अपने हैकिंग ट्रिक्स साझा करें, HackTricks और HackTricks Cloud github repos में PRs सबमिट करके।
XPC अधिकारीकरण
एप्पल ने भी प्रस्तावित किया है कि किसी एक्सपोज़्ड XPC मेथड को कॉल करने की अनुमति हैकिंग करने के लिए कनेक्ट करने वाले प्रक्रिया के पास है या नहीं को सत्यापित करने के लिए एक और तरीका प्रस्तुत किया है।
जब एक एप्लिकेशन को विशेषाधिकारी उपयोगकर्ता के रूप में कार्रवाई करनी होती है, तो एक विशेषाधिकारी उपकरण के रूप में XPC सेवा के रूप में एक HelperTool को रूट के रूप में स्थापित करने की बजाय, आम तौर पर एक XPC सेवा के रूप में चलाता है जिसे एप्लिकेशन से उन कार्रवाइयों को करने के लिए कॉल किया जा सकता है। हालांकि, सेवा को कॉल करने वाली एप्लिकेशन के पास पर्याप्त अधिकार होने चाहिए।
ShouldAcceptNewConnection हमेशा YES
एक उदाहरण EvenBetterAuthorizationSample में पाया जा सकता है। App/AppDelegate.m में यह HelperTool से कनेक्ट करने की कोशिश करता है। और HelperTool/HelperTool.m में फ़ंक्शन shouldAcceptNewConnection किसी भी पूर्व निर्दिष्ट आवश्यकताओं की जांच नहीं करेगा। यह हमेशा YES लौटाएगा:
- (BOOL)listener:(NSXPCListener *)listener shouldAcceptNewConnection:(NSXPCConnection *)newConnection
// Called by our XPC listener when a new connection comes in. We configure the connection
// with our protocol and ourselves as the main object.
{
assert(listener == self.listener);
#pragma unused(listener)
assert(newConnection != nil);
newConnection.exportedInterface = [NSXPCInterface interfaceWithProtocol:@protocol(HelperToolProtocol)];
newConnection.exportedObject = self;
[newConnection resume];
return YES;
}
इस जाँच को सही ढंग से कैसे कॉन्फ़िगर करने के बारे में अधिक जानकारी के लिए:
हालांकि, **जब HelperTool से कोई विधि कॉल की जाती है तो कुछ **अधिकारीकरण हो रहा है।
App/AppDelegate.m से applicationDidFinishLaunching फ़ंक्शन एप्लिकेशन को शुरू होने के बाद एक खाली अधिकारीकरण संदर्भ बनाएगा। यह हमेशा काम करना चाहिए।
फिर, वह उस अधिकारीकरण संदर्भ में कुछ अधिकार जोड़ने की कोशिश करेगा setupAuthorizationRights को कॉल करके:
- (void)applicationDidFinishLaunching:(NSNotification *)note
{
[...]
err = AuthorizationCreate(NULL, NULL, 0, &self->_authRef);
if (err == errAuthorizationSuccess) {
err = AuthorizationMakeExternalForm(self->_authRef, &extForm);
}
if (err == errAuthorizationSuccess) {
self.authorization = [[NSData alloc] initWithBytes:&extForm length:sizeof(extForm)];
}
assert(err == errAuthorizationSuccess);
// If we successfully connected to Authorization Services, add definitions for our default
// rights (unless they're already in the database).
if (self->_authRef) {
[Common setupAuthorizationRights:self->_authRef];
}
[self.window makeKeyAndOrderFront:self];
}
फ़ंक्शन setupAuthorizationRightsCommon/Common.m से एप्लिकेशन के अधिकारों को ऑथ डेटाबेस /var/db/auth.db में स्टोर करेगा। ध्यान दें कि यह केवल उन अधिकारों को जो अभी तक डेटाबेस में नहीं हैं जोड़ेगा।
+ (void)setupAuthorizationRights:(AuthorizationRef)authRef
// See comment in header.
{
assert(authRef != NULL);
[Common enumerateRightsUsingBlock:^(NSString * authRightName, id authRightDefault, NSString * authRightDesc) {
OSStatus blockErr;
// First get the right. If we get back errAuthorizationDenied that means there's
// no current definition, so we add our default one.
blockErr = AuthorizationRightGet([authRightName UTF8String], NULL);
if (blockErr == errAuthorizationDenied) {
blockErr = AuthorizationRightSet(
authRef, // authRef
[authRightName UTF8String], // rightName
(__bridge CFTypeRef) authRightDefault, // rightDefinition
(__bridge CFStringRef) authRightDesc, // descriptionKey
NULL, // bundle (NULL implies main bundle)
CFSTR("Common") // localeTableName
);
assert(blockErr == errAuthorizationSuccess);
} else {
// A right already exists (err == noErr) or any other error occurs, we
// assume that it has been set up in advance by the system administrator or
// this is the second time we've run. Either way, there's nothing more for
// us to do.
}
}];
}
फ़ंक्शन enumerateRightsUsingBlock वह एक है जिसका उपयोग अनुप्रयोगों की अनुमतियों को प्राप्त करने के लिए किया जाता है, जो commandInfo में परिभाषित हैं:
static NSString * kCommandKeyAuthRightName = @"authRightName";
static NSString * kCommandKeyAuthRightDefault = @"authRightDefault";
static NSString * kCommandKeyAuthRightDesc = @"authRightDescription";
+ (NSDictionary *)commandInfo
{
static dispatch_once_t sOnceToken;
static NSDictionary * sCommandInfo;
dispatch_once(&sOnceToken, ^{
sCommandInfo = @{
NSStringFromSelector(@selector(readLicenseKeyAuthorization:withReply:)) : @{
kCommandKeyAuthRightName : @"com.example.apple-samplecode.EBAS.readLicenseKey",
kCommandKeyAuthRightDefault : @kAuthorizationRuleClassAllow,
kCommandKeyAuthRightDesc : NSLocalizedString(
@"EBAS is trying to read its license key.",
@"prompt shown when user is required to authorize to read the license key"
)
},
NSStringFromSelector(@selector(writeLicenseKey:authorization:withReply:)) : @{
kCommandKeyAuthRightName : @"com.example.apple-samplecode.EBAS.writeLicenseKey",
kCommandKeyAuthRightDefault : @kAuthorizationRuleAuthenticateAsAdmin,
kCommandKeyAuthRightDesc : NSLocalizedString(
@"EBAS is trying to write its license key.",
@"prompt shown when user is required to authorize to write the license key"
)
},
NSStringFromSelector(@selector(bindToLowNumberPortAuthorization:withReply:)) : @{
kCommandKeyAuthRightName : @"com.example.apple-samplecode.EBAS.startWebService",
kCommandKeyAuthRightDefault : @kAuthorizationRuleClassAllow,
kCommandKeyAuthRightDesc : NSLocalizedString(
@"EBAS is trying to start its web service.",
@"prompt shown when user is required to authorize to start the web service"
)
}
};
});
return sCommandInfo;
}
+ (NSString *)authorizationRightForCommand:(SEL)command
// See comment in header.
{
return [self commandInfo][NSStringFromSelector(command)][kCommandKeyAuthRightName];
}
+ (void)enumerateRightsUsingBlock:(void (^)(NSString * authRightName, id authRightDefault, NSString * authRightDesc))block
// Calls the supplied block with information about each known authorization right..
{
[self.commandInfo enumerateKeysAndObjectsUsingBlock:^(id key, id obj, BOOL *stop) {
#pragma unused(key)
#pragma unused(stop)
NSDictionary * commandDict;
NSString * authRightName;
id authRightDefault;
NSString * authRightDesc;
// If any of the following asserts fire it's likely that you've got a bug
// in sCommandInfo.
commandDict = (NSDictionary *) obj;
assert([commandDict isKindOfClass:[NSDictionary class]]);
authRightName = [commandDict objectForKey:kCommandKeyAuthRightName];
assert([authRightName isKindOfClass:[NSString class]]);
authRightDefault = [commandDict objectForKey:kCommandKeyAuthRightDefault];
assert(authRightDefault != nil);
authRightDesc = [commandDict objectForKey:kCommandKeyAuthRightDesc];
assert([authRightDesc isKindOfClass:[NSString class]]);
block(authRightName, authRightDefault, authRightDesc);
}];
}
इसका मतलब है कि इस प्रक्रिया के अंत में, commandInfo में घोषित अनुमतियाँ /var/db/auth.db में स्टोर की जाएंगी। ध्यान दें कि वहां आप प्रत्येक विधि के लिए जो प्रमाणीकरण की आवश्यकता होगी, अनुमति नाम और kCommandKeyAuthRightDefault मिलेगा। अंतिम वाला इसे कौन प्राप्त कर सकता है दर्शाता है।
एक अधिकार को कौन पहुंच सकता है यह दिखाने के लिए विभिन्न scope हैं। इनमें से कुछ AuthorizationDB.h में परिभाषित हैं (आप इनमें से सभी को यहाँ पा सकते हैं), लेकिन सारांश में:
नाम
मान
विवरण
kAuthorizationRuleClassAllow
allow
कोई भी
kAuthorizationRuleClassDeny
deny
कोई नहीं
kAuthorizationRuleIsAdmin
is-admin
वर्तमान उपयोगकर्ता को एडमिन होना चाहिए (एडमिन समूह के अंदर)
kAuthorizationRuleAuthenticateAsSessionUser
authenticate-session-owner
उपयोगकर्ता से प्रमाणित करें।
kAuthorizationRuleAuthenticateAsAdmin
authenticate-admin
उपयोगकर्ता से प्रमाणित करें। उसे एडमिन होना चाहिए (एडमिन समूह के अंदर)
kAuthorizationRightRule
rule
नियम निर्दिष्ट करें
kAuthorizationComment
comment
अधिक टिप्पणियाँ निर्दिष्ट करें
अधिकार सत्यापन
HelperTool/HelperTool.m में फ़ंक्शन readLicenseKeyAuthorization यह जांचता है कि कॉलर को ऐसी विधि को निष्पादित करने की अधिकृतता है या नहीं, फ़ंक्शन checkAuthorization को कॉल करके। यह फ़ंक्शन जांचेगा कि कॉलिंग प्रक्रिया द्वारा भेजे गए authData में सही प्रारूप है और फिर यह जांचेगा कि विशेष विधि को कॉल करने के लिए क्या आवश्यक है। अगर सब कुछ ठीक होता है तो वापसी गई errornil होगी:
- (NSError *)checkAuthorization:(NSData *)authData command:(SEL)command
{
[...]
// First check that authData looks reasonable.
error = nil;
if ( (authData == nil) || ([authData length] != sizeof(AuthorizationExternalForm)) ) {
error = [NSError errorWithDomain:NSOSStatusErrorDomain code:paramErr userInfo:nil];
}
// Create an authorization ref from that the external form data contained within.
if (error == nil) {
err = AuthorizationCreateFromExternalForm([authData bytes], &authRef);
// Authorize the right associated with the command.
if (err == errAuthorizationSuccess) {
AuthorizationItem oneRight = { NULL, 0, NULL, 0 };
AuthorizationRights rights = { 1, &oneRight };
oneRight.name = [[Common authorizationRightForCommand:command] UTF8String];
assert(oneRight.name != NULL);
err = AuthorizationCopyRights(
authRef,
&rights,
NULL,
kAuthorizationFlagExtendRights | kAuthorizationFlagInteractionAllowed,
NULL
);
}
if (err != errAuthorizationSuccess) {
error = [NSError errorWithDomain:NSOSStatusErrorDomain code:err userInfo:nil];
}
}
if (authRef != NULL) {
junk = AuthorizationFree(authRef, 0);
assert(junk == errAuthorizationSuccess);
}
return error;
}
ध्यान दें कि सही को पुकारने के लिए आवश्यकताएं जांचने के लिए उस विधि को बुलाने का अधिकार प्राप्त करने के लिए फ़ंक्शन authorizationRightForCommand बस पहले टिप्पणी वस्तु commandInfo की जांच करेगा। फिर, यह AuthorizationCopyRights को बुलाएगा कि क्या उसमें अधिकार है वह फ़ंक्शन को बुलाने के लिए (ध्यान दें कि झंडे उपयोगकर्ता के साथ बातचीत की अनुमति देते हैं)।
इस मामले में, फ़ंक्शन readLicenseKeyAuthorization को बुलाने के लिए kCommandKeyAuthRightDefault को @kAuthorizationRuleClassAllow के रूप में परिभाषित किया गया है। इसलिए कोई भी इसे बुला सकता है।
डीबी सूचना
यह उल्लेख किया गया था कि यह सूचना /var/db/auth.db में संग्रहित है। आप सभी संग्रहित नियमों की सूची देख सकते हैं:
आप सभी अनुमति विन्यासयहाँ पा सकते हैं, लेकिन उन संयोजनों में से जो उपयोगकर्ता संवाद की आवश्यकता नहीं करेंगे वे होंगे:
'authenticate-user': 'false'
यह सबसे सीधी कुंजी है। यदि इसे false पर सेट किया गया है, तो इससे स्पष्ट होता है कि एक उपयोगकर्ता को इस अधिकार प्राप्त करने के लिए प्रमाणीकरण प्रदान करने की आवश्यकता नहीं है।
यह एक या दो नीचे दिए गए के साथ संयोजन में उपयोग किया जाता है या उस समूह को दर्शाता है जिसमें उपयोगकर्ता शामिल होना चाहिए।
'allow-root': 'true'
यदि एक उपयोगकर्ता जब root उपयोगकर्ता के रूप में कार्य कर रहा है (जिसके पास उच्च अनुमतियाँ होती हैं), और यह कुंजी true पर सेट की गई है, तो root उपयोगकर्ता इस अधिकार को और प्रमाणीकरण के बिना प्राप्त कर सकता है। हालांकि, सामान्यत: root उपयोगकर्ता स्थिति तक पहुंचने के लिए पहले से ही प्रमाणीकरण की आवश्यकता होती है, इसलिए यह अधिकांश उपयोगकर्ताओं के लिए "कोई प्रमाणीकरण नहीं" स्थिति नहीं है।
'session-owner': 'true'
यदि true पर सेट किया गया है, तो सत्र के मालिक (वर्तमान में लॉग इन किए गए उपयोगकर्ता) खुद से इस अधिकार को स्वचालित रूप से प्राप्त करेगा। यदि उपयोगकर्ता पहले से ही लॉग इन है, तो यह अतिरिक्त प्रमाणीकरण को छलने की संभावना है।
'shared': 'true'
यह कुंजी प्रमाणीकरण के बिना अधिकार प्रदान नहीं करती। इसके बजाय, यदि इसे true पर सेट किया गया है, तो इसका अर्थ है कि एक बार अधिकार प्रमाणित हो जाने के बाद, इसे कई प्रक्रियाओं के बीच साझा किया जा सकता है बिना हर एक को पुनः प्रमाणीकरण की आवश्यकता हो। लेकिन अधिकार की प्रारंभिक प्रदान में प्रमाणीकरण की आवश्यकता होगी यदि इसे अन्य कुंजियों के साथ जैसे 'authenticate-user': 'false' के साथ मिलाकर नहीं किया गया है।
जांचें कि क्या EvenBetterAuthorization का उपयोग हो रहा है
यदि आपको फ़ंक्शन मिलता है: [HelperTool checkAuthorization:command:] तो संभावना है कि प्रक्रिया पहले उल्लिखित प्रमाणीकरण योजना का उपयोग कर रही है:
इसके बाद, यदि यह फ़ंक्शन AuthorizationCreateFromExternalForm, authorizationRightForCommand, AuthorizationCopyRights, AuhtorizationFree जैसे फ़ंक्शन को बुलाता है, तो यह EvenBetterAuthorizationSample का उपयोग कर रहा है।
यह देखने के लिए /var/db/auth.db की जाँच करें कि क्या संभावना है कि उपयोगकर्ता संवाद के बिना कुछ विशेष एक्शन को बुलाने की अनुमति मिल सकती है।
प्रोटोकॉल संचार
फिर, आपको XPC सेवा के साथ संचार स्थापित करने की क्षमता होने के लिए प्रोटोकॉल योजना खोजनी होगी।
फ़ंक्शन shouldAcceptNewConnection प्रोटोकॉल को निर्यात करने की सूचित करता है:
इस मामले में, हमारे पास EvenBetterAuthorizationSample में जैसा ही है, इस लाइन की जाँच करें।
उपयोग किए जाने वाले प्रोटोकॉल का नाम जानकर, यह संभव है कि आप इसकी हेडर परिभाषा को डंप करें:
