搜索

[16015] 2020-10-26_如何利用CalendarAlerts在macOS上实现持久化

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-10-26_如何利用CalendarAlerts在macOS上实现持久化 如 何 利 用 C a l e n d a r   A l e r t s 在 m a c O S 上 实 现 持 久 化 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 0 - 2 6 写 在 前 面 的 话 写 在 前 面 的 话 在 这 篇 文 章 中 ， 我 们 将 介 绍 如 何 利 用 C a l e n d a r   A l e r t s 在 m a c O S 上 实 现 持 久 化 ， 并 深 入 讨 论 如 何 在 渗 透 测 试 行 动 中 使 用 这 项 技 术 。 其 中 包 括 如 何 对 A u t o m a t o r . a p p 进 行 逆 向 工 程 分 析 以 找 到 一 个 未 记 录 的 A P I 来 启 用 该 技 术 。 除 此 之 外 ， 我 们 还 会 提 供 一 个 针 对 A o t u m a t i o n （ J X A ） 代 码 的 J a v a S c r i p t 来 实 现 持 久 化 攻 击 。 C a l e n d a r . a p p m a c O S 种 的 一 项 重 要 功 能 就 是 C a l e n d a r   A l e r t s ， 也 就 是 日 历 行 程 提 醒 ， 它 可 以 根 据 用 户 设 置 的 事 件 来 提 醒 信 息 或 执 行 一 款 应 用 程 序 。 我 们 可 以 在 如 下 图 所 示 的 G U I 界 面 中 设 置 一 个 新 的 事 件 ：
在 这 里 ， 我 们 关 注 的 是 持 久 化 技 术 。 研 究 人 员 A n d y 曾 对 此 进 行 了 深 入 分 析 ， 其 中 还 包 括 针 对 代 码 执 行 和 数 据 过 滤 方 面 的 研 究 。 除 此 之 外 ， 他 还 讨 论 了 在 尝 试 使 用 A p p l e S c r i p t 以 编 程 方 式 插 入 事 件 来 执 行 此 任 务 时 遇 到 的 问 题 ， 以 及 日 历 应 用 程 序 忽 略 请 求 的 情 况 。 还 有 一 种 方 法 ， 就 是 修 改 驱 动 应 用 程 序 的 S Q L i t e 数 据 库 ， 这 种 方 法 非 常 好 ， 因 为 这 样 可 以 帮 助 我 们 为 所 有 的 事 件 都 设 置 默 认 的 警 报 ， 但 是 这 种 修 改 方 式 在 现 实 场 景 中 很 难 实 现 。 技 术 分 析 技 术 分 析 在 进 行 技 术 研 究 过 程 中 ， 我 还 对 A u t o m a t o r . a p p 进 行 了 分 析 ， 即 苹 果 通 过 拖 放 应 用 程 序 来 构 建 重 复 任 务 执 行 所 使 用 的 技 术 。 A u t o m a t o r 中 包 含 了 一 个 内 置 模 板 ， 可 以 用 于 构 建 日 历 警 报 ： 通 过 G U I 进 行 配 置 并 保 存 之 后 ， 我 们 就 可 以 看 到 日 历 中 添 加 了 一 个 新 的 事 件 ， 接 下 来 我 们 就 有 可 能 通 过 编 程 的 方 式 来 执 行 自 动 化 任 务 了 。 为 此 ， 我 开 始 深 入 研 究 E v e n t K i t 的 苹 果 开 发 人 员 文 档 ， 该 框 架 负 责 与 日 历 事 件 继 续 宁 交 互 ， 但 我 没 有 发 现 任 何 关 于 A P I 的 说 明 ， 不 过 这 个 A P I 允 许 我 们 通 过 添 加 警 报 来 执 行 我 们 的 应 用 程 序 。 所 以 ， 我 觉 得 有 必 要 仔 细 研 究 一 下 A u t o m a t o r ， 看 看 它 是 如 何 做 到 这 一 点 的 。 首 先 ， 我 使 用 了 F i l e M o n i t o r 和 P r o c e s s M o n i t o r 来 对 A u t o m a t o r 背 后 的 工 作 机 制 进 行 了 分 析 。 它 没 有 修 改 日 历 数 据 库 ， 也 没 有 修 改 任 何 其 他 文 件 。 所 以 ， 我 转 而 使 用 L L V M 调 试 器 l l d b 来 分 析 。 在 剔 除 一 些 E v e n t K i t 函 数 后 ， 最 后 我 找 到 了 一 个 函 数 ： [ A M I C a l P l u g i n W o r k f l o w P e r s o n a l i t y   f i n i s h S a v i n g W o r k f l o w : f o r O p e r a t i o n : a t U R L : e r r o r : ] 。 分 析 该 函 数 的 反 汇 编 代 码 后 ， 我 们 可 以 看 到 一 系 列 E v e n t K i t 函 数 ， 这 些 函 数 跟 苹 果 官 方 文 档 中 提 供 的 函 数 非 常 相 似 ： < + 7 3 5 > :     m o v q       0 x 5 8 d 6 f f 6 2 ( % r i p ) ,   % r d i         ;   ( v o i d   * ) 0 x 0 0 0 0 7 f f f 9 0 b 8 7 2 b 0 :   A M E v e n t K i t S o f t L i n k i n g < + 7 4 2 > :     m o v q       0 x 5 8 d 6 e b 8 b ( % r i p ) ,   % r s i         ;   " E K E v e n t " < + 7 4 9 > :     c a l l q     * % r 1 4 < + 7 5 2 > :     m o v q       0 x 5 8 d 6 e c 6 9 ( % r i p ) ,   % r s i         ;   " e v e n t W i t h E v e n t S t o r e : " < + 7 5 9 > :     m o v q       % r a x ,   % r d i < + 7 6 2 > :     m o v q       % r 1 2 ,   % r d x < + 7 6 5 > :     c a l l q     * % r 1 4 < + 7 6 8 > :     m o v q       % r a x ,   % r d i
我 们 可 以 看 到 ， 代 码 会 使 用 E K E v e n t 类 来 创 建 一 个 新 的 事 件 ， 设 置 事 件 标 题 、 以 及 开 始 和 结 束 的 日 期 时 间 。 这 里 有 一 个 很 有 意 思 的 函 数 ， 即 [ E K A l a r m   p r o c e d u r e A l a r m W i t h B o o k m a r k ] ， 其 部 分 反 汇 编 代 码 如 下 ： < + 7 6 8 > :     m o v q       % r a x ,   % r d i < + 7 7 1 > :     c a l l q     0 x 7 f f f 3 7 e 3 e 7 4 4                         ;   s y m b o l   s t u b   f o r :   o b j c _ r e t a i n A u t o r e l e a s e d R e t u r n V a l u e < + 7 7 6 > :     m o v q       % r a x ,   % r b x < + 7 7 9 > :     m o v q       0 x 5 8 d 6 8 9 8 e ( % r i p ) ,   % r s i         ;   " s e t T i t l e : " < + 7 8 6 > :     m o v q       % r a x ,   % r d i < + 7 8 9 > :     m o v q       - 0 x 9 8 ( % r b p ) ,   % r d x < + 7 9 6 > :     c a l l q     * % r 1 4 < + 7 9 9 > :     m o v q       0 x 5 8 d 6 e c 4 2 ( % r i p ) ,   % r s i         ;   " s e t S t a r t D a t e : " < + 8 0 6 > :     m o v q       % r b x ,   % r d i < + 8 0 9 > :     m o v q       % r 1 5 ,   % r d x < + 8 1 2 > :     c a l l q     * % r 1 4 < + 8 1 5 > :     m o v q       0 x 5 8 d 6 e c 3 a ( % r i p ) ,   % r s i         ;   " s e t E n d D a t e : " < + 8 2 2 > :     m o v q       % r b x ,   % r d i < + 8 2 5 > :     m o v q       % r 1 5 ,   - 0 x d 0 ( % r b p ) < + 8 3 2 > :     m o v q       % r 1 5 ,   % r d x < + 8 3 5 > :     c a l l q     * % r 1 4 < + 8 7 6 > :     m o v q       0 x 5 8 d 6 e c 0 5 ( % r i p ) ,   % r s i         ;   " b o o k m a r k D a t a W i t h O p t i o n s : i n c l u d i n g R e s o u r c e V a l u e s F o r K e y s : r e l a t i v e T o U R L : e r r o r : " < + 8 8 3 > :     x o r l       % r 1 2 d ,   % r 1 2 d < + 8 8 6 > :     m o v l       $ 0 x 2 0 0 ,   % e d x                             ;   i m m   =   0 x 2 0 0 < + 8 9 1 > :     x o r l       % e c x ,   % e c x < + 8 9 3 > :     x o r l       % r 8 d ,   % r 8 d < + 8 9 6 > :     m o v q       % r 1 3 ,   % r 9 < + 8 9 9 > :     c a l l q     * 0 x 5 8 c d 7 f 1 7 ( % r i p )                   ;   ( v o i d   * ) 0 x 0 0 0 0 7 f f f 7 2 3 f 3 8 0 0 :   o b j c _ m s g S e n d < + 9 0 5 > :     m o v q       % r a x ,   % r d i < + 9 0 8 > :     c a l l q     0 x 7 f f f 3 7 e 3 e 7 4 4                         ;   s y m b o l   s t u b   f o r :   o b j c _ r e t a i n A u t o r e l e a s e d R e t u r n V a l u e < + 9 1 3 > :     m o v q       % r a x ,   % r 1 5 < + 9 1 6 > :     m o v q       ( % r 1 3 ) ,   % r d i < + 9 2 0 > :     c a l l q     * 0 x 5 8 c d 7 f 1 2 ( % r i p )                   ;   ( v o i d   * ) 0 x 0 0 0 0 7 f f f 7 2 3 f 3 6 d 0 :   o b j c _ r e t a i n
我 们 可 以 看 到 ， A u t o m a t o r 会 创 建 一 个 新 的 书 签 ， 它 是 一 个 数 据 结 构 ， 指 向 的 是 磁 盘 中 的 一 个 特 定 文 件 。 接 下 来 ， 它 还 会 创 建 一 个 E K A l a r m 类 的 新 实 例 ， 并 通 过 传 入 书 签 数 据 来 调 用 该 类 中 的 p r o c e d u r e A l a r m W i t h B o o k m a r k 函 数 。 技 术 实 现 技 术 实 现 接 下 来 ， 我 们 需 要 通 过 编 程 的 方 式 实 现 持 久 化 攻 击 ， 然 后 利 用 这 种 攻 击 技 术 ， 将 新 的 日 历 事 件 添 加 到 特 定 的 日 历 中 。 除 此 之 外 ， 我 们 还 可 以 利 用 J X A 代 码 来 通 过 现 有 事 件 来 植 入 后 门 ， 或 者 修 改 用 户 日 历 。 参 考 代 码 ： h t t p s : / / g i t h u b . c o m / F S e c u r e L A B S / C a l e n d a r P e r s i s t 首 先 ， 我 们 需 要 配 置 M y t h i c ， 然 后 获 取 A p f e l l   P a y l o a d 。 M y t h i c 提 供 了 比 较 详 细 的 配 置 文 档 ， 具 体 请 参 考 这 篇 【 文 档 】 。 接 下 来 ， 我 们 需 要 使 用 j s i m p o r t 命 令 将 功 能 导 入 到 A p f e l l 中 ： 此 时 ， 我 们 的 脚 本 代 码 已 经 嵌 入 到 了 A p f e l l   P a y l o a d 中 了 。 现 在 ， 我 们 需 要 枚 举 用 户 的 日 历 ， 这 里 可 以 使 用 l i s t _ c a l e n d a r s 函 数 来 实 现 ， 不 过 这 个 操 作 需 要 用 户 授 权 ： < + 9 2 0 > :     c a l l q     * 0 x 5 8 c d 7 f 1 2 ( % r i p )                   ;   ( v o i d   * ) 0 x 0 0 0 0 7 f f f 7 2 3 f 3 6 d 0 :   o b j c _ r e t a i n < + 9 2 6 > :     m o v q       % r a x ,   % r 1 3 < + 9 2 9 > :     t e s t q     % r 1 5 ,   % r 1 5 < + 9 3 2 > :     j e           0 x 7 f f f 3 7 e 1 1 3 8 a                         ;   < + 1 0 3 4 > < + 9 3 4 > :     m o v q       0 x 5 8 d 6 f e 9 b ( % r i p ) ,   % r d i         ;   ( v o i d   * ) 0 x 0 0 0 0 7 f f f 9 0 b 8 7 2 b 0 :   A M E v e n t K i t S o f t L i n k i n g < + 9 4 1 > :     m o v q       0 x 5 8 d 6 e b c c ( % r i p ) ,   % r s i         ;   " E K A l a r m " < + 9 4 8 > :     c a l l q     * % r 1 4 < + 9 5 1 > :     m o v q       0 x 5 8 d 6 e b c a ( % r i p ) ,   % r s i         ;   " p r o c e d u r e A l a r m W i t h B o o k m a r k : " < + 9 5 8 > :     m o v q       % r a x ,   % r d i < + 9 6 1 > :     m o v q       % r 1 5 ,   % r d x < + 9 6 4 > :     c a l l q     * % r 1 4
这 里 我 们 选 择 A u t o m a t o r 日 历 ， 记 录 下 对 应 的 U I D 。 接 下 来 ， 我 们 使 用 J X A 中 的 p e r s i s t _ c a l a l e r t 函 数 来 创 建 新 的 事 件 。 该 函 数 调 用 方 式 如 下 所 示 ： 接 下 来 ， 进 程 将 会 创 建 新 的 事 件 ， 然 后 将 其 插 入 到 日 历 中 。 D e l a y   i n   s e c o n d s 参 数 表 示 第 一 个 事 件 被 触 发 的 时 间 ， 后 面 的 参 数 分 别 代 表 持 久 化 操 作 触 发 的 频 率 、 间 隔 以 及 事 件 数 量 。 在 我 们 的 演 示 样 例 中 ， 我 们 将 连 续 三 天 每 天 创 建 一 个 新 的 事 件 ， 事 件 触 发 时 便 会 执 行 我 们 的 恶 意 软 件 ： 在 A p f e l l 中 开 始 攻 击 后 ， 我 们 可 以 在 日 历 中 看 到 操 作 结 果 。 首 次 事 件 将 在 2 0 2 0 年 1 0 月 9 日   1 8 : 5 3 触 发 ， 执 行 指 定 的 应 用 程 序 。 在 这 个 演 示 样 例 中 ， 我 们 将 执 行 A p f e l l   P a y l o a d ， 并 且 在 指 定 的 时 间 段 内 拿 到 S h e l l ， 实 现 持 久 化 感 染 。 m a c O S 沙 箱 沙 箱 至 此 ， 我 们 并 没 有 考 虑 到 m a c O S 系 统 上 的 沙 箱 机 制 ， 因 此 我 们 还 要 想 办 法 在 C a l e n d a r 沙 箱 外 执 行 代 码 。 p e r s i s t _ c a l a l e r t (         " M y   E v e n t " ,                                                                                                                       / /   T i t l e         " / U s e r s / r o o k u u / L i b r a r y / A p f e l l . a p p " ,                                             / /   T a r g e t   A p p         6 0 ,                                                                                                                                                 / /   D e l a y   i n   s e c o n d s         " d a i l y " ,                                                                                                                                     / /   F r e q u e n c y   o f   r e c u r r e n c e         1 ,                                                                                                                                                     / /   I n t e r v a l   o f   r e c u r r e n c e         3 ,                                                                                                                                                     / /   N u m b e r   o f   e v e n t s         " 7 1 1 C E 0 4 5 - 7 7 7 8 - 4 6 3 3 - A 6 F A - 2 7 E 1 8 A D D 0 C 1 7 "   / /   U I D   o f   t h e   c a l e n d a r )
但 是 经 过 分 析 之 后 ， 我 们 发 现 我 们 并 不 需 要 关 心 沙 箱 逃 逸 的 问 题 ， 因 为 我 们 一 开 始 就 没 有 在 沙 箱 里 面 。 虽 然 C a l e n d a r 是 一 个 沙 箱 化 进 程 ， 但 通 过 警 报 方 式 执 行 的 应 用 并 没 有 被 沙 箱 化 处 理 。 如 上 图 所 示 ， 我 们 执 行 的 应 用 C a l e n d a r A l a r m S a n d b o x T e s t 并 没 有 在 沙 箱 中 。 参 考 资 料 参 考 资 料 h t t p s : / / r e s e a r c h . n c c g r o u p . c o m / 2 0 2 0 / 0 5 / 0 5 / e x p l o r i n g - m a c o s - c a l e n d a r - a l e r t s - p a r t - 1 - a t t e m p t i n g - t o - e x e c u t e - c o d e / ) ) h t t p s : / / g i t h u b . c o m / F S e c u r e L A B S / C a l e n d a r P e r s i s t 精 彩 推 荐 精 彩 推 荐

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理