搜索

[12367] 2018-02-16_如何通过Emond在macOS上实现持久化访问

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2018-02-16_如何通过Emond在macOS上实现持久化访问 如 何 通 过 E m o n d 在 m a c O S 上 实 现 持 久 化 访 问 C o v f e f e   F r e e B u f   2 0 1 8 - 0 2 - 1 6 在 这 篇 文 章 中 ， 我 们 会 介 绍 如 何 通 过 在 这 篇 文 章 中 ， 我 们 会 介 绍 如 何 通 过 e m o n d 在 在 m a c O S 上 实 现 持 久 化 访 问 。 根 据 苹 果 公 司 的 说 法 ， 事 件 监 视 进 程 上 实 现 持 久 化 访 问 。 根 据 苹 果 公 司 的 说 法 ， 事 件 监 视 进 程 （ （ e m o n d ） 会 ） 会 “ 接 受 来 自 各 种 服 务 的 事 件 ， 通 过 一 个 简 单 的 规 则 引 擎 运 行 并 采 取 相 应 操 作 （ 接 受 来 自 各 种 服 务 的 事 件 ， 通 过 一 个 简 单 的 规 则 引 擎 运 行 并 采 取 相 应 操 作 （ a c t i o n ） ， 这 些 操 作 ） ， 这 些 操 作 可 以 是 执 行 命 令 ， 发 送 电 子 邮 件 或 者 短 消 息 ， 推 送 通 知 等 可 以 是 执 行 命 令 ， 发 送 电 子 邮 件 或 者 短 消 息 ， 推 送 通 知 等 ” 。 听 起 来 挺 有 意 思 ， 实 际 上 。 听 起 来 挺 有 意 思 ， 实 际 上 E m o n d 自 自 O S   X   1 0 . 7 就 已 就 已 经 有 了 ， 所 以 本 文 所 讨 论 的 细 节 适 用 于 最 新 版 本 的 经 有 了 ， 所 以 本 文 所 讨 论 的 细 节 适 用 于 最 新 版 本 的 m a c O S （ （ 1 0 . 1 3 . 2 ） 。 ） 。 具 体 步 骤 具 体 步 骤 e m o n d 是 一 个 普 通 的 守 护 进 程 ， 每 次 系 统 启 动 时 都 会 由 l a u n c h d 执 行 ， 其 对 于 l a u n c h d 的 配 置 文 件 和 其 他 系 统 守 护 进 程 在 同 一 个 地 方 ： / S y s t e m / L i b r a r y / L a u n c h D a e m o n s / c o m . a p p l e . e m o n d . p l i s t ， 该 配 置 文 件 决 定 了 何 时 执 行 e m o n d ， 并 带 有 L a u n c h D a e m o n s 经 常 使 用 的 任 何 期 望 的 选 项 。   e m o n d . p l i s t 配 置 文 件 位 于 / e t c / e m o n d . d / 目 录 中 。 该 文 件 定 义 了 规 则 路 径 ， U I D / G I D 过 滤 ， 错 误 日 志 和 事 件 日 志 路 径 以 及 一 些 其 他 选 项 。 图 1 ： e m o n d . p l i s t 中 的 内 容 规 则 文 件 被 存 储 在 / e t c / e m o n d . d / r u l e s / 目 录 中 ， 且 应 该 为 p l i s t 格 式 。 在 该 目 录 下 已 经 有 一 个 示 例 规 则 文 件 了 （ S a m p l e R u l e s . p l i s t ） ， 该 示 例 定 义 了 名 称 ， 类 型 和 事 件 触 发 后 的 操 作 。 事 件 有 几 种 类 型 （ s t a r t u p ,   p e r i o d i c , a u t h . s u c c e s s ,   a u t h . f a i l u r e 等 ） ， 在 这 次 的 演 示 中 我 们 只 使 用 s t a r t u p 。 一 旦 被 e m o n d 加 载 ， s t a r t u p 事 件 类 型 就 会 触 发 规 则 ； p e r i o d i c 事 件 类 型 只 有 在 定 义 了 “ s t a r t T i m e ” 之 后 才 会 触 发 ； 同 样 的 ， a u t h . s u c c e s s 事 件 类 型 只 会 在 用 户 成 功 验 证 后 触 发 ； a u t h . f a i l u r e 会 在 验 证 失 败 事 件 上 触 发 ， 还 有 其 他 的 一 些 事 件 类 型 就 不 一 一 列 举 。 a c t i o n 定 义 了 事 件 发 生 后 e m o n d 将 要 做 什 么 ， 需 要 注 意 的 是 ， 我 们 可 以 在 规 则 中 定 义 多 个 a c t i o n 。 只 有 少 数 a c t i o n 可 以 被 用 于 恶 意 目 的 （ 如 运 行 命 令 和 发 送 电 子 邮 件 ） ， 你 可 能 已 经 猜 到 了 ， 运 行 命 令 可 以 允 许 你 执 行 任 意 系 统 命 令 ， 对 于 发 送 电 子 邮 件 ， 目 的 不 言 自 明 。
对 于 本 演 示 ， 我 们 将 重 点 介 绍 执 行 命 令 。 现 在 我 们 可 以 演 示 如 何 利 用 事 件 监 视 进 程 来 建 立 持 久 化 访 问 。   e m o n d 的 机 制 与 其 他 任 何 L a u n c h D a e m o n 相 似 。 L a u n c h d 负 责 在 启 动 过 程 中 执 行 所 有 L a u n c h D a e m o n s 和 L a u n c h A g e n t 。   由 于 e m o n d 是 在 该 过 程 中 启 动 的 ， 所 以 当 使 用 执 行 命 令 时 ， 应 该 注 意 一 下 你 正 在 执 行 什 么 命 令 ， 以 及 在 哪 一 个 过 程 应 该 执 行 哪 个 命 令 。   这 一 点 非 常 重 要 ， 因 为 事 件 发 生 然 后 触 发 a c t i o n （ 执 行 命 令 ） 的 时 候 电 脑 很 可 能 没 联 网 ， 所 以 任 何 需 要 网 络 访 问 的 命 令 都 没 法 用 。 接 下 来 ， 我 们 会 展 示 如 何 创 建 规 则 文 件 。 要 创 建 规 则 文 件 ， 我 们 可 以 使 用 已 经 存 在 的 S a m p l e R u l e . p l i s t 文 件 ， 并 根 据 需 要 对 其 进 行 修 改 。 图 二 ： s a m p l e r u l e s . p l i s t 该 示 例 包 含 我 们 的 规 则 文 件 所 需 的 一 些 值 。   具 体 而 言 ， 我 们 可 以 删 除 “ a l l o w P a r t i a l C r i t e r i o n M a t c h ” 这 个 k e y 并 根 据 需 要 更 改 名 称 。   所 定 义 的 a c t i o n 需 要 针 对 执 行 命 令 的 a c t i o n 类 型 进 行 修 改 。   一 个 完 整 的 例 子 如 下 所 示 ：
图 三 ： 实 现 持 久 化 访 问 示 例 需 要 注 意 的 是 ， 第 一 个 操 作 是 睡 眠 1 0 秒 ， 这 样 是 为 了 等 待 网 络 连 接 。 至 于 是 1 0 秒 还 是 2 0 秒 ， 因 人 而 异 ， 请 自 行 斟 酌 。 第 二 个 就 不 用 介 绍 了 ， 建 立 会 话 。 不 过 这 样 持 久 性 机 制 还 有 一 个 奇 怪 之 处 ： l a u n c h d 会 在 启 动 过 程 中 执 行 e m o n d ， 但 是 在 Q u e u e D i r e c t o r i e s 路 径 中 存 在 一 个 文 件 之 前 ， 服 务 将 保 持 不 活 动 状 态 。   这 在 L a u n c h D a e m o n 配 置 文 件 / S y s t e m / L i b r a r y / L a u n c h D a e m o n s / c o m . a p p l e . e m o n d . p l i s t 中 指 定 。   放 在 Q u e u e D i r e c t o r i e s 路 径 中 的 文 件 不 需 要 遵 循 特 定 的 命 名 方 案 ， 也 可 以 为 空 。 图 四 ： c o m . a p p l e . e m o n d . p l i s t 中 的 Q u e u e D i r e c t o r i e s 把 p l i s t 文 件 放 进 r u l e s 目 录 后 ， e m o n d 错 误 日 志 会 显 示 服 务 已 启 动 ， e m o n d 也 不 会 提 示 说 找 不 到 任 何 规 则 。 图 五 ： 错 误 日 志
一 旦 服 务 开 始 ， 如 果 你 已 经 定 义 了 一 个 s t a r t u p 事 件 类 型 ， 那 么 事 件 将 会 立 即 发 生 并 触 发 任 何 a c t i o n 。   现 在 ， 我 们 应 该 可 以 看 到 E m p i r e 会 话 建 立 了 。 图 六 ： 请 求 图 七 : 会 话 建 立 E m o n d 并 不 是 一 个 O S X 事 件 监 视 的 新 机 制 ， 但 它 可 以 作 为 一 种 攻 击 新 用 例 。   回 想 起 来 ， 在 我 撰 写 本 文 时 ， 所 阅 读 过 的 任 何 m a c O S 威 胁 报 告 中 都 没 有 提 及 过 这 样 的 方 法 。 但 也 有 可 能 已 经 在 野 使 用 ， 或 者 其 本 身 人 畜 无 害 。 如 何 检 测 如 何 检 测 这 种 持 久 化 访 问 的 方 法 需 要 对 文 件 系 统 进 行 一 些 改 变 ，   幸 运 的 是 ， m a c O S 提 供 了 f s e v e n t s   A P I 来 捕 获 文 件 系 统 事 件 。 实 质 上 f s e v e n t s 会 记 录 每 个 卷 中 的 所 有 事 件 。   最 初 ， 事 件 存 储 在 内 存 中 ， 一 旦 内 存 缓 冲 区 已 满 或 即 将 卸 载 卷 ， 事 件 会 被 写 入 磁 盘 。 F S E v e n t 日 志 文 件 以 g z i p 压 缩 格 式 存 储 ， 并 遵 循 十 六 进 制 命 名 方 案 。   所 有 日 志 文 件 都 存 储 在 一 个 隐 藏 的 目 录 中 ： / f s e v e n t s d / 。 访 问 此 目 录 需 要 r o o t 权 限 。   f s e v e n t s 的 一 个 注 意 事 项 是 时 间 戳 不 包 含 在 日 志 文 件 中 。   通 过 访 问 A P I ， 我 们 可 以 使 用 P y t h o n 或 O b j e c t i v e - C 筛 选 所 有 接 收 到 的 事 件 ， 并 在 r u l e s 目 录 或 Q u e u e D i r e c t o r y 中 发 生 文 件 创 建 / 修 改 事 件 时 进 行 警 报 。 点 击 这 里 查 看 开 源 f s e v e n t s 项 目
你 可 以 注 意 到 f s w a t c h 可 以 在 事 件 触 发 时 提 供 时 间 戳 。   此 外 ， 你 可 以 将 其 输 出 到 任 何 其 他 命 令 行 ， 以 便 进 一 步 处 理 。 你 也 可 以 指 定 多 个 目 录 进 行 监 控 。   下 图 显 示 了 一 旦 我 们 在 r u l e s 目 录 中 放 置 了 一 个 p l i s t 文 件 ， f s w a t c h 将 以 一 个 J S O N 字 符 串 显 示 事 件 详 细 信 息 。 图 九 ： 事 件 发 生 时 的 输 出 当 然 这 只 是 一 个 最 基 本 的 例 子 ， 可 能 不 适 用 于 部 署 在 大 型 M a c O S 环 境 中 。 对 于 后 者 ， 更 适 用 的 选 择 是 o s q u e r y 。 O s q u e r y 提 供 文 件 完 整 性 监 视 ， 它 使 用 f s e v e n t s   a p i 将 文 件 系 统 更 改 记 录 到 特 定 目 录 的 文 件 。   更 多 信 息 可 以 点 击 这 里 。 安 装 o s q u e r y 之 后 ， 你 需 要 提 供 一 个 配 置 文 件 来 监 视 文 件 系 统 事 件 。   下 图 是 一 个 简 单 的 示 例 来 监 视 r u l e s 目 录 中 的 所 有 文 件 系 统 事 件 。   所 有 事 件 将 以 6 0 秒 为 间 隔 进 行 查 询 。 为 了 简 洁 起 见 ， 我 们 从 命 令 行 启 动 o s q u e r y 守 护 进 程 ， 并 使 用 - c o n f i g _ p a t h 标 志 指 定 配 置 文 件 。   一 旦 我 们 创 建 了 p l i s t 文 件 ， 并 将 其 放 置 在 r u l e s 目 录 中 ， 6 0 秒 后 ， 在 o s q u e r y 日 志 文 件 中 就 应 该 有 一 个 条 目 。   结 果 默 认 记 录 到 / v a r / l o g / o s q u e r y / o s q u e r y d . r e s u l t s . l o g 。   输 出 将 包 括 路 径 ， 主 机 标 识 符 ， 时 间 戳 ， 文 件 事 件 的 类 型 以 及 其 他 。 以 上 检 测 方 法 并 不 能 完 全 遏 制 对 e m o n d 的 恶 意 利 用 ， 但 是 足 以 作 为 一 个 很 好 的 起 点 。
另 外 如 果 你 对 I O S 安 全 研 究 感 兴 趣 ， 强 烈 推 荐 一 本 书 ： M a c O S   a n d   i O S   I n t e r n a l s ,   V o l u m e   I :   U s e r   M o d e R e f e r e n c e L e v i n ,   J .   ( 2 0 1 7 )   O S   I n t e r n a l s ,   V o l u m e   I :   U s e r   S p a c e .   N o r t h   C a s t l e ,   N Y :   T e c h n o l o g e e k s . c o m R e y n o l d s ,   J .   ( 2 0 1 6 ,   A p r i l ) .   W h a t   i s   e m o n d ? .   R e t r i e v e d   f r o m :   h t t p : / / w w w . m a g n u s v i r i . c o m / M a c / w h a t - i s - e m o n d . h t m l 最 初 发 布 于 w w w . x o r r i o r . c o m 参 考 来 源 ： s p e c t e r o p s ， F B 小 编 C o v f e f e 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理