Mirrors/hacktricks

Fork 0

mirror of https://github.com/carlospolop/hacktricks synced 2025-01-09 11:48:51 +00:00

Translator 32599d49be Translated ['macos-hardening/macos-security-and-privilege-escalation/mac

2024-01-04 10:21:30 +00:00

20 KiB

Raw Blame History

macOS SIP

Apprenez le hacking AWS de zéro à héros avec htARTE (HackTricks AWS Red Team Expert)!

Autres moyens de soutenir HackTricks :

Si vous souhaitez voir votre entreprise annoncée dans HackTricks ou télécharger HackTricks en PDF, consultez les PLANS D'ABONNEMENT!
Obtenez le merchandising officiel PEASS & HackTricks
Découvrez La Famille PEASS, notre collection d'NFTs exclusifs
Rejoignez le 💬 groupe Discord ou le groupe Telegram ou suivez-moi sur Twitter 🐦 @carlospolopm.
Partagez vos astuces de hacking en soumettant des PR aux dépôts github HackTricks et HackTricks Cloud.

Informations de base

System Integrity Protection (SIP) est une technologie de sécurité dans macOS qui protège certains répertoires système contre les accès non autorisés, même pour l'utilisateur root. Elle empêche les modifications de ces répertoires, y compris la création, la modification ou la suppression de fichiers. Les principaux répertoires que SIP protège sont :

/System
/bin
/sbin
/usr

Les règles de protection pour ces répertoires et leurs sous-répertoires sont spécifiées dans le fichier /System/Library/Sandbox/rootless.conf. Dans ce fichier, les chemins commençant par une étoile (*) représentent des exceptions aux restrictions de SIP.

Par exemple, la configuration suivante :

/usr
* /usr/libexec/cups
* /usr/local
* /usr/share/man

indique que le répertoire /usr est généralement protégé par SIP. Cependant, des modifications sont autorisées dans les trois sous-répertoires spécifiés (/usr/libexec/cups, /usr/local, et /usr/share/man), car ils sont listés avec un astérisque initial (*).

Pour vérifier si un répertoire ou un fichier est protégé par SIP, vous pouvez utiliser la commande ls -lOd pour vérifier la présence du drapeau restricted ou sunlnk. Par exemple :

ls -lOd /usr/libexec/cups
drwxr-xr-x  11 root  wheel  sunlnk 352 May 13 00:29 /usr/libexec/cups

Dans ce cas, le drapeau sunlnk signifie que le répertoire /usr/libexec/cups lui-même ne peut pas être supprimé, bien que les fichiers à l'intérieur puissent être créés, modifiés ou supprimés.

D'autre part :

ls -lOd /usr/libexec
drwxr-xr-x  338 root  wheel  restricted 10816 May 13 00:29 /usr/libexec

Ici, le drapeau restricted indique que le répertoire /usr/libexec est protégé par SIP. Dans un répertoire protégé par SIP, les fichiers ne peuvent pas être créés, modifiés ou supprimés.

De plus, si un fichier contient l'attribut étendu com.apple.rootless, ce fichier sera également protégé par SIP.

SIP limite également d'autres actions du root telles que :

Charger des extensions de noyau non fiables
Obtenir des task-ports pour les processus signés par Apple
Modifier les variables NVRAM
Permettre le débogage du noyau

Les options sont maintenues dans la variable nvram comme un bitflag (csr-active-config sur Intel et lp-sip0 est lu à partir de l'arbre de périphériques démarré pour ARM). Vous pouvez trouver les drapeaux dans le code source XNU dans csr.sh :

Statut de SIP

Vous pouvez vérifier si SIP est activé sur votre système avec la commande suivante :

csrutil status

Si vous devez désactiver SIP, vous devez redémarrer votre ordinateur en mode de récupération (en appuyant sur Commande+R pendant le démarrage), puis exécuter la commande suivante :

csrutil disable

Si vous souhaitez conserver SIP activé mais supprimer les protections de débogage, vous pouvez le faire avec :

csrutil enable --without debug

Autres restrictions

SIP impose également plusieurs autres restrictions. Par exemple, il interdit le chargement d'extensions de noyau non signées (kexts) et empêche le débogage des processus système de macOS. Il inhibe également des outils comme dtrace de l'inspection des processus système.

Plus d'infos sur SIP dans cette présentation.

Contournements de SIP

Si un attaquant parvient à contourner SIP, voici ce qu'il pourra faire :

Lire les mails, messages, l'historique Safari... de tous les utilisateurs
Accorder des permissions pour la webcam, le microphone ou autre (en écrivant directement sur la base de données TCC protégée par SIP) - contournement de TCC
Persistance : Il pourrait sauvegarder un malware dans un emplacement protégé par SIP et même root ne pourra pas le supprimer. Il pourrait également altérer MRT.
Facilité pour charger des extensions de noyau (même si d'autres protections hardcore sont en place pour cela).

Paquets d'installation

Les paquets d'installation signés avec le certificat d'Apple peuvent contourner ses protections. Cela signifie que même les paquets signés par des développeurs standards seront bloqués s'ils tentent de modifier des répertoires protégés par SIP.

Fichier SIP inexistant

Une faille potentielle est que si un fichier est spécifié dans rootless.conf mais n'existe pas actuellement, il peut être créé. Un malware pourrait exploiter cela pour établir une persistance sur le système. Par exemple, un programme malveillant pourrait créer un fichier .plist dans /System/Library/LaunchDaemons s'il est listé dans rootless.conf mais absent.

com.apple.rootless.install.heritable

{% hint style="danger" %} Le droit com.apple.rootless.install.heritable permet de contourner SIP {% endhint %}

Shrootless

Des chercheurs de ce billet de blog ont découvert une vulnérabilité dans le mécanisme de Protection de l'Intégrité du Système (SIP) de macOS, surnommée la vulnérabilité 'Shrootless'. Cette vulnérabilité concerne le daemon system_installd, qui possède un droit, com.apple.rootless.install.heritable, permettant à tous ses processus enfants de contourner les restrictions du système de fichiers de SIP.

Le daemon system_installd installera des paquets qui ont été signés par Apple.

Les chercheurs ont découvert que lors de l'installation d'un paquet signé par Apple (.pkg), system_installd exécute tous les scripts post-installation inclus dans le paquet. Ces scripts sont exécutés par le shell par défaut, zsh, qui exécute automatiquement les commandes du fichier /etc/zshenv, s'il existe, même en mode non interactif. Ce comportement pourrait être exploité par des attaquants : en créant un fichier /etc/zshenv malveillant et en attendant que system_installd invoque zsh, ils pourraient effectuer des opérations arbitraires sur l'appareil.

De plus, il a été découvert que /etc/zshenv pourrait être utilisé comme technique d'attaque générale, pas seulement pour un contournement de SIP. Chaque profil utilisateur a un fichier ~/.zshenv, qui se comporte de la même manière que /etc/zshenv mais ne nécessite pas de permissions root. Ce fichier pourrait être utilisé comme mécanisme de persistance, se déclenchant chaque fois que zsh démarre, ou comme mécanisme d'élévation de privilège. Si un utilisateur admin s'élève en root en utilisant sudo -s ou sudo <command>, le fichier ~/.zshenv serait déclenché, élevant efficacement en root.

CVE-2022-22583

Dans CVE-2022-22583, il a été découvert que le même processus system_installd pouvait encore être abusé car il plaçait le script post-installation dans un dossier nommé aléatoirement protégé par SIP dans /tmp. Le fait est que /tmp lui-même n'est pas protégé par SIP, il était donc possible de monter une image virtuelle dessus, puis l'installateur y mettrait le script post-installation, démonterait l'image virtuelle, recréerait tous les dossiers et ajouterait le script de post installation avec le payload à exécuter.

utilitaire fsck_cs

Le contournement a exploité le fait que fsck_cs suivrait les liens symboliques et tenterait de réparer le système de fichiers qui lui est présenté.

Ainsi, un attaquant pourrait créer un lien symbolique pointant de /dev/diskX vers /System/Library/Extensions/AppleKextExcludeList.kext/Contents/Info.plist et invoquer fsck_cs sur le premier. Comme le fichier Info.plist devient corrompu, le système d'exploitation ne pourrait plus contrôler les exclusions d'extensions de noyau, contournant ainsi SIP.

{% code overflow="wrap" %}

ln -s /System/Library/Extensions/AppleKextExcludeList.kext/Contents/Info.plist /dev/diskX
fsck_cs /dev/diskX 1>&-
touch /Library/Extensions/
reboot

{% endcode %}

Le fichier Info.plist mentionné précédemment, maintenant détruit, est utilisé par SIP pour mettre sur liste blanche certaines extensions de noyau et spécifiquement bloquer d'autres pour empêcher leur chargement. Normalement, il met sur liste noire l'extension de noyau propre à Apple AppleHWAccess.kext, mais avec le fichier de configuration détruit, nous pouvons maintenant la charger et l'utiliser pour lire et écrire à notre guise dans et depuis la RAM du système.

Monter sur des dossiers protégés par SIP

Il était possible de monter un nouveau système de fichiers sur des dossiers protégés par SIP pour contourner la protection.

mkdir evil
# Add contento to the folder
hdiutil create -srcfolder evil evil.dmg
hdiutil attach -mountpoint /System/Library/Snadbox/ evil.dmg

Contournement de la mise à niveau (2016)

Lorsqu'exécutée, l'application de mise à niveau/installation (par exemple Install macOS Sierra.app) prépare le système pour démarrer à partir d'une image disque d'installation (qui est intégrée dans l'application téléchargée). Cette image disque d'installation contient la logique pour mettre à niveau le système d'exploitation, par exemple de OS X El Capitan à macOS Sierra.

Afin de démarrer le système à partir de l'image de mise à niveau/installation (InstallESD.dmg), l'application Install macOS Sierra.app utilise l'utilitaire bless (qui hérite de l'entitlement com.apple.rootless.install.heritable):