搜索

[17202] 2021-08-28_如何使用MacHound收集和分析macOS上的活动目录

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-08-28_如何使用MacHound收集和分析macOS上的活动目录 如 何 使 用 M a c H o u n d 收 集 和 分 析 m a c O S 上 的 活 动 目 录 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 8 - 2 8 关 于 关 于 M a c H o u n d M a c H o u n d 是 B l o o d h o u n d 审 计 工 具 的 一 个 扩 展 组 件 ， 可 以 帮 助 广 大 研 究 人 员 收 集 和 分 析 m a c O S 主 机 上 活 动 目 录 之 间 的 关 系 。 M a c H o u n d 还 可 以 收 集 m a c O S 设 备 上 已 登 录 用 户 和 管 理 员 组 成 员 的 相 关 信 息 ， 并 将 这 些 信 息 存 储 至 B l o o d h o u n d 数 据 库 中 。 除 了 使 用 H a s S e s s i o n 和 A d m i n T o 之 外 ， M a c H o u n d 还 可 以 向 B l o o d h o u n d 数 据 库 中 添 加 其 他 内 容 ： C a n S S H ： 允 许 连 接 主 机 的 实 体 （ S S H ） ； C a n V N C ： 允 许 连 接 主 机 的 实 体 （ V N C ） ； C a n A E ： 允 许 在 主 机 上 执 行 A p p l e E v e n t 脚 本 的 实 体 ； 数 据 收 集 数 据 收 集 已 登 录 用 户 （ 已 登 录 用 户 （ H a s s S e s s i o n ） ） M a c H o u n d 使 用 了 u t m p x   A P I 来 查 询 当 前 活 动 用 户 ， 并 使 用 O p e n D i r e c t o r y 和 成 员 A P I 验 证 活 动 目 录 用 户 。 管 理 员 组 管 理 员 组 M a c H o u n d 能 够 收 集 下 列 本 地 管 理 员 组 的 活 动 目 录 成 员 ： 组 件 组 件 M a c H o u n d 主 要 由 两 大 组 件 构 成 ： 即 收 集 器 和 注 入 器 。 收 集 器 （ 收 集 器 （ C o l l e c t o r ） ） M a c H o u n d 的 收 集 器 是 一 个 P y t h o n   3 . 7 脚 本 ， 可 以 在 加 入 了 活 动 目 录 的 m a c O S 主 机 上 运 行 。 收 集 器 负 责 查 询 本 地 O p e n D i r e c t o r y 和 活 动 目 录 ， 以 及 特 权 用 户 和 组 的 相 关 信 息 。 数 据 输 出 是 一 个 J S O N 文 件 ， 其 中 将 包 含 所 有 收 集 到 的 信 息 。 a d m i n c o m . a p p l e . a c c e s s _ s s h c o m . a p p l e . r e m o t e _ a e c o m . a p p l e . a c c e s s _ s c r e e n s h a r i n g
注 入 器 （ 注 入 器 （ I n g e s t o r ） ） M a c H o u n d 的 注 入 器 也 是 一 个 P y t h o n   3 . 7 脚 本 ， 它 负 责 解 析 数 据 的 J S O N 文 件 ， 并 与 N e o 4 J 数 据 库 连 接 ， 然 后 将 数 据 注 入 至 数 据 库 中 。 注 入 器 使 用 了 N e o 4 J 的 P y t h o n 库 来 从 N e o 4 J 数 据 库 来 查 询 信 息 ， 注 入 器 必 须 在 能 够 跟 N e o 4 J 数 据 库 建 立 T C P 连 接 的 主 机 上 运 行 。 工 具 要 求 工 具 要 求 M a c H o u n d 需 要 在 主 机 上 安 装 并 配 置 好 P y t h o n   3 . 7 环 境 ， 并 且 注 入 器 需 要 P y t h o n   3 . 7 版 本 的 N e o 4 J 库 。 工 具 下 载 工 具 下 载 广 大 研 究 人 员 可 以 使 用 下 列 命 令 将 该 项 目 源 码 克 隆 至 本 地 ： 工 具 使 用 工 具 使 用 收 集 器 默 认 不 需 要 使 用 任 何 参 数 即 可 完 成 所 有 的 信 息 查 询 ， 并 将 数 据 输 出 至 . / o u t p u t . j s o n 。 收 集 器 必 须 以 r o o t 用 户 权 限 运 行 ： 注 入 器 注 入 器 注 入 器 必 须 部 署 在 能 够 跟 B l o o d h o u n d 的 N e o 4 J 数 据 库 建 立 T C P 连 接 的 主 机 上 运 行 ， 最 好 是 将 N e o 4 J 数 据 库 部 署 在 本 地 服 务 器 上 ， 以 避 免 安 全 风 险 。 注 入 器 需 要 安 装 P y t h o n 版 的 N e o 4 J 驱 动 程 序 。 许 可 证 协 议 许 可 证 协 议 本 项 目 的 开 发 与 发 布 遵 循 G P L - 3 . 0 开 源 许 可 证 协 议 。 项 目 地 址 项 目 地 址 M a c H o u n d ： 【 点 击 底 部 阅 读 原 文 获 取 】 精 彩 推 荐 精 彩 推 荐 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / X M C y b e r / M a c H o u n d . g i t c o l l e c t o r . p y   - o   < o u t p u t _ f i l e >   - c   < A d m i n , C a n S S H , C a n V N C , C a n A E , H a s S e s s i o n >   [ - v ]   [ - l   l o g _ f i l e _ p a t h ] i n g e s t o r . p y   < u r l _ t o _ n e o 4 j >   - u   < u s e r n a m e >   - p   < p a s s w o r d >   - i   < j s o n _ f o l d e r >
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理