macOS Red Teaming
Last updated
Last updated
学习和实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习和实践 GCP 黑客技术： HackTricks 培训 GCP 红队专家 (GRTE)
从黑客的角度审视您的网络应用、网络和云
发现并报告具有实际商业影响的关键、可利用的漏洞。 使用我们 20 多个自定义工具来映射攻击面，查找允许您提升权限的安全问题，并使用自动化利用收集重要证据，将您的辛勤工作转化为有说服力的报告。
JAMF Pro: jamf checkJSSConnection
Kandji
如果您设法 获取管理员凭据 以访问管理平台，您可以 潜在地危害所有计算机，通过在机器上分发恶意软件。
在 MacOS 环境中进行红队活动，强烈建议对 MDM 的工作原理有一定了解：
MDM 将有权限安装、查询或删除配置文件，安装应用程序，创建本地管理员帐户，设置固件密码，更改 FileVault 密钥...
为了运行您自己的 MDM，您需要 您的 CSR 由供应商签名，您可以尝试通过 https://mdmcert.download/ 获取。要为 Apple 设备运行您自己的 MDM，您可以使用 MicroMDM。
然而，要在注册设备上安装应用程序，您仍然需要它由开发者帐户签名... 然而，在 MDM 注册时，设备将 MDM 的 SSL 证书添加为受信任的 CA，因此您现在可以签署任何内容。
要将设备注册到 MDM，您需要以 root 身份安装 mobileconfig 文件，这可以通过 pkg 文件传递（您可以将其压缩为 zip，当从 Safari 下载时将被解压）。
Mythic agent Orthrus 使用了这种技术。
JAMF 可以运行 自定义脚本（由系统管理员开发的脚本）、本地有效载荷（本地帐户创建、设置 EFI 密码、文件/进程监控...）和 MDM（设备配置、设备证书...）。
访问 https://<公司名称>.jamfcloud.com/enroll/ 这样的页面，查看他们是否启用了 自助注册。如果启用了，可能会 要求输入凭据以访问。
您可以使用脚本 JamfSniper.py 执行密码喷洒攻击。
此外，在找到合适的凭据后，您可能能够使用下一个表单暴力破解其他用户名：
jamf 二进制文件包含打开钥匙串的秘密，在发现时是 共享 给所有人的，内容是：jk23ucnq91jfu9aj。
此外，jamf 持久化 为 LaunchDaemon 在 /Library/LaunchAgents/com.jamf.management.agent.plist
JSS（Jamf 软件服务器）URL 在 /Library/Preferences/com.jamfsoftware.jamf.plist 中。
该文件基本上包含 URL：
因此，攻击者可以放置一个恶意包（pkg），在安装时覆盖此文件，将URL设置为来自Typhon代理的Mythic C2监听器，从而能够滥用JAMF作为C2。
为了冒充设备与 JMF 之间的通信，你需要：
设备的 UUID: ioreg -d2 -c IOPlatformExpertDevice | awk -F" '/IOPlatformUUID/{print $(NF-1)}'
JAMF 密钥链来自: /Library/Application\ Support/Jamf/JAMF.keychain，其中包含设备证书
有了这些信息，创建一个 VM，使用被盗的硬件 UUID 并且禁用 SIP，放置 JAMF 密钥链， hook Jamf 代理并窃取其信息。
你还可以监控位置 /Library/Application Support/Jamf/tmp/，以获取管理员可能希望通过 Jamf 执行的 自定义脚本，因为它们在这里放置、执行并删除。这些脚本可能包含凭据。
然而，凭据可能作为参数传递给这些脚本，因此你需要监控 ps aux | grep -i jamf（甚至不需要 root 权限）。
脚本 JamfExplorer.py 可以监听新文件的添加和新进程参数。
还有关于 MacOS "特殊" 网络 协议：
在某些情况下，你会发现 MacOS 计算机连接到 AD。在这种情况下，你应该尝试枚举活动目录，就像你习惯的那样。在以下页面中找到一些帮助：
一些本地 MacOS 工具也可能对你有帮助，dscl：
也有一些工具为MacOS准备，以自动枚举AD并与kerberos进行交互：
Machound: MacHound是一个扩展Bloodhound审计工具，允许在MacOS主机上收集和摄取Active Directory关系。
Bifrost: Bifrost是一个Objective-C项目，旨在与macOS上的Heimdal krb5 API进行交互。该项目的目标是使用本地API在macOS设备上进行更好的Kerberos安全测试，而无需在目标上要求任何其他框架或软件包。
Orchard: 用于Active Directory枚举的JavaScript自动化（JXA）工具。
MacOS 用户有三种类型：
本地用户 — 由本地 OpenDirectory 服务管理，与 Active Directory 没有任何连接。
网络用户 — 易变的 Active Directory 用户，需要连接到 DC 服务器进行身份验证。
移动用户 — 具有本地备份的 Active Directory 用户，备份其凭据和文件。
关于用户和组的本地信息存储在文件夹 /var/db/dslocal/nodes/Default. 例如，名为 mark 的用户信息存储在 /var/db/dslocal/nodes/Default/users/mark.plist 中，组 admin 的信息存储在 /var/db/dslocal/nodes/Default/groups/admin.plist 中。
除了使用 HasSession 和 AdminTo 边缘，MacHound 向 Bloodhound 数据库添加了三个新边缘：
CanSSH - 允许 SSH 连接到主机的实体
CanVNC - 允许 VNC 连接到主机的实体
CanAE - 允许在主机上执行 AppleEvent 脚本的实体
更多信息请访问 https://its-a-feature.github.io/posts/2018/01/Active-Directory-Discovery-with-a-Mac/
使用以下方法获取密码：
可以在系统钥匙串中访问 Computer$ 密码。
获取特定用户和服务的 TGT：
一旦收集到 TGT，就可以通过以下方式将其注入当前会话：
通过获得的服务票证，可以尝试访问其他计算机上的共享：
钥匙串很可能包含敏感信息，如果在没有生成提示的情况下访问，可能有助于推进红队演练：
MacOS 红队与常规 Windows 红队不同，因为通常 MacOS 直接与多个外部平台集成。 MacOS 的常见配置是使用 OneLogin 同步凭据访问计算机，并通过 OneLogin 访问多个外部服务（如 github、aws...）。
当在 Safari 中下载文件时，如果是“安全”文件，它将 自动打开。例如，如果您 下载一个 zip 文件，它将自动解压缩：
获取黑客对您的网络应用程序、网络和云的看法
查找并报告具有实际业务影响的关键可利用漏洞。 使用我们 20 多个自定义工具来映射攻击面，查找让您提升权限的安全问题，并使用自动化利用收集重要证据，将您的辛勤工作转化为有说服力的报告。
学习和实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习和实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)
