
system.install.apple-software ve system.install.apple-software.standar-userBu yetkiler, kullanıcıdan izin istemeden yazılım yüklemeye izin verir, bu da yetki yükseltme için faydalı olabilir.
com.apple.private.security.kext-managementBir çekirdek uzantısını yüklemek için çekirdekten talepte bulunmak için gereken yetki.
com.apple.private.icloud-account-accessYetki com.apple.private.icloud-account-access, com.apple.iCloudHelper XPC servisi ile iletişim kurmayı sağlar ve bu da iCloud token'ları sağlar.
iMovie ve Garageband bu yetkiye sahipti.
Bu yetkiden icloud token'ları almak için istismar hakkında daha fazla bilgi için konuşmayı kontrol edin: #OBTS v5.0: "Mac'inizde Olan, Apple'ın iCloud'unda Kalır?!" - Wojciech Regula
com.apple.private.tcc.manager.check-by-audit-tokenTODO: Bunun neye izin verdiğini bilmiyorum
com.apple.private.apfs.revert-to-snapshotTODO: bu raporda bu, bir yeniden başlatmadan sonra SSV korumalı içerikleri güncellemek için kullanılabileceği belirtiliyor. Bunu nasıl yaptığını biliyorsanız bir PR gönderin lütfen!
com.apple.private.apfs.create-sealed-snapshotTODO: bu raporda bu, bir yeniden başlatmadan sonra SSV korumalı içerikleri güncellemek için kullanılabileceği belirtiliyor. Bunu nasıl yaptığını biliyorsanız bir PR gönderin lütfen!
keychain-access-groupsBu yetki, uygulamanın erişim sağladığı anahtar zinciri gruplarını listeler:
kTCCServiceSystemPolicyAllFilesTam Disk Erişimi izinlerini verir, sahip olabileceğiniz TCC'nin en yüksek izinlerinden biridir.
kTCCServiceAppleEventsUygulamanın, görevleri otomatikleştirmek için yaygın olarak kullanılan diğer uygulamalara olaylar göndermesine izin verir. Diğer uygulamaları kontrol ederek, bu diğer uygulamalara verilen izinleri kötüye kullanabilir.
Kullanıcıdan şifresini istemelerini sağlamak gibi:
Veya keyfi eylemler gerçekleştirmelerini sağlamak.
kTCCServiceEndpointSecurityClientDiğer izinlerin yanı sıra, kullanıcıların TCC veritabanını yazmalarına izin verir.
kTCCServiceSystemPolicySysAdminFilesBir kullanıcının ev dizin yolu değiştiren NFSHomeDirectory niteliğini değiştirmeye izin verir ve böylece TCC'yi atlatmayı sağlar.
kTCCServiceSystemPolicyAppBundlesUygulama paketinin içindeki dosyaları (app.app içinde) değiştirmeye izin verir, bu varsayılan olarak yasaktır.
Bu erişime sahip olanları kontrol etmek mümkündür Sistem Ayarları > Gizlilik ve Güvenlik > Uygulama Yönetimi.
kTCCServiceAccessibilitySüreç, macOS erişilebilirlik özelliklerini istismar edebilecektir, bu da örneğin tuş vuruşlarını basabilmesi anlamına gelir. Bu nedenle, Finder gibi bir uygulamayı kontrol etmek için erişim talep edebilir ve bu izinle onaylayabilir.
com.apple.security.cs.allow-jitBu yetki, mmap() sistem fonksiyonuna MAP_JIT bayrağını geçirerek yazılabilir ve çalıştırılabilir bellek oluşturmayı sağlar. Daha fazla bilgi için bunu kontrol edin.
com.apple.security.cs.allow-unsigned-executable-memoryBu yetki, C kodunu geçersiz kılmaya veya yamanmaya izin verir, uzun süredir kullanılmayan NSCreateObjectFileImageFromMemory (temelde güvensizdir) veya DVDPlayback çerçevesini kullanabilir. Daha fazla bilgi için bunu kontrol edin.
Bu yetkiyi dahil etmek, uygulamanızı bellek-güvenli olmayan kod dillerindeki yaygın güvenlik açıklarına maruz bırakır. Uygulamanızın bu istisnaya ihtiyacı olup olmadığını dikkatlice değerlendirin.
com.apple.security.cs.disable-executable-page-protectionBu yetki, diskteki kendi çalıştırılabilir dosyalarının bölümlerini değiştirmeye izin verir. Daha fazla bilgi için bunu kontrol edin.
Çalıştırılabilir Bellek Koruma Yetkisini Devre Dışı Bırakmak, uygulamanızdan temel bir güvenlik korumasını kaldıran aşırı bir yetkidir ve bir saldırganın uygulamanızın çalıştırılabilir kodunu tespit edilmeden yeniden yazmasını mümkün kılar. Mümkünse daha dar yetkileri tercih edin.
com.apple.security.cs.allow-relative-library-loadsTODO
com.apple.private.nullfs_allowBu yetki, bir nullfs dosya sistemini (varsayılan olarak yasak) bağlamaya izin verir. Araç: mount_nullfs.
kTCCServiceAllBu blog yazısına göre, bu TCC izni genellikle şu şekilde bulunur:
İşlemin tüm TCC izinlerini istemesine izin verin.
kTCCServicePostEventAWS Hacking'i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE) GCP Hacking'i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)
