macOS Installers Abuse
Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica Hacking en GCP:
HackTricks Training GCP Red Team Expert (GRTE)
Información Básica del Paquete
Un paquete de instalador de macOS (también conocido como archivo .pkg
) es un formato de archivo utilizado por macOS para distribuir software. Estos archivos son como una caja que contiene todo lo que una pieza de software necesita para instalarse y funcionar correctamente.
El archivo del paquete en sí es un archivo comprimido que contiene una jerarquía de archivos y directorios que se instalarán en la computadora objetivo. También puede incluir scripts para realizar tareas antes y después de la instalación, como configurar archivos de configuración o limpiar versiones antiguas del software.
Jerarquía
![https://www.youtube.com/watch?v=iASSG0_zobQ](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2730383215-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FOGiU7XValBchYYDg6h1H%252Fuploads%252Fgit-blob-50ee5e9f3a49a2b9bffb0eb1f4eca9d43c197ee4%252FPasted%2520Graphic.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=9e6ef1b5&sv=1)
Distribución (xml): Personalizaciones (título, texto de bienvenida…) y verificaciones de script/instalación
PackageInfo (xml): Información, requisitos de instalación, ubicación de instalación, rutas a scripts a ejecutar
Lista de materiales (bom): Lista de archivos para instalar, actualizar o eliminar con permisos de archivo
Carga útil (archivo CPIO comprimido con gzip): Archivos para instalar en la
install-location
desde PackageInfoScripts (archivo CPIO comprimido con gzip): Scripts de pre y post instalación y más recursos extraídos a un directorio temporal para su ejecución.
Descomprimir
Para visualizar el contenido del instalador sin descomprimirlo manualmente, también puedes usar la herramienta gratuita Suspicious Package.
Información Básica de DMG
Los archivos DMG, o Imágenes de Disco de Apple, son un formato de archivo utilizado por macOS de Apple para imágenes de disco. Un archivo DMG es esencialmente una imagen de disco montable (contiene su propio sistema de archivos) que contiene datos de bloques en bruto, típicamente comprimidos y a veces cifrados. Cuando abres un archivo DMG, macOS lo monta como si fuera un disco físico, permitiéndote acceder a su contenido.
Ten en cuenta que los instaladores .dmg
soportan tantos formatos que en el pasado algunos de ellos que contenían vulnerabilidades fueron abusados para obtener ejecución de código en el kernel.
Jerarquía
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2730383215-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FOGiU7XValBchYYDg6h1H%252Fuploads%252Fgit-blob-1a73a04a7e418b6825679c0d55f529c7360da2f5%252Fimage%2520%28225%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=31c9736d&sv=1)
La jerarquía de un archivo DMG puede ser diferente según el contenido. Sin embargo, para los DMGs de aplicaciones, generalmente sigue esta estructura:
Nivel Superior: Esta es la raíz de la imagen de disco. A menudo contiene la aplicación y posiblemente un enlace a la carpeta de Aplicaciones.
Aplicación (.app): Esta es la aplicación real. En macOS, una aplicación es típicamente un paquete que contiene muchos archivos y carpetas individuales que componen la aplicación.
Enlace de Aplicaciones: Este es un acceso directo a la carpeta de Aplicaciones en macOS. El propósito de esto es facilitarte la instalación de la aplicación. Puedes arrastrar el archivo .app a este acceso directo para instalar la aplicación.
Privesc a través del abuso de pkg
Ejecución desde directorios públicos
Si un script de pre o post instalación está, por ejemplo, ejecutándose desde /var/tmp/Installerutil
, un atacante podría controlar ese script para escalar privilegios cada vez que se ejecute. O otro ejemplo similar:
AuthorizationExecuteWithPrivileges
Esta es una función pública que varios instaladores y actualizadores llamarán para ejecutar algo como root. Esta función acepta la ruta del archivo a ejecutar como parámetro; sin embargo, si un atacante pudiera modificar este archivo, podrá abusar de su ejecución con root para escalar privilegios.
Para más información, consulta esta charla: https://www.youtube.com/watch?v=lTOItyjTTkw
Ejecución mediante montaje
Si un instalador escribe en /tmp/fixedname/bla/bla
, es posible crear un montaje sobre /tmp/fixedname
sin propietarios para que puedas modificar cualquier archivo durante la instalación y abusar del proceso de instalación.
Un ejemplo de esto es CVE-2021-26089 que logró sobrescribir un script periódico para obtener ejecución como root. Para más información, echa un vistazo a la charla: OBTS v4.0: "Mount(ain) of Bugs" - Csaba Fitzl
pkg como malware
Carga útil vacía
Es posible generar un .pkg
archivo con scripts de pre y post-instalación sin ninguna carga útil real aparte del malware dentro de los scripts.
JS en xml de distribución
Es posible agregar <script>
etiquetas en el archivo xml de distribución del paquete y ese código se ejecutará y puede ejecutar comandos usando system.run
:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2730383215-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FOGiU7XValBchYYDg6h1H%252Fuploads%252Fgit-blob-d0cfa4151beb130101e7ff8624a331aff10da60d%252Fimage%2520%281043%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=3325c223&sv=1)
Instalador con puerta trasera
Instalador malicioso usando un script y código JS dentro de dist.xml
Referencias
Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica Hacking en GCP:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated