macOS Auto Start
AWSハッキングの学習と実践:HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングの学習と実践:
HackTricks Training GCP Red Team Expert (GRTE)
このセクションは、ブログシリーズBeyond the good ol' LaunchAgentsに基づいており、目標はAutostart Locationsを追加し、最新バージョンのmacOS(13.4)で動作しているテクニックを示し、必要な権限を指定することです。
サンドボックス回避
ここでは、サンドボックス回避に役立つ起動場所を見つけることができます。これにより、ファイルに書き込んで、非常に一般的な アクション、決まった時間、または通常サンドボックス内でルート権限を必要とせずに実行できるアクションを待機することができます。
Launchd
場所
/Library/LaunchAgents
トリガー: 再起動
ルート権限が必要
/Library/LaunchDaemons
トリガー: 再起動
ルート権限が必要
/System/Library/LaunchAgents
トリガー: 再起動
ルート権限が必要
/System/Library/LaunchDaemons
トリガー: 再起動
ルート権限が必要
~/Library/LaunchAgents
トリガー: 再ログイン
~/Library/LaunchDemons
トリガー: 再ログイン
興味深い事実として、**launchd
**には、他のよく知られたサービスを含むMach-oセクション__Text.__config
に埋め込まれたプロパティリストがあります。さらに、これらのサービスにはRequireSuccess
、RequireRun
、RebootOnSuccess
が含まれており、これらは実行され、正常に完了する必要があることを意味します。
もちろん、コード署名のため変更できません。
説明と悪用
launchd
は、起動時にOX Sカーネルによって最初に実行される最初のプロセスであり、シャットダウン時に終了する最後のプロセスです。常にPID 1を持っているべきです。このプロセスは、ASEP プリストに示された構成を読み取り、実行します。
/Library/LaunchAgents
: 管理者によってインストールされたユーザーごとのエージェント/Library/LaunchDaemons
: 管理者によってインストールされたシステム全体のデーモン/System/Library/LaunchAgents
: Appleによって提供されるユーザーごとのエージェント/System/Library/LaunchDaemons
: Appleによって提供されるシステム全体のデーモン
ユーザーがログインすると、/Users/$USER/Library/LaunchAgents
および/Users/$USER/Library/LaunchDemons
にあるプリストがログインしたユーザーの権限で開始されます。
エージェントとデーモンの主な違いは、エージェントはユーザーがログインすると読み込まれ、デーモンはシステムの起動時に読み込まれることです(システムにアクセスする前にsshなどのサービスが実行される必要があるため)。また、エージェントはGUIを使用する場合があり、デーモンはバックグラウンドで実行する必要があります。
ユーザーがログインする前にエージェントを実行する必要があるケースがあります。これらはPreLoginAgentsと呼ばれます。たとえば、これはログイン時に支援技術を提供するのに役立ちます。これらは/Library/LaunchAgents
にも見つけることができます(こちらを参照)。
新しいデーモンやエージェントの構成ファイルは、次回の再起動後またはlaunchctl load <target.plist>
を使用してロードされます。.plist
の拡張子なしで.plist
ファイルをロードすることも可能ですが、(ただし、これらの.plist
ファイルは再起動後に自動的にロードされません)。
launchctl unload <target.plist>
でアンロードすることも可能です(それを指すプロセスは終了します)。
エージェントまたはデーモンが実行されるのを妨げるもの(オーバーライドなど)がないことを確認**するには、次のコマンドを実行します:sudo launchctl load -w /System/Library/LaunchDaemons/com.apple.smdb.plist
現在のユーザーによってロードされているすべてのエージェントとデーモンをリストアップします:
もしplistがユーザーに所有されている場合、それがデーモンシステムワイドフォルダにあっても、タスクはユーザーとして実行され、rootとして実行されません。これにより特定の特権昇格攻撃を防ぐことができます。
launchdについての詳細
launchd
は最初のユーザーモードプロセスであり、カーネルから起動されます。プロセスの開始は成功していなければならず、終了したりクラッシュしたりしてはいけません。さらに、一部の終了シグナルに対しても保護されています。
launchd
が最初に行うことの1つは、次のようなすべてのデーモンを起動することです:
時間ベースのタイマーデーモン:
atd (
com.apple.atrun.plist
):StartInterval
は30分crond (
com.apple.systemstats.daily.plist
):StartCalendarInterval
は00:15に開始
ネットワークデーモン:
org.cups.cups-lpd
: TCPでリッスン(SockType: stream
)し、SockServiceName: printer
SockServiceNameはポートまたは
/etc/services
からのサービスである必要がありますcom.apple.xscertd.plist
: ポート1640でTCPでリッスン
指定されたパスが変更されたときに実行されるパスデーモン:
com.apple.postfix.master
: パス/etc/postfix/aliases
をチェック
IOKit通知デーモン:
com.apple.xartstorageremoted
:"com.apple.iokit.matching" => { "com.apple.device-attach" => { "IOMatchLaunchStream" => 1 ...
Machポート:
com.apple.xscertd-helper.plist
:MachServices
エントリにcom.apple.xscertd.helper
という名前が示されています
UserEventAgent:
これは前述のものとは異なります。特定のイベントに応答してlaunchdがアプリを生成するためのものです。ただし、この場合、関与するメインバイナリは
launchd
ではなく/usr/libexec/UserEventAgent
です。各プラグインは、XPCEventModuleInitializer
キーまたは古いプラグインの場合はInfo.plist
のCFPluginFactories
辞書内のキーFB86416D-6164-2070-726F-70735C216EC0
で初期化子を示します。
シェルの起動ファイル
解説: https://theevilbit.github.io/beyond/beyond_0001/ 解説 (xterm): https://theevilbit.github.io/beyond/beyond_0018/
ロケーション
~/.zshrc
,~/.zlogin
,~/.zshenv.zwc
,~/.zshenv
,~/.zprofile
トリガー: zshでターミナルを開く
/etc/zshenv
,/etc/zprofile
,/etc/zshrc
,/etc/zlogin
トリガー: zshでターミナルを開く
ルート権限が必要
~/.zlogout
トリガー: zshでターミナルを終了する
/etc/zlogout
トリガー: zshでターミナルを終了する
ルート権限が必要
他にもあるかもしれない:
man zsh
~/.bashrc
トリガー: bashでターミナルを開く
/etc/profile
(動作しなかった)~/.profile
(動作しなかった)~/.xinitrc
,~/.xserverrc
,/opt/X11/etc/X11/xinit/xinitrc.d/
トリガー: xtermでトリガーされることが期待されていますが、インストールされていません。インストール後もこのエラーが発生します: xterm:
DISPLAY is not set
説明と悪用
zsh
やbash
などのシェル環境を初期化するとき、特定の起動ファイルが実行されます。現在のmacOSではデフォルトのシェルとして/bin/zsh
が使用されています。このシェルは、Terminalアプリケーションが起動されたときやデバイスがSSH経由でアクセスされたときに自動的にアクセスされます。bash
やsh
もmacOSに存在しますが、使用するには明示的に呼び出す必要があります。
man zsh
で読むことができるzshのmanページには、起動ファイルに関する詳細な説明があります。
再オープンされたアプリケーション
指定された悪用の設定とログアウト、ログイン、または再起動を行っても、アプリを実行できませんでした。(アプリが実行されていなかった可能性があります。これらのアクションが実行されるときに実行される必要があるかもしれません)
Writeup: https://theevilbit.github.io/beyond/beyond_0021/
位置
~/Library/Preferences/ByHost/com.apple.loginwindow.<UUID>.plist
トリガー: アプリケーションの再オープン時に再起動
説明と悪用
再オープンするすべてのアプリケーションは、plist ~/Library/Preferences/ByHost/com.apple.loginwindow.<UUID>.plist
内にあります。
したがって、再オープンされるアプリケーションに自分のアプリを起動させるには、アプリをリストに追加するだけです。
UUIDは、そのディレクトリをリストアップするか、ioreg -rd1 -c IOPlatformExpertDevice | awk -F'"' '/IOPlatformUUID/{print $4}'
で見つけることができます。
再オープンされるアプリケーションを確認するには、次の操作を行います:
このリストにアプリケーションを追加するには、次の方法を使用できます:
ターミナルの設定
位置
~/Library/Preferences/com.apple.Terminal.plist
トリガー: ターミナルを開く
説明と悪用
~/Library/Preferences
には、アプリケーション内のユーザーの設定が保存されています。これらの設定の一部には、他のアプリケーション/スクリプトを実行する構成が含まれることがあります。
たとえば、ターミナルは起動時にコマンドを実行できます:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F4226785378-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FpWAf1y9UWEMh8PEO1vPV%252Fuploads%252Fgit-blob-c566d0ca82e5f490c17897e171bd364166937b6a%252Fimage%2520%281148%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=bdae8df&sv=1)
この設定は、ファイル ~/Library/Preferences/com.apple.Terminal.plist
に次のように反映されます:
macOS自動起動場所
したがって、システム内のターミナルの設定ファイルが上書きされると、open
機能を使用してターミナルを開き、そのコマンドが実行される可能性があります。
これをCLIから追加することができます:
ターミナルスクリプト / その他のファイル拡張子
位置
どこでも
トリガー: ターミナルを開く
説明と悪用
**.terminal
**スクリプトを作成して開くと、ターミナルアプリケーションが自動的に起動され、そこで指定されたコマンドが実行されます。ターミナルアプリに特別な特権(TCCなど)がある場合、コマンドはその特別な特権で実行されます。
試してみてください:
オーディオプラグイン
解説: https://theevilbit.github.io/beyond/beyond_0013/ 解説: https://posts.specterops.io/audio-unit-plug-ins-896d3434a882
位置
/Library/Audio/Plug-Ins/HAL
ルート権限が必要
トリガー: coreaudiodまたはコンピューターを再起動
/Library/Audio/Plug-ins/Components
ルート権限が必要
トリガー: coreaudiodまたはコンピューターを再起動
~/Library/Audio/Plug-ins/Components
トリガー: coreaudiodまたはコンピューターを再起動
/System/Library/Components
ルート権限が必要
トリガー: coreaudiodまたはコンピューターを再起動
説明
以前の解説によると、いくつかのオーディオプラグインをコンパイルしてロードすることが可能です。
QuickLookプラグイン
解説: https://theevilbit.github.io/beyond/beyond_0028/
位置
/System/Library/QuickLook
/Library/QuickLook
~/Library/QuickLook
/Applications/AppNameHere/Contents/Library/QuickLook/
~/Applications/AppNameHere/Contents/Library/QuickLook/
説明と悪用
QuickLookプラグインは、ファイルのプレビューをトリガーし(Finderでファイルを選択してスペースバーを押す)、そのファイルタイプをサポートするプラグインがインストールされている場合に実行されます。
独自のQuickLookプラグインをコンパイルし、前述のいずれかの場所に配置してロードし、サポートされるファイルに移動してスペースを押してトリガーすることが可能です。
ログイン/ログアウトフック
私にはうまくいきませんでした。ユーザーログインフックでもルートログアウトフックでもありませんでした
解説: https://theevilbit.github.io/beyond/beyond_0022/
位置
defaults write com.apple.loginwindow LoginHook /Users/$USER/hook.sh
のようなコマンドを実行できる必要があります~/Library/Preferences/com.apple.loginwindow.plist
にあります
これらは非推奨ですが、ユーザーがログインするときにコマンドを実行するために使用できます。
この設定は/Users/$USER/Library/Preferences/com.apple.loginwindow.plist
に保存されています。
削除するには:
ルートユーザーは**/private/var/root/Library/Preferences/com.apple.loginwindow.plist
**に保存されています。
条件付きサンドボックスバイパス
ここでは、サンドボックスバイパスに役立つ起動場所を見つけることができます。これにより、ファイルに書き込んで単純に実行し、特定のインストールされたプログラム、"一般的でない"ユーザーのアクションや環境のような非常に一般的でない条件を期待することができます。
Cron
解説: https://theevilbit.github.io/beyond/beyond_0004/
場所
/usr/lib/cron/tabs/
,/private/var/at/tabs
,/private/var/at/jobs
,/etc/periodic/
直接書き込みアクセスにはルートが必要です。
crontab <file>
を実行できる場合はルートが不要ですトリガー: cronジョブに依存します
説明と悪用
現在のユーザーのcronジョブをリストアップする:
ユーザーのすべてのcronジョブは、**/usr/lib/cron/tabs/
と/var/at/tabs/
**で確認できます(root権限が必要です)。
MacOSでは、特定の頻度でスクリプトを実行するいくつかのフォルダが次の場所にあります:
以下では、通常のcron ジョブ、あまり使用されていないat ジョブ、および一時ファイルのクリーニングに主に使用されるperiodic ジョブが見つかります。 日次のperiodicジョブは、例えば次のように実行できます:periodic daily
。
ユーザーのcronジョブをプログラムで追加するには、次のようにすることができます:
iTerm2
Writeup: https://theevilbit.github.io/beyond/beyond_0002/
ロケーション
~/Library/Application Support/iTerm2/Scripts/AutoLaunch
トリガー: iTermを開く
~/Library/Application Support/iTerm2/Scripts/AutoLaunch.scpt
トリガー: iTermを開く
~/Library/Preferences/com.googlecode.iterm2.plist
トリガー: iTermを開く
説明とエクスプロイト
**~/Library/Application Support/iTerm2/Scripts/AutoLaunch
**に保存されたスクリプトが実行されます。例:
macOS Auto Start Locations
Launch Agents
Launch agents are used to run commands when a user logs in. They are stored in ~/Library/LaunchAgents/
and /Library/LaunchAgents/
.
Launch Daemons
Launch daemons are used to run commands at system startup. They are stored in /Library/LaunchDaemons/
.
Login Items
Login items are applications that open when a user logs in. They are managed in System Preferences
> Users & Groups
> Login Items
.
スクリプト ~/Library/Application Support/iTerm2/Scripts/AutoLaunch.scpt
も実行されます:
iTerm2の設定は**~/Library/Preferences/com.googlecode.iterm2.plist
にあり、iTerm2ターミナルが開かれるときに実行するコマンドを示す**ことができます。
この設定はiTerm2の設定で構成できます:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F4226785378-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FpWAf1y9UWEMh8PEO1vPV%252Fuploads%252Fgit-blob-f0efd5ebd2eeb079faf4a21e4e1a250abe5798f3%252Fimage%2520%2837%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=bc6101f4&sv=1)
そして、コマンドは設定に反映されます:
次のコマンドを実行するように設定できます:
iTerm2の設定を悪用する他の方法が非常に可能性が高いです。
xbar
解説: https://theevilbit.github.io/beyond/beyond_0007/
位置
~/Library/Application\ Support/xbar/plugins/
トリガー: xbarが実行されるとき
説明
人気のあるプログラム xbar がインストールされている場合、~/Library/Application\ Support/xbar/plugins/
にシェルスクリプトを記述することが可能で、xbarが起動されると実行されます。
Hammerspoon
解説: https://theevilbit.github.io/beyond/beyond_0008/
位置
~/.hammerspoon/init.lua
トリガー: Hammerspoonが実行されるとき
説明
Hammerspoon は、macOS向けの自動化プラットフォームとして機能し、LUAスクリプト言語を活用しています。特筆すべきは、完全なAppleScriptコードの統合とシェルスクリプトの実行をサポートしており、スクリプトの機能を大幅に向上させています。
このアプリは、単一のファイル~/.hammerspoon/init.lua
を探し、スクリプトが実行されます。
BetterTouchTool
ロケーション
~/Library/Application Support/BetterTouchTool/*
このツールは、特定のショートカットが押されたときにアプリケーションやスクリプトを実行するように指示することができます。攻撃者は、データベース内で自分自身のショートカットとアクションを設定して任意のコードを実行する可能性があります(ショートカットは単にキーを押すだけでも可能です)。
Alfred
ロケーション
???
特定の条件が満たされたときにコードを実行できるワークフローを作成することができます。攻撃者がワークフローファイルを作成し、Alfredがそれをロードする可能性があります(ワークフローを使用するにはプレミアムバージョンを購入する必要があります)。
SSHRC
解説: https://theevilbit.github.io/beyond/beyond_0006/
ロケーション
~/.ssh/rc
トリガー: ssh経由でログイン
/etc/ssh/sshrc
ルート権限が必要
トリガー: ssh経由でログイン
sshをオンにするにはFull Disk Accessが必要です:
説明 & Exploitation
デフォルトでは、/etc/ssh/sshd_config
内でPermitUserRC no
が指定されていない限り、ユーザーがSSH経由でログインすると、スクリプト**/etc/ssh/sshrc
と~/.ssh/rc
**が実行されます。
ログインアイテム
Writeup: https://theevilbit.github.io/beyond/beyond_0003/
ロケーション
~/Library/Application Support/com.apple.backgroundtaskmanagementagent
トリガー: ログイン
悪用ペイロードは**
osascript
**を呼び出して保存されています/var/db/com.apple.xpc.launchd/loginitems.501.plist
トリガー: ログイン
ルート権限が必要です
説明
システム環境設定 -> ユーザーとグループ -> ログイン項目には、ユーザーがログインするときに実行される項目があります。 これらをコマンドラインからリストアップ、追加、削除することが可能です。
これらのアイテムはファイル**~/Library/Application Support/com.apple.backgroundtaskmanagementagent
**に保存されています。
ログインアイテムは、API SMLoginItemSetEnabled を使用して指定することもでき、このAPIは構成を**/var/db/com.apple.xpc.launchd/loginitems.501.plist
**に保存します。
ZIPをログインアイテムとして設定
(ログインアイテムに関する前のセクションを確認してください、これは拡張です)
ZIPファイルをログインアイテムとして保存すると、**Archive Utility
がそれを開きます。たとえば、ZIPファイルが~/Library
に保存され、バックドアを含むLaunchAgents/file.plist
**というフォルダが含まれている場合、そのフォルダが作成され(デフォルトでは作成されません)、plistが追加されるため、次回ユーザーが再ログインすると、plistで指定されたバックドアが実行されます。
別のオプションとして、ユーザーのホームディレクトリに**.bash_profile
と.zshenv
**ファイルを作成することもできます。したがって、LaunchAgentsフォルダがすでに存在する場合でも、このテクニックは機能します。
At
解説: https://theevilbit.github.io/beyond/beyond_0014/
位置
at
を実行し、有効である必要があります
説明
at
タスクは、特定の時間に実行される一度だけのタスクをスケジュールするために設計されています。cronジョブとは異なり、at
タスクは自動的に実行後に削除されます。これらのタスクはシステム再起動を超えて永続的であるため、特定の条件下でセキュリティ上の懸念事項としてマークされることが重要です。
デフォルトでは無効ですが、rootユーザーは次のコマンドで有効にできます:
これは1時間後にファイルを作成します。
atq
を使用してジョブキューを確認します:
上記では2つのジョブがスケジュールされています。at -c JOBNUMBER
を使用してジョブの詳細を表示できます。
AT タスクが有効になっていない場合、作成されたタスクは実行されません。
ジョブファイルは/private/var/at/jobs/
にあります。
ファイル名には、キュー、ジョブ番号、および実行予定時刻が含まれています。例として、a0001a019bdcd2
を見てみましょう。
a
- これはキューです0001a
- 16進数でのジョブ番号、0x1a = 26
019bdcd2
- 16進数での時刻。エポックから経過した分を表します。0x019bdcd2
は10進数で26991826
です。これを60倍すると1619509560
になり、これはGMT: 2021年4月27日、火曜日7時46分00秒
です。
ジョブファイルを表示すると、at -c
を使用して取得した情報と同じであることがわかります。
フォルダアクション
解説: https://theevilbit.github.io/beyond/beyond_0024/ 解説: https://posts.specterops.io/folder-actions-for-persistence-on-macos-8923f222343d
サンドボックスをバイパスするのに便利: ✅
ただし、**
System Events
**に連絡するためにosascript
を引数付きで呼び出せる必要があり、フォルダアクションを構成できるようにする必要がありますTCCバイパス: 🟠
デスクトップ、ドキュメント、ダウンロードなど、いくつかの基本的なTCC権限があります
位置
/Library/Scripts/Folder Action Scripts
ルート権限が必要
トリガー: 指定されたフォルダへのアクセス
~/Library/Scripts/Folder Action Scripts
トリガー: 指定されたフォルダへのアクセス
説明と悪用
フォルダアクションは、フォルダ内の変更(アイテムの追加、削除、フォルダウィンドウの開いたりサイズ変更など)によって自動的にトリガーされるスクリプトです。これらのアクションはさまざまなタスクに利用でき、Finder UIやターミナルコマンドを使用してトリガーできます。
フォルダアクションを設定する方法には、次のオプションがあります:
Automatorを使用してフォルダアクションワークフローを作成し、サービスとしてインストールする。
フォルダのコンテキストメニューの「フォルダアクションの設定」を使用して、スクリプトを手動で添付する。
System Events.app
にAppleイベントメッセージを送信するためにOSAScriptを利用して、プログラムでフォルダアクションを設定する。
この方法は、アクションをシステムに埋め込んで持続性を提供するのに特に便利です。
以下のスクリプトは、フォルダアクションで実行できる例です:
上記のスクリプトをフォルダアクションで使用可能にするには、次のようにコンパイルします:
スクリプトがコンパイルされた後、以下のスクリプトを実行してフォルダアクションを設定します。このスクリプトは、フォルダアクションをグローバルに有効にし、特定に以前にコンパイルされたスクリプトをデスクトップフォルダにアタッチします。
次のコマンドでセットアップスクリプトを実行します:
これはGUIを介してこの永続性を実装する方法です:
これが実行されるスクリプトです:
次のコマンドでコンパイルします: osacompile -l JavaScript -o folder.scpt source.js
次の場所に移動します:
その後、Folder Actions Setup
アプリを開き、監視したいフォルダを選択し、あなたの場合は**folder.scpt
**を選択します(私の場合はoutput2.scpと呼びました):
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F4226785378-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FpWAf1y9UWEMh8PEO1vPV%252Fuploads%252Fgit-blob-611702103a7152abb55680816258245e36cfdea7%252Fimage%2520%2839%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=cd690492&sv=1)
これで、Finderでそのフォルダを開くと、スクリプトが実行されます。
この設定は、base64形式で保存された**~/Library/Preferences/com.apple.FolderActionsDispatcher.plist
**に格納されています。
次に、GUIアクセスなしでこの永続性を準備しよう:
**
~/Library/Preferences/com.apple.FolderActionsDispatcher.plist
**を/tmp
にバックアップする:cp ~/Library/Preferences/com.apple.FolderActionsDispatcher.plist /tmp
さっき設定したフォルダアクションを削除する:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F4226785378-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FpWAf1y9UWEMh8PEO1vPV%252Fuploads%252Fgit-blob-f406f44103746d2a61a3fe9cc5a2f777a2cda4a8%252Fimage%2520%2840%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=1d916b61&sv=1)
これで空の環境ができました
バックアップファイルをコピーする:
cp /tmp/com.apple.FolderActionsDispatcher.plist ~/Library/Preferences/
この設定を適用するためにFolder Actions Setup.appを開く:
open "/System/Library/CoreServices/Applications/Folder Actions Setup.app/"
私にはうまくいきませんでしたが、これがライティングアップからの指示です:(
ドックのショートカット
ライティングアップ: https://theevilbit.github.io/beyond/beyond_0027/
位置
~/Library/Preferences/com.apple.dock.plist
トリガー: ユーザーがドック内のアプリをクリックしたとき
説明と悪用
ドックに表示されるすべてのアプリケーションは、**~/Library/Preferences/com.apple.dock.plist
**内で指定されています。
アプリケーションを追加することが可能です:
いくつかのソーシャルエンジニアリングを使用して、ドック内でGoogle Chromeを例になりすまし、実際に独自のスクリプトを実行できます:
カラーピッカー
解説: https://theevilbit.github.io/beyond/beyond_0017
位置
/Library/ColorPickers
ルート権限が必要
トリガー: カラーピッカーを使用する
~/Library/ColorPickers
トリガー: カラーピッカーを使用する
説明とエクスプロイト
コードと一緒にカラーピッカーバンドルをコンパイルします(例: こちらを使用できます)そしてコンストラクタを追加します(スクリーンセーバーセクションのように)バンドルを~/Library/ColorPickers
にコピーします。
その後、カラーピッカーがトリガーされると、あなたのコードも実行されます。
あなたのライブラリを読み込むバイナリには非常に制限の厳しいサンドボックスがあることに注意してください: /System/Library/Frameworks/AppKit.framework/Versions/C/XPCServices/LegacyExternalColorPickerService-x86_64.xpc/Contents/MacOS/LegacyExternalColorPickerService-x86_64
Finder Sync Plugins
解説: https://theevilbit.github.io/beyond/beyond_0026/ 解説: https://objective-see.org/blog/blog_0x11.html
サンドボックスをバイパスするのに役立つ: いいえ、独自のアプリを実行する必要があるため
TCCバイパス: ???
位置
特定のアプリ
説明とエクスプロイト
Finder Sync Extensionを持つアプリケーションの例はこちらで見つけることができます。
アプリケーションにはFinder Sync Extensions
を持つことができます。この拡張機能は、実行されるアプリケーション内に配置されます。さらに、拡張機能がコードを実行できるようにするには、いくつかの有効なApple開発者証明書で署名されている必要があり、サンドボックス化されている必要があります(緩和された例外が追加される場合があります)、そして次のようなものに登録されている必要があります:
スクリーンセーバー
解説: https://theevilbit.github.io/beyond/beyond_0016/ 解説: https://posts.specterops.io/saving-your-access-d562bf5bf90b
位置
/System/Library/Screen Savers
ルート権限が必要
トリガー: スクリーンセーバーを選択
/Library/Screen Savers
ルート権限が必要
トリガー: スクリーンセーバーを選択
~/Library/Screen Savers
トリガー: スクリーンセーバーを選択
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F4226785378-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FpWAf1y9UWEMh8PEO1vPV%252Fuploads%252Fgit-blob-a0a303a2918653fdb759258887cd991f9c8bb391%252Fimage%2520%2838%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=7c560761&sv=1)
説明とエクスプロイト
Xcodeで新しいプロジェクトを作成し、新しいスクリーンセーバーを生成するためのテンプレートを選択します。次に、例えば以下のコードを追加してログを生成します。
それをビルドし、.saver
バンドルを**~/Library/Screen Savers
**にコピーします。その後、スクリーンセーバーGUIを開き、それをクリックするだけで多くのログが生成されるはずです:
このコードをロードするバイナリの権限情報(/System/Library/Frameworks/ScreenSaver.framework/PlugIns/legacyScreenSaver.appex/Contents/MacOS/legacyScreenSaver
)の中に com.apple.security.app-sandbox
があるため、一般的なアプリケーションサンドボックス内にいることになります。
Saver code:
Spotlightプラグイン
writeup: https://theevilbit.github.io/beyond/beyond_0011/
位置
~/Library/Spotlight/
トリガー: Spotlightプラグインで管理される拡張子の新しいファイルが作成されます。
/Library/Spotlight/
トリガー: Spotlightプラグインで管理される拡張子の新しいファイルが作成されます。
ルート権限が必要です
/System/Library/Spotlight/
トリガー: Spotlightプラグインで管理される拡張子の新しいファイルが作成されます。
ルート権限が必要です
Some.app/Contents/Library/Spotlight/
トリガー: Spotlightプラグインで管理される拡張子の新しいファイルが作成されます。
新しいアプリが必要です
説明と悪用
SpotlightはmacOSの組み込み検索機能で、ユーザーにコンピュータ上のデータへの迅速かつ包括的なアクセスを提供するよう設計されています。 この迅速な検索機能を可能にするために、Spotlightは独自のデータベースを維持し、ほとんどのファイルを解析してインデックスを作成し、ファイル名とその内容の両方を素早く検索できるようにします。
Spotlightの基本的なメカニズムには、'mds'という中央プロセスが関与しており、これは**'メタデータサーバ'の略です。このプロセスはSpotlightサービス全体を統括します。これに加えて、複数の 'mdworker'デーモンがさまざまなメンテナンスタスクを実行します。これらのタスクは、異なるファイルタイプをインデックス化するなどの作業を可能にします(ps -ef | grep mdworker
)。これらのタスクは、Spotlightインポータープラグインまたは".mdimporterバンドル**"によって実珵され、これによりSpotlightはさまざまなファイル形式全体のコンテンツを理解してインデックス化できます。
プラグインまたは**.mdimporter
バンドルは以前に言及された場所にあり、新しいバンドルが現れるとすぐにロードされます(サービスの再起動は不要)。これらのバンドルは、管理できるファイルタイプと拡張子**を示さなければならず、このようにして、Spotlightは指定された拡張子の新しいファイルが作成されたときにそれらを使用します。
すべてのmdimporters
を見つけることが可能です。
例えば、/Library/Spotlight/iBooksAuthor.mdimporterは、これらの種類のファイル(拡張子.iba
および.book
など)を解析するために使用されます:
他の mdimporter
の Plist をチェックすると、UTTypeConformsTo
エントリが見つからないかもしれません。これは組み込みの Uniform Type Identifiers (UTI) であり、拡張子を指定する必要がないためです。
さらに、システムのデフォルトプラグインが常に優先されるため、攻撃者は Apple の mdimporters
によってインデックス付けされていないファイルにのみアクセスできます。
独自のインポータを作成するには、このプロジェクトから始めることができます: https://github.com/megrimm/pd-spotlight-importer、その後、名前を変更し、CFBundleDocumentTypes
を追加し、UTImportedTypeDeclarations
を追加してサポートしたい拡張子をサポートし、schema.xml
でそれらを反映させます。
その後、GetMetadataForFile
関数のコードを変更して、処理された拡張子を持つファイルが作成されたときにペイロードを実行します。
最後に、新しい .mdimporter
をビルドしてコピーし、以前の場所の1つに配置し、ログを監視するか、mdimport -L.
をチェックしてロードされているかどうかを確認できます。
Preference Pane
これはもう機能していないようです。
解説: https://theevilbit.github.io/beyond/beyond_0009/
位置
/System/Library/PreferencePanes
/Library/PreferencePanes
~/Library/PreferencePanes
説明
これはもう機能していないようです。
Root Sandbox Bypass
ここでは、サンドボックス回避 に役立つスタート位置を見つけることができます。ファイルに書き込むことで 単純に何かを実行できる root であることや他の 奇妙な条件 が必要です。
定期的
解説: https://theevilbit.github.io/beyond/beyond_0019/
位置
/etc/periodic/daily
,/etc/periodic/weekly
,/etc/periodic/monthly
,/usr/local/etc/periodic
root 権限が必要
トリガー: 時間が来たとき
/etc/daily.local
,/etc/weekly.local
または/etc/monthly.local
root 権限が必要
トリガー: 時間が来たとき
説明と悪用
定期的なスクリプト (/etc/periodic
) は /System/Library/LaunchDaemons/com.apple.periodic*
で構成された launch daemons によって実行されます。/etc/periodic/
に保存されたスクリプトはファイルの所有者として 実行 されるため、潜在的な特権昇格には機能しません。
他にも実行される定期的なスクリプトがあり、/etc/defaults/periodic.conf
に記載されています。
macOS Auto Start Locations
Launch Agents
Launch Agents are used to run processes when a user logs in. They are located in the following directories:
/Library/LaunchAgents/
/System/Library/LaunchAgents/
/Users/username/Library/LaunchAgents/
Launch Daemons
Launch Daemons are used to run processes at system boot or login. They are located in the following directories:
/Library/LaunchDaemons/
/System/Library/LaunchDaemons/
Login Items
Login Items are applications that open when a user logs in. They can be managed in System Preferences > Users & Groups > Login Items.
したのように見えるでしょう:
したがって、sudo
を使用しようとする試みはすべて成功します。
このディレクトリはTCCによって保護されているため、ユーザーにアクセスを求めるプロンプトが表示される可能性が非常に高いです。
認可プラグイン
解説: https://theevilbit.github.io/beyond/beyond_0028/ 解説: https://posts.specterops.io/persistent-credential-theft-with-authorization-plugins-d17b34719d65
サンドボックスをバイパスするのに便利: 🟠
ただし、rootである必要があり、追加の設定が必要です
TCCバイパス: ???
位置
/Library/Security/SecurityAgentPlugins/
root権限が必要
プラグインを使用するために認可データベースを構成する必要があります
説明と悪用
ユーザーがログインするときに実行される認可プラグインを作成して、持続性を維持することができます。これらのプラグインの作成方法の詳細については、以前の解説を確認してください(悪く書かれたプラグインはロックアウトの原因となり、回復モードからMacをクリーンアップする必要があります)。
バンドルをロードされる場所に移動します:
最後に、このプラグインをロードするルールを追加してください。
**evaluate-mechanisms
は、認可フレームワークに、認可のために外部メカニズムを呼び出す必要があることを伝えます。さらに、privileged
**は、それをrootによって実行されるようにします。
以下のようにトリガーします:
そして、スタッフグループにはsudoアクセス権が必要です(/etc/sudoers
を読んで確認してください)。
Man.conf
解説: https://theevilbit.github.io/beyond/beyond_0030/
位置
/private/etc/man.conf
root権限が必要
/private/etc/man.conf
: manが使用されるたび
説明とエクスプロイト
構成ファイル**/private/etc/man.conf
**は、manドキュメントファイルを開く際に使用するバイナリ/スクリプトを示しています。したがって、実行可能ファイルへのパスを変更すると、ユーザーがmanを使用してドキュメントを読むたびにバックドアが実行されます。
たとえば、**/private/etc/man.conf
**に設定されています:
そして、/tmp/view
を以下のように作成します:
Apache2
解説: https://theevilbit.github.io/beyond/beyond_0023/
位置
/etc/apache2/httpd.conf
root権限が必要
トリガー: Apache2が起動されたとき
説明とエクスプロイト
/etc/apache2/httpd.conf
にモジュールをロードするよう指示することができます。次のような行を追加します:
これにより、Apache によってコンパイルされたモジュールがロードされます。唯一の注意点は、有効な Apple 証明書で署名するか、システムに新しい信頼された証明書を追加して、それで署名する必要があることです。
その後、サーバーが起動することを確認する必要がある場合は、次のコマンドを実行できます:
Dylbのコード例:
BSM監査フレームワーク
解説: https://theevilbit.github.io/beyond/beyond_0031/
位置
/etc/security/audit_warn
root権限が必要
トリガー: auditdが警告を検出したとき
説明とエクスプロイト
auditdが警告を検出すると、スクリプト /etc/security/audit_warn
が 実行 されます。したがって、ペイロードを追加することができます。
スタートアップアイテム
これは非推奨ですので、これらのディレクトリには何も見つかるべきではありません。
StartupItem は、/Library/StartupItems/
または /System/Library/StartupItems/
のいずれかに配置されるべきディレクトリです。このディレクトリが確立されると、次の2つの特定のファイルを含む必要があります:
rc スクリプト: 起動時に実行されるシェルスクリプト。
plist ファイル、特に
StartupParameters.plist
という名前のファイルで、さまざまな構成設定を含みます。
スタートアッププロセスがこれらを認識して利用するために、rc スクリプトと StartupParameters.plist
ファイルが正しく StartupItem ディレクトリ内に配置されていることを確認してください。
macOS Auto Start Locations
macOS provides several locations where programs can be configured to automatically start when a user logs in. These auto-start locations can be abused by malware to maintain persistence on a system. It is important to regularly check these locations for any suspicious entries.
Launch Agents
Location:
/Library/LaunchAgents
and~/Library/LaunchAgents
Description: Launch agents are used to run programs when a user logs in.
Check: Look for any unfamiliar
.plist
files in these directories.
Launch Daemons
Location:
/Library/LaunchDaemons
and/System/Library/LaunchDaemons
Description: Launch daemons are system-wide services that run regardless of which user is logged in.
Check: Review the
.plist
files in these directories for legitimacy.
Login Items
Location: System Preferences > Users & Groups > Login Items
Description: Login items are programs that open automatically when a user logs in.
Check: Check the list of login items for any unknown or suspicious entries.
Startup Items
Location:
/Library/StartupItems
Description: Startup items are legacy items that automatically start during the boot process.
Check: Verify the contents of this directory for any unnecessary or malicious items.
By monitoring and managing these auto-start locations, you can reduce the risk of malware infections and unauthorized access to your system.
emond
macOSにこのコンポーネントが見つかりませんので、詳細については解説をご確認ください
解説: https://theevilbit.github.io/beyond/beyond_0023/
Appleによって導入されたemondは、未開発または放棄された可能性があるが、アクセス可能なままであるというロギングメカニズムです。Macの管理者にとって特に有益ではありませんが、この不明瞭なサービスは、脅威アクターにとって微妙な持続性手法として機能する可能性があり、おそらくほとんどのmacOS管理者には気付かれないでしょう。
その存在を認識している人にとって、emondの悪用を特定することは簡単です。このサービスのLaunchDaemonは、実行するスクリプトを単一のディレクトリで検索します。これを調査するために、次のコマンドを使用できます:
XQuartz
Writeup: https://theevilbit.github.io/beyond/beyond_0018/
ロケーション
/opt/X11/etc/X11/xinit/privileged_startx.d
ルート権限が必要
トリガー: XQuartzを使用する場合
説明とエクスプロイト
XQuartzはmacOSにはもはやインストールされていないため、詳細についてはWriteupを参照してください。
kext
kextをルートとしてインストールするのは非常に複雑であり、サンドボックスからの脱出や持続性のためにこれを考慮することはしません(エクスプロイトがある場合を除く)
ロケーション
KEXTを起動アイテムとしてインストールするには、次のいずれかの場所にインストールする必要があります:
/System/Library/Extensions
OS Xオペレーティングシステムに組み込まれたKEXTファイル。
/Library/Extensions
サードパーティ製ソフトウェアによってインストールされたKEXTファイル
現在ロードされているkextファイルをリストアップするには、以下を使用できます:
カーネル拡張機能に関する詳細は、このセクションをチェックしてください。
amstoold
解説: https://theevilbit.github.io/beyond/beyond_0029/
位置
/usr/local/bin/amstoold
ルート権限が必要
説明とエクスプロイト
明らかに、/System/Library/LaunchAgents/com.apple.amstoold.plist
からのplist
は、このバイナリを使用していましたが、バイナリが存在しなかったため、そこに何かを配置し、XPCサービスが呼び出されるときにバイナリが呼び出されるようにすることができました。
私のmacOSではこれを見つけることができなくなりました。
xsanctl
解説: https://theevilbit.github.io/beyond/beyond_0015/
位置
/Library/Preferences/Xsan/.xsanrc
ルート権限が必要
トリガー: サービスが実行されるとき(稀)
説明とエクスプロイト
このスクリプトを実行することはあまり一般的ではないようで、私のmacOSでも見つけることができませんでした。詳細については、解説をチェックしてください。
/etc/rc.common
これは現代のMacOSバージョンでは機能しません
ここには起動時に実行されるコマンドを配置することも可能です。 通常のrc.commonスクリプトの例:
持続性の技術とツール
AWSハッキングの学習と練習:HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングの学習と練習:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated