macOS Dangerous Entitlements & TCC perms

Reading time: 6 minutes

tip

Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Podržite HackTricks

Proverite planove pretplate!
Pridružite se 💬 Discord grupi ili telegram grupi ili pratite nas na Twitteru 🐦 @hacktricks_live.
Podelite hakerske trikove slanjem PR-ova na HackTricks i HackTricks Cloud github repozitorijume.

warning

Imajte na umu da entitlements koji počinju sa com.apple nisu dostupni trećim stranama, samo Apple može da ih dodeli.

High

`com.apple.rootless.install.heritable`

Entitlement com.apple.rootless.install.heritable omogućava obiđite SIP. Proverite ovo za više informacija.

`com.apple.rootless.install`

Entitlement com.apple.rootless.install omogućava obiđite SIP. Proverite ovo za više informacija.

`com.apple.system-task-ports` (ranije nazvan `task_for_pid-allow`)

Ovaj entitlement omogućava dobijanje task porta za bilo koji proces, osim za kernel. Proverite ovo za više informacija.

`com.apple.security.get-task-allow`

Ovaj entitlement omogućava drugim procesima sa com.apple.security.cs.debugger entitlementom da dobiju task port procesa koji pokreće binarni fajl sa ovim entitlementom i ubace kod u njega. Proverite ovo za više informacija.

`com.apple.security.cs.debugger`

Aplikacije sa Entitlementom za Alate za Debagovanje mogu pozvati task_for_pid() da dobiju važeći task port za nesignirane i treće strane aplikacije sa Get Task Allow entitlementom postavljenim na true. Međutim, čak i sa entitlementom za alat za debagovanje, debager ne može dobiti task portove procesa koji nemaju Get Task Allow entitlement, i koji su stoga zaštićeni Sistemskom Integritetom. Proverite ovo za više informacija.

`com.apple.security.cs.disable-library-validation`

Ovaj entitlement omogućava učitavanje frameworka, plug-inova ili biblioteka bez da budu potpisani od strane Apple-a ili potpisani sa istim Team ID kao glavni izvršni fajl, tako da bi napadač mogao da zloupotrebi učitavanje neke proizvoljne biblioteke da ubaci kod. Proverite ovo za više informacija.

`com.apple.private.security.clear-library-validation`

Ovaj entitlement je vrlo sličan com.apple.security.cs.disable-library-validation ali umesto da direktno onemogući validaciju biblioteka, omogućava procesu da pozove csops sistemski poziv da ga onemogući.
Proverite ovo za više informacija.

`com.apple.security.cs.allow-dyld-environment-variables`

Ovaj entitlement omogućava korišćenje DYLD promenljivih okruženja koje bi mogle biti korišćene za ubacivanje biblioteka i koda. Proverite ovo za više informacija.

`com.apple.private.tcc.manager` ili `com.apple.rootless.storage`.`TCC`

Prema ovom blogu i ovom blogu, ovi entitlements omogućavaju modifikaciju TCC baze podataka.

`system.install.apple-software` i `system.install.apple-software.standar-user`

Ovi entitlements omogućavaju instalaciju softvera bez traženja dozvola od korisnika, što može biti korisno za povećanje privilegija.

`com.apple.private.security.kext-management`

Entitlement potreban za traženje od kernela da učita kernel ekstenziju.

`com.apple.private.icloud-account-access`

Entitlement com.apple.private.icloud-account-access omogućava komunikaciju sa com.apple.iCloudHelper XPC servisom koji će obezbediti iCloud tokene.

iMovie i Garageband su imali ovaj entitlement.

Za više informacija o eksploatu za dobijanje iCloud tokena iz tog entitlementa proverite predavanje: #OBTS v5.0: "Šta se dešava na vašem Mac-u, ostaje na Apple-ovom iCloud-u?!" - Wojciech Regula

`com.apple.private.tcc.manager.check-by-audit-token`

TODO: Ne znam šta ovo omogućava

`com.apple.private.apfs.revert-to-snapshot`

TODO: U ovom izveštaju se pominje da bi ovo moglo biti korišćeno za ažuriranje SSV-zaštićenog sadržaja nakon ponovnog pokretanja. Ako znate kako, pošaljite PR, molim vas!

`com.apple.private.apfs.create-sealed-snapshot`

TODO: U ovom izveštaju se pominje da bi ovo moglo biti korišćeno za ažuriranje SSV-zaštićenog sadržaja nakon ponovnog pokretanja. Ako znate kako, pošaljite PR, molim vas!

`keychain-access-groups`

Ovaj entitlement lista keychain grupa kojima aplikacija ima pristup:

xml

<key>keychain-access-groups</key>
<array>
<string>ichat</string>
<string>apple</string>
<string>appleaccount</string>
<string>InternetAccounts</string>
<string>IMCore</string>
</array>

`kTCCServiceSystemPolicyAllFiles`

Daje Full Disk Access dozvole, jednu od najviših TCC dozvola koje možete imati.

`kTCCServiceAppleEvents`

Omogućava aplikaciji da šalje događaje drugim aplikacijama koje se obično koriste za automatsko izvršavanje zadataka. Kontrolisanjem drugih aplikacija, može zloupotrebiti dozvole koje su dodeljene tim drugim aplikacijama.

Kao što je da ih natera da traže od korisnika njegovu lozinku:

bash

osascript -e 'tell app "App Store" to activate' -e 'tell app "App Store" to activate' -e 'tell app "App Store" to display dialog "App Store requires your password to continue." & return & return default answer "" with icon 1 with hidden answer with title "App Store Alert"'

Ili da ih naterate da izvrše arbitrarne radnje.

`kTCCServiceEndpointSecurityClient`

Omogućava, između ostalog, da piše u TCC bazu podataka korisnika.

`kTCCServiceSystemPolicySysAdminFiles`

Omogućava da promeni NFSHomeDirectory atribut korisnika koji menja putanju svog domaćeg foldera i tako omogućava da obiđe TCC.

`kTCCServiceSystemPolicyAppBundles`

Omogućava modifikaciju fajlova unutar aplikacija (unutar app.app), što je podrazumevano zabranjeno.

Moguće je proveriti ko ima ovaj pristup u System Settings > Privacy & Security > App Management.

`kTCCServiceAccessibility`

Proces će moći da zloupotrebi macOS funkcije pristupa, što znači da će, na primer, moći da pritisne tastere. Tako bi mogao zatražiti pristup za kontrolu aplikacije kao što je Finder i odobriti dijalog sa ovom dozvolom.

Medium

`com.apple.security.cs.allow-jit`

Ova dozvola omogućava da se kreira memorija koja je zapisiva i izvršna prosleđivanjem MAP_JIT oznake mmap() sistemskoj funkciji. Proverite ovo za više informacija.

`com.apple.security.cs.allow-unsigned-executable-memory`

Ova dozvola omogućava da se prepiše ili zakrpi C kod, koristi dugo ukinutu NSCreateObjectFileImageFromMemory (koja je fundamentalno nesigurna), ili koristi DVDPlayback okvir. Proverite ovo za više informacija.

caution

Uključivanje ove dozvole izlaže vašu aplikaciju uobičajenim ranjivostima u jezicima koda koji nisu sigurni u memoriji. Pažljivo razmotrite da li vaša aplikacija treba ovu izuzetak.

`com.apple.security.cs.disable-executable-page-protection`

Ova dozvola omogućava da se modifikuju delovi vlastitih izvršnih fajlova na disku kako bi se prisilno izašlo. Proverite ovo za više informacija.