运用macOS Dock实现攻击持久化
发布时间：2022-08-04 10:17:47 所属栏目：安全 来源：互联网
导读：近期，我一直专注于macOS持久化领域，特别选择了一些较低级别用户可以修改的文件，而这些文件可能会影响用户交互。我发现，终端用户经常进行交互的一个位置是Dock。 二、攻击方式 前面已经说过，这种持久化方式需要将恶意应用程序上传到目标。在此过程中，有
|
近期，我一直专注于macOS持久化领域，特别选择了一些较低级别用户可以修改的文件，而这些文件可能会影响用户交互。我发现，终端用户经常进行交互的一个位置是Dock。 二、攻击方式 前面已经说过，这种持久化方式需要将恶意应用程序上传到目标。在此过程中，有多种方法可以绕过Gatekeeper保护，允许我们将恶意应用程序上传到目标。这些方法包括： 1、压缩应用程序包，在Mythic代理（Apfell或Poseidon）中使用上传命令，然后在目标计算机中解压缩。 2、压缩应用程序包，在某个位置托管，使用curl下载到目标，然后在目标计算机中解压缩。 3、压缩应用程序包，进行Base64编码，在进行Base64解码后保存到目标上，然后在目标计算机中解压缩。 作为概念验证（PoC），我仅仅是在“自动操作”（Automator）中创建了一个应用程序。PoC应用程序会打开Safari浏览器，这样就避免了终端用户没有感知的情况。然后，它将运行我们的Apfell Payload。 接下来，我压缩应用程序包，并将其上传到目标。在解压缩到/Users/Shared/之后，我们可以集中精力，在满足前提条件的情况下调用持久化方法。 注意：由于plist的二进制格式，自动实现要求将虚假的应用程序命名为“Google Chrome”或“Safari”，并且位于/Users/Shared/中。我们可以修改Safari64和Chrome64变量，以更改此位置。 三、检测方法 Crescendo是一个能在主机上迅速捕获事件的绝佳工具。Crescendo可以作为macOS的实时事件查看器，它的一项出色功能就是利用了Apple的终端安全框架（ESF）。ESF可以监视系统事件中是否存在潜在的恶意活动，实际上它是系统扩展框架中的一个API。与Windows相比较，可以将其理解为macOS上一个功能有限的事件追踪（ETW）。 通过Crescendo，我们可以轻松地查看由持久化执行创建的文件和进程事件。 （编辑：云计算网_泰州站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
浙公网安备 33038102330476号