Apple은 연결된 프로세스가 노출된 XPC 메서드를 호출할 수 있는 권한이 있는지 인증하는 또 다른 방법을 제안합니다.
응용 프로그램이 특권 사용자로서 작업을 실행해야 할 때, 일반적으로 응용 프로그램을 특권 사용자로 실행하는 대신, 해당 작업을 수행하기 위해 응용 프로그램에서 호출할 수 있는 XPC 서비스로서 HelperTool을 루트로 설치합니다. 그러나 서비스를 호출하는 응용 프로그램은 충분한 권한을 가져야 합니다.
ShouldAcceptNewConnection 항상 YES
예제는 EvenBetterAuthorizationSample에서 찾을 수 있습니다. App/AppDelegate.m에서 HelperTool에 연결하려고 시도합니다. 그리고 HelperTool/HelperTool.m에서 shouldAcceptNewConnection 함수는 이전에 언급된 요구 사항을 확인하지 않습니다. 항상 YES를 반환합니다:
- (BOOL)listener:(NSXPCListener *)listener shouldAcceptNewConnection:(NSXPCConnection *)newConnection
// Called by our XPC listener when a new connection comes in. We configure the connection
// with our protocol and ourselves as the main object.
{
assert(listener == self.listener);
#pragma unused(listener)
assert(newConnection != nil);
newConnection.exportedInterface = [NSXPCInterface interfaceWithProtocol:@protocol(HelperToolProtocol)];
newConnection.exportedObject = self;
[newConnection resume];
return YES;
}
App/AppDelegate.m의 applicationDidFinishLaunching 함수는 앱이 시작된 후 빈 권한 참조를 생성합니다. 이는 항상 작동해야 합니다.
그런 다음, setupAuthorizationRights를 호출하여 해당 권한 참조에 일부 권한을 추가하려고 시도합니다:
- (void)applicationDidFinishLaunching:(NSNotification *)note
{
[...]
err = AuthorizationCreate(NULL, NULL, 0, &self->_authRef);
if (err == errAuthorizationSuccess) {
err = AuthorizationMakeExternalForm(self->_authRef, &extForm);
}
if (err == errAuthorizationSuccess) {
self.authorization = [[NSData alloc] initWithBytes:&extForm length:sizeof(extForm)];
}
assert(err == errAuthorizationSuccess);
// If we successfully connected to Authorization Services, add definitions for our default
// rights (unless they're already in the database).
if (self->_authRef) {
[Common setupAuthorizationRights:self->_authRef];
}
[self.window makeKeyAndOrderFront:self];
}
Common/Common.m의 setupAuthorizationRights 함수는 애플리케이션의 권한을 /var/db/auth.db의 인증 데이터베이스에 저장합니다. 데이터베이스에 아직 없는 권한만 추가된다는 점에 유의하십시오:
+ (void)setupAuthorizationRights:(AuthorizationRef)authRef
// See comment in header.
{
assert(authRef != NULL);
[Common enumerateRightsUsingBlock:^(NSString * authRightName, id authRightDefault, NSString * authRightDesc) {
OSStatus blockErr;
// First get the right. If we get back errAuthorizationDenied that means there's
// no current definition, so we add our default one.
blockErr = AuthorizationRightGet([authRightName UTF8String], NULL);
if (blockErr == errAuthorizationDenied) {
blockErr = AuthorizationRightSet(
authRef, // authRef
[authRightName UTF8String], // rightName
(__bridge CFTypeRef) authRightDefault, // rightDefinition
(__bridge CFStringRef) authRightDesc, // descriptionKey
NULL, // bundle (NULL implies main bundle)
CFSTR("Common") // localeTableName
);
assert(blockErr == errAuthorizationSuccess);
} else {
// A right already exists (err == noErr) or any other error occurs, we
// assume that it has been set up in advance by the system administrator or
// this is the second time we've run. Either way, there's nothing more for
// us to do.
}
}];
}
함수 enumerateRightsUsingBlock는 commandInfo에 정의된 애플리케이션 권한을 가져오는 데 사용됩니다:
static NSString * kCommandKeyAuthRightName = @"authRightName";
static NSString * kCommandKeyAuthRightDefault = @"authRightDefault";
static NSString * kCommandKeyAuthRightDesc = @"authRightDescription";
+ (NSDictionary *)commandInfo
{
static dispatch_once_t sOnceToken;
static NSDictionary * sCommandInfo;
dispatch_once(&sOnceToken, ^{
sCommandInfo = @{
NSStringFromSelector(@selector(readLicenseKeyAuthorization:withReply:)) : @{
kCommandKeyAuthRightName : @"com.example.apple-samplecode.EBAS.readLicenseKey",
kCommandKeyAuthRightDefault : @kAuthorizationRuleClassAllow,
kCommandKeyAuthRightDesc : NSLocalizedString(
@"EBAS is trying to read its license key.",
@"prompt shown when user is required to authorize to read the license key"
)
},
NSStringFromSelector(@selector(writeLicenseKey:authorization:withReply:)) : @{
kCommandKeyAuthRightName : @"com.example.apple-samplecode.EBAS.writeLicenseKey",
kCommandKeyAuthRightDefault : @kAuthorizationRuleAuthenticateAsAdmin,
kCommandKeyAuthRightDesc : NSLocalizedString(
@"EBAS is trying to write its license key.",
@"prompt shown when user is required to authorize to write the license key"
)
},
NSStringFromSelector(@selector(bindToLowNumberPortAuthorization:withReply:)) : @{
kCommandKeyAuthRightName : @"com.example.apple-samplecode.EBAS.startWebService",
kCommandKeyAuthRightDefault : @kAuthorizationRuleClassAllow,
kCommandKeyAuthRightDesc : NSLocalizedString(
@"EBAS is trying to start its web service.",
@"prompt shown when user is required to authorize to start the web service"
)
}
};
});
return sCommandInfo;
}
+ (NSString *)authorizationRightForCommand:(SEL)command
// See comment in header.
{
return [self commandInfo][NSStringFromSelector(command)][kCommandKeyAuthRightName];
}
+ (void)enumerateRightsUsingBlock:(void (^)(NSString * authRightName, id authRightDefault, NSString * authRightDesc))block
// Calls the supplied block with information about each known authorization right..
{
[self.commandInfo enumerateKeysAndObjectsUsingBlock:^(id key, id obj, BOOL *stop) {
#pragma unused(key)
#pragma unused(stop)
NSDictionary * commandDict;
NSString * authRightName;
id authRightDefault;
NSString * authRightDesc;
// If any of the following asserts fire it's likely that you've got a bug
// in sCommandInfo.
commandDict = (NSDictionary *) obj;
assert([commandDict isKindOfClass:[NSDictionary class]]);
authRightName = [commandDict objectForKey:kCommandKeyAuthRightName];
assert([authRightName isKindOfClass:[NSString class]]);
authRightDefault = [commandDict objectForKey:kCommandKeyAuthRightDefault];
assert(authRightDefault != nil);
authRightDesc = [commandDict objectForKey:kCommandKeyAuthRightDesc];
assert([authRightDesc isKindOfClass:[NSString class]]);
block(authRightName, authRightDefault, authRightDesc);
}];
}
이것은 이 프로세스의 끝에서 commandInfo 내에 선언된 권한이 /var/db/auth.db에 저장된다는 것을 의미합니다. 인증이 필요한 각 메서드에 대해 권한 이름과 **kCommandKeyAuthRightDefault**를 찾을 수 있습니다. 후자는 누가 이 권한을 얻을 수 있는지를 나타냅니다.
HelperTool/HelperTool.m에서 함수 **readLicenseKeyAuthorization**는 호출자가 해당 메서드를 실행할 수 있는 권한이 있는지 확인하기 위해 함수 **checkAuthorization**을 호출합니다. 이 함수는 호출 프로세스에서 전송된 authData가 올바른 형식인지 확인한 다음 특정 메서드를 호출하기 위해 필요한 것이 무엇인지 확인합니다. 모든 것이 잘 진행되면 반환된 error는 nil이 됩니다:
- (NSError *)checkAuthorization:(NSData *)authData command:(SEL)command
{
[...]
// First check that authData looks reasonable.
error = nil;
if ( (authData == nil) || ([authData length] != sizeof(AuthorizationExternalForm)) ) {
error = [NSError errorWithDomain:NSOSStatusErrorDomain code:paramErr userInfo:nil];
}
// Create an authorization ref from that the external form data contained within.
if (error == nil) {
err = AuthorizationCreateFromExternalForm([authData bytes], &authRef);
// Authorize the right associated with the command.
if (err == errAuthorizationSuccess) {
AuthorizationItem oneRight = { NULL, 0, NULL, 0 };
AuthorizationRights rights = { 1, &oneRight };
oneRight.name = [[Common authorizationRightForCommand:command] UTF8String];
assert(oneRight.name != NULL);
err = AuthorizationCopyRights(
authRef,
&rights,
NULL,
kAuthorizationFlagExtendRights | kAuthorizationFlagInteractionAllowed,
NULL
);
}
if (err != errAuthorizationSuccess) {
error = [NSError errorWithDomain:NSOSStatusErrorDomain code:err userInfo:nil];
}
}
if (authRef != NULL) {
junk = AuthorizationFree(authRef, 0);
assert(junk == errAuthorizationSuccess);
}
return error;
}
Note that to check the requirements to get the right to call that method the function authorizationRightForCommand will just check the previously comment object commandInfo. Then, it will call AuthorizationCopyRights to check if it has the rights to call the function (note that the flags allow interaction with the user).
이 경우, 함수 readLicenseKeyAuthorization를 호출하기 위해 kCommandKeyAuthRightDefault는 @kAuthorizationRuleClassAllow로 정의됩니다. 그래서 누구나 호출할 수 있습니다.
DB 정보
이 정보는 /var/db/auth.db에 저장된다고 언급되었습니다. 저장된 모든 규칙을 나열하려면:
You can find 모든 권한 구성여기에서 확인할 수 있지만, 사용자 상호작용이 필요하지 않은 조합은 다음과 같습니다:
'authenticate-user': 'false'
이것은 가장 직접적인 키입니다. false로 설정하면 사용자가 이 권리를 얻기 위해 인증을 제공할 필요가 없음을 지정합니다.
이는 아래의 2개 중 하나와 조합하여 사용되거나 사용자가 속해야 하는 그룹을 나타내는 데 사용됩니다.
'allow-root': 'true'
사용자가 루트 사용자로 작동하고(상승된 권한을 가진), 이 키가 true로 설정되면 루트 사용자가 추가 인증 없이 이 권리를 얻을 수 있습니다. 그러나 일반적으로 루트 사용자 상태에 도달하려면 이미 인증이 필요하므로 대부분의 사용자에게는 "인증 없음" 시나리오는 아닙니다.
'session-owner': 'true'
true로 설정하면 세션의 소유자(현재 로그인한 사용자)가 자동으로 이 권리를 얻습니다. 사용자가 이미 로그인한 경우 추가 인증을 우회할 수 있습니다.
'shared': 'true'
이 키는 인증 없이 권한을 부여하지 않습니다. 대신, true로 설정되면 권한이 인증된 후 여러 프로세스 간에 공유될 수 있으며 각 프로세스가 다시 인증할 필요가 없습니다. 그러나 권한의 초기 부여는 여전히 인증이 필요하며, 'authenticate-user': 'false'와 같은 다른 키와 결합되지 않는 한 그렇습니다.
If you find the function: [HelperTool checkAuthorization:command:] it's probably the the process is using the previously mentioned schema for authorization:
이 경우, 이 함수가 AuthorizationCreateFromExternalForm, authorizationRightForCommand, AuthorizationCopyRights, AuhtorizationFree와 같은 함수를 호출하고 있다면, EvenBetterAuthorizationSample을 사용하고 있는 것입니다.
**/var/db/auth.db**를 확인하여 사용자 상호작용 없이 일부 권한 있는 작업을 호출할 수 있는지 확인하십시오.
Protocol Communication
Then, you need to find the protocol schema in order to be able to establish a communication with the XPC service.
The function shouldAcceptNewConnection indicates the protocol being exported:
이 경우, EvenBetterAuthorizationSample과 동일하며, 이 줄을 확인하십시오.
HackTricks Training AWS Red Team Expert (ARTE)
HackTricks Training GCP Red Team Expert (GRTE)
