Rozszerzenia jądra macOS

Nauka hakerskiego AWS od zera do bohatera z htARTE (HackTricks AWS Red Team Expert)!

Czy pracujesz w firmie zajmującej się cyberbezpieczeństwem? Chcesz zobaczyć swoją firmę reklamowaną na HackTricks? A może chcesz uzyskać dostęp do najnowszej wersji PEASS lub pobrać HackTricks w formacie PDF? Sprawdź PLANY SUBSKRYPCYJNE!
Odkryj Rodzinę PEASS, naszą ekskluzywną kolekcję NFT
Zdobądź oficjalne gadżety PEASS i HackTricks
Dołącz do 💬 grupy Discord lub grupy telegram albo śledź mnie na Twitterze 🐦@carlospolopm.
Podziel się swoimi sztuczkami hakerskimi, wysyłając PR do repozytorium hacktricks i repozytorium hacktricks-cloud.

Podstawowe informacje

Rozszerzenia jądra (Kexts) to pakiety z rozszerzeniem .kext, które są ładowane bezpośrednio do przestrzeni jądra macOS, zapewniając dodatkową funkcjonalność głównemu systemowi operacyjnemu.

Wymagania

Oczywiście jest to tak potężne, że ładowanie rozszerzenia jądra jest skomplikowane. Oto wymagania, które musi spełnić rozszerzenie jądra, aby zostać załadowane:

Podczas wejścia w tryb odzyskiwania, rozszerzenia jądra muszą być dozwolone do załadowania:

Rozszerzenie jądra musi być podpisane certyfikatem podpisywania kodu jądra, który może być udzielony tylko przez Apple. Firma dokładnie przeanalizuje firmę i powody, dla których jest to potrzebne.
Rozszerzenie jądra musi również być znotaryzowane, aby Apple mogło sprawdzić je pod kątem złośliwego oprogramowania.
Następnie użytkownik root może załadować rozszerzenie jądra, a pliki wewnątrz pakietu muszą należeć do roota.
Podczas procesu ładowania pakiet musi być przygotowany w chronionym miejscu niebędącym rootem: /Library/StagedExtensions (wymaga przyznania com.apple.rootless.storage.KernelExtensionManagement).
Wreszcie, podczas próby załadowania, użytkownik otrzyma prośbę o potwierdzenie, a jeśli zostanie zaakceptowana, komputer musi zostać ponownie uruchomiony, aby załadować rozszerzenie.

Proces ładowania

W przypadku systemu Catalina wyglądało to tak: Warto zauważyć, że proces weryfikacji zachodzi w przestrzeni użytkownika. Jednak tylko aplikacje posiadające przyznanie com.apple.private.security.kext-management mogą żądać od jądra załadowania rozszerzenia: kextcache, kextload, kextutil, kextd, syspolicyd

kextutil wiersz poleceń rozpoczyna proces weryfikacji ładowania rozszerzenia

Będzie rozmawiał z kextd, wysyłając używając usługi Mach.

kextd sprawdzi kilka rzeczy, takich jak podpis

Będzie rozmawiał z syspolicyd, aby sprawdzić, czy rozszerzenie może być załadowane.

syspolicyd poprosi użytkownika, jeśli rozszerzenie nie zostało wcześniej załadowane.

syspolicyd przekaże wynik do kextd

kextd w końcu będzie mógł powiedzieć jądrze, aby załadowało rozszerzenie

Jeśli kextd nie jest dostępny, kextutil może wykonać te same sprawdzenia.

Referencje