搜索

[16030] 2020-10-30_安全研究利用macOSDock实现代码的持久化执行

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-10-30_安全研究利用macOSDock实现代码的持久化执行 安 全 研 究   |   利 用 m a c O S   D o c k 实 现 代 码 的 持 久 化 执 行 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 0 - 3 0 背 景 介 绍 背 景 介 绍 近 期 ， 我 一 直 在 研 究 m a c O S 上 的 一 些 持 久 化 技 术 ， 尤 其 是 如 何 利 用 低 等 级 用 户 权 限 来 修 改 文 件 以 影 响 用 户 交 互 。 对 于 m a c O S 终 端 用 户 来 说 ， 交 互 最 频 繁 的 当 属 D o c k 了 。 在 我 的 研 究 过 程 中 ， 我 发 现 了 一 个 p l i s t 文 件 ， 它 可 以 控 制 A p p l e   D   对 于 m a c O S 终 端 用 户 来 说 ， 交 互 最 频 繁 的 当 属 D o c k 了 。 o c k 应 用 程 序 是 否 可 见 。 在 检 查 p l i s t 文 件 中 的 值 时 ， 我 就 想 判 断 是 否 可 以 通 过 修 改 这 些 值 来 将 合 法 程 序 替 换 成 我 们 的 恶 意 程 序 ， 并 执 行 恶 意 代 码 。 最 终 ， 我 开 发 出 了 一 个 包 含 P e r s i s t e n t J X A 项 目 的 D o c k P e r s i s t . j s 脚 本 文 件 ， 并 且 能 够 将 D o c k 中 最 常 见 的 S a f a r i 和 C h r o m e 替 换 成 我 们 的 恶 意 程 序 ， 不 过 这 种 方 法 适 用 于 其 他 任 何 应 用 程 序 。 一 旦 用 户 点 击 了 S a f a r i 或 C h r o m e 图 标 ， 我 们 的 恶 意 软 件 就 会 运 行 ， 因 为 这 里 的 D o c k 图 标 充 当 了 实 际 应 用 程 序 的 快 捷 方 式 。 接 下 来 ， 我 们 将 在 这 篇 文 章 中 介 绍 这 项 技 术 的 实 现 方 式 。 环 境 配 置 环 境 配 置 这 种 持 久 化 方 法 需 要 将 恶 意 程 序 上 传 到 目 标 设 备 中 ， 不 过 我 们 有 很 多 种 方 法 绕 过 G a t e k e e p e r 保 护 机 制 ， 并 实 现 恶 意 程 序 的 上 传 ： 压 缩 应 用 程 序 B u n d l e ， 在 M y t h i c 代 理 中 使 用 上 传 命 令 ， 然 后 解 压 至 目 标 路 径 ； 压 缩 应 用 程 序 B u n d l e ， 使 用 c u r l 命 令 在 目 标 设 备 中 拉 取 程 序 ， 然 后 解 压 至 目 标 路 径 ； 压 缩 应 用 程 序 B u n d l e ， 进 行 b a s e 6 4 编 码 ， 然 后 在 目 标 设 备 中 解 码 ， 并 解 压 至 目 标 路 径 ； 在 这 里 ， 首 先 使 用 A u t o m a t o r 创 建 一 个 应 用 程 序 ， 这 个 应 用 程 序 会 在 后 台 打 开 S a f a r i ， 然 后 运 行 我 们 的 A p f e l l   P a y l o a d ： 为 了 不 引 起 终 端 用 户 的 察 觉 ， 我 用 S a f a r i 罗 盘 图 标 替 换 掉 了 A u t o m a t o r 图 标 。 当 然 了 ， 我 们 也 可 以 使 用 X c o d e 来 生 成 更
加 复 杂 的 应 用 程 序 。 接 下 来 ， 压 缩 应 用 程 序 B u n d l e 并 上 传 至 目 标 系 统 ， 然 后 解 压 至 / U s e r s / S h a r e d / 路 径 下 ， 此 时 我 们 就 可 以 调 用 持 久 化 方 法 了 。 这 里 需 要 注 意 的 是 ， 考 虑 到 p l i s t 文 件 的 格 式 ， 这 里 要 求 伪 造 的 应 用 程 序 命 名 为 “ G o o g l e   C h r o m e ” 或 “ S a f a r i ” ， 并 且 存 储 路 径 为 / U s e r s / S h a r e d / ， 然 后 修 改 S a f a r i 6 4 和 C h r o m e 6 4 变 量 来 指 向 该 地 址 。 调 用 持 久 化 方 法 调 用 持 久 化 方 法 将 脚 本 导 入 至 A p f e l l 代 理 中 ： 调 用 D o c k P e r s i s t 函 数 ， 该 函 数 可 以 接 收 三 个 参 数 ： 应 用 程 序 名 称 ； 应 用 程 序 B u n d l e   I D ； 重 载 D o c k 选 项 ； B u n d l e   I D 存 在 于 I n f o . p l i s t 文 件 中 ， 可 以 使 用 下 列 命 令 直 接 获 取 ： 检 测 技 术 检 测 技 术 C r e s c e n d o 是 一 款 在 单 主 机 中 快 速 捕 捉 事 件 的 优 秀 工 具 ， C r e s c e n d o 也 是 m a c O S 上 的 一 款 实 时 事 件 查 看 器 ， 它 可 以 利 用 苹 果 的 终 端 安 全 框 架 E S F 来 实 现 其 功 能 。 E S F 能 够 监 控 系 统 事 件 ， 并 识 别 潜 在 的 恶 意 活 动 ， 它 相 当 于 W i n d o w s 中 的 E T W 。 在 C r e s c e n d o 的 帮 助 下 ， 我 们 可 以 轻 松 查 看 持 久 化 执 行 所 生 成 的 文 件 和 进 程 事 件 。 比 如 说 ， 下 列 E S F 事 件 将 会 被 映 射 至 C r e s c e n d o 中 ： / u s r / l i b e x e c / P l i s t B u d d y   - c   ' P r i n t   C F B u n d l e I d e n t i f i e r '   ~ / F a k e A p p / S a f a r i . a p p / C o n t e n t s / I n f o . p l i s t
E S _ E V E N T _ T Y P E _ N O T I F Y _ E X E C 可 以 捕 捉 这 种 持 久 化 方 法 的 各 种 事 件 ， 如 果 还 需 要 覆 盖 其 他 事 件 ， 我 强 烈 推 荐 使 用 X o r r i o r 的 A p p m o n 。 以 下 几 个 因 素 针 对 的 是 持 久 化 方 法 的 运 行 ， 因 为 实 际 的 恶 意 应 用 程 序 组 件 将 根 据 攻 击 者 开 发 的 内 容 而 有 所 不 同 。 首 先 ， p l u t i l 可 以 将 D o c k   p l i s t 转 换 为 X M L ， X M L 格 式 可 以 轻 松 修 改 ： 除 此 之 外 ， t e m p 9 8 7 6 文 件 的 创 建 也 会 被 记 录 到 日 志 中 。 D o c k P e r s i s t . j s 会 在 / p r i v a t e / t m p / 目 录 下 创 建 一 个 随 机 名 称 的 文 件 ， 该 脚 本 将 修 改 p l i s t 文 件 的 X M L 版 本 ， 并 将 其 存 储 至 这 个 随 机 文 件 名 中 。 在 这 里 ， t e m p 0 w s n 4 p 包 含 了 X M L 格 式 的 恶 意 p l i s t ， 所 以 我 们 可 以 使 用 正 确 的 格 式 来 修 改 代 码 格 式 版 本 ， 并 在 D o c k 中 正 确 加 载 ： E S _ E V E N T _ T Y P E _ A U T H _ E X E C   =   p r o c e s s : : e x e c E S _ E V E N T _ T Y P E _ N O T I F Y _ E X I T   =   p r o c e s s : : e x i t E S _ E V E N T _ T Y P E _ N O T I F Y _ C R E A T E   =   f i l e : : c r e a t e E S _ E V E N T _ T Y P E _ N O T I F Y _ K E X T L O A D   =   p r o c e s s : k e x t : : l o a d E S _ E V E N T _ T Y P E _ N O T I F Y _ M O U N T   =   f i l e : : m o u n t E S _ E V E N T _ T Y P E _ N O T I F Y _ U N L I N K   =   f i l e : : u n l i n k E S _ E V E N T _ T Y P E _ N O T I F Y _ R E N A M E   =   f i l e : : r e n a m e E S _ E V E N T _ T Y P E _ N O T I F Y _ U I P C _ C O N N E C T   =   n e t w o r k : : i p c c o n n e c t E S _ E V E N T _ T Y P E _ N O T I F Y _ F O R K   =   p r o c e s s : : f o r k
接 下 来 ， D o c k P e r s i s t . j s 会 删 除 ~ / L i b r a r y / P r e f e r e n c e s / c o m . a p p l e . d o c k . p l i s t 路 径 下 的 p l i s t 文 件 ： E S F 会 捕 捉 到 我 们 存 储 新 的 恶 意 p l i s t 文 件 的 行 为 ： 最 后 ， 因 为 我 们 在 函 数 调 用 中 重 载 了 D o c k ， 因 此 k i l l a l l 命 令 将 会 被 调 用 ： ~ / L i b r a r y / P r e f e r e n c e s / c o m . a p p l e . d o c k . p l i s t
这 些 事 件 都 可 以 作 为 构 建 检 测 机 制 的 入 口 点 ， 这 里 最 重 要 的 就 是 p l u t i l 和 k i l l a l l 了 。 除 此 之 外 ， 还 可 以 利 用 文 件 创 建 、 删 除 和 修 改 事 件 进 行 检 测 。 正 常 执 行 正 常 执 行 我 们 已 经 知 道 了 如 何 使 用 E S F 来 捕 捉 恶 意 行 为 了 ， 那 么 我 们 如 何 让 E S F 来 显 示 正 常 执 行 行 为 呢 ？ 在 正 常 操 作 中 ， c f p r e f s d 会 触 发 c o m . a p p l e . d o c k . p l i s t 上 的 f i l e : : r e n a m e （ 文 件 重 写 ） 事 件 ， 当 用 户 通 过 G U I 手 动 修 改 D o c k 时 同 样 会 触 发 这 些 事 件 ： 防 护 绕 过 防 护 绕 过 攻 击 者 可 以 在 目 标 设 备 外 执 行 p l i s t 修 改 操 作 ， 然 后 再 上 传 到 目 标 D o c k   p l i s t 路 径 下 ， 这 样 可 以 降 低 被 检 测 到 的 风 险 。 但 是 ， 这 同 样 会 触 发 f i l e : : r e n a m e 事 件 ， 不 过 它 不 会 使 用 到 c f p r e f s d 进 程 。
可 视 化 指 标 可 视 化 指 标 我 们 的 P o C 应 用 程 序 执 行 之 后 ， 会 在 D o c k 中 出 现 两 个 S a f a r i 图 标 ： 第 一 个 S a f a r i 是 恶 意 程 序 ， 它 存 在 于 p l i s t 文 件 中 的 p e r s i s t e n t - a p p s 字 段 ， 第 二 个 就 是 真 实 的 S a f a r i 了 ， 它 存 在 于 p l i s t 文 件 中 的 r e c e n t - a p p s 字 段 。 总 结 总 结 在 这 篇 文 章 中 ， 我 们 介 绍 了 一 种 在 m a c O S 上 的 持 久 化 机 制 ， 它 有 点 类 似 于 在 W i n d o w s 中 利 用 . L N K 文 件 实 现 持 久 化 的 方 法 。 更 重 要 的 是 ， 我 们 希 望 通 过 这 篇 文 章 来 帮 助 广 大 研 究 人 员 开 发 出 相 应 的 检 测 技 术 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理