macOS Dangerous Entitlements & TCC perms

Reading time: 9 minutes

tip

学习和实践 AWS 黑客技术：HackTricks Training AWS Red Team Expert (ARTE)
学习和实践 GCP 黑客技术：HackTricks Training GCP Red Team Expert (GRTE) 学习和实践 Azure 黑客技术：HackTricks Training Azure Red Team Expert (AzRTE)

支持 HackTricks

查看 订阅计划!
加入 💬 Discord 群组 或 Telegram 群组 或在 Twitter 🐦 上关注我们 @hacktricks_live.
通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。

warning

请注意，以 com.apple 开头的权限不对第三方开放，只有 Apple 可以授予它们。

高

`com.apple.rootless.install.heritable`

权限 com.apple.rootless.install.heritable 允许 绕过 SIP。查看此处获取更多信息。

`com.apple.rootless.install`

权限 com.apple.rootless.install 允许 绕过 SIP。查看此处获取更多信息。

`com.apple.system-task-ports` (之前称为 `task_for_pid-allow`)

此权限允许获取任何进程的 任务端口，除了内核。查看 此处获取更多信息。

`com.apple.security.get-task-allow`

此权限允许其他具有 com.apple.security.cs.debugger 权限的进程获取由具有此权限的二进制文件运行的进程的任务端口并 注入代码。查看 此处获取更多信息。

`com.apple.security.cs.debugger`

具有调试工具权限的应用可以调用 task_for_pid() 来检索未签名和第三方应用的有效任务端口，这些应用的 Get Task Allow 权限设置为 true。然而，即使拥有调试工具权限，调试器 无法获取 没有 Get Task Allow 权限的进程的任务端口，因此这些进程受到系统完整性保护的保护。查看 此处获取更多信息。

`com.apple.security.cs.disable-library-validation`

此权限允许 加载框架、插件或库，而不需要由 Apple 签名或与主可执行文件具有相同的团队 ID 签名，因此攻击者可以利用某些任意库加载来注入代码。查看 此处获取更多信息。

`com.apple.private.security.clear-library-validation`

此权限与 com.apple.security.cs.disable-library-validation 非常相似，但不是 直接禁用 库验证，而是允许进程 调用 csops 系统调用来禁用它。
查看 此处获取更多信息。

`com.apple.security.cs.allow-dyld-environment-variables`

此权限允许 使用 DYLD 环境变量，这些变量可用于注入库和代码。查看 此处获取更多信息。

`com.apple.private.tcc.manager` 或 `com.apple.rootless.storage`.`TCC`

根据这篇博客 和 这篇博客，这些权限允许修改 TCC 数据库。

`system.install.apple-software` 和 `system.install.apple-software.standar-user`

这些权限允许 在不询问用户权限的情况下安装软件，这对于 权限提升 很有帮助。

`com.apple.private.security.kext-management`

请求 内核加载内核扩展 所需的权限。

`com.apple.private.icloud-account-access`

权限 com.apple.private.icloud-account-access 使得与 com.apple.iCloudHelper XPC 服务进行通信成为可能，该服务将 提供 iCloud 令牌。

iMovie 和 Garageband 拥有此权限。

有关利用此权限 获取 iCloud 令牌 的更多信息，请查看演讲：#OBTS v5.0: "What Happens on your Mac, Stays on Apple's iCloud?!" - Wojciech Regula

`com.apple.private.tcc.manager.check-by-audit-token`

TODO: 我不知道这允许做什么

`com.apple.private.apfs.revert-to-snapshot`

TODO: 在 这份报告 中提到这可能用于 在重启后更新 SSV 保护的内容。如果你知道如何，请发送 PR！

`com.apple.private.apfs.create-sealed-snapshot`

TODO: 在 这份报告 中提到这可能用于 在重启后更新 SSV 保护的内容。如果你知道如何，请发送 PR！

`keychain-access-groups`

此权限列出了应用可以访问的 钥匙串 组：

xml

<key>keychain-access-groups</key>
<array>
<string>ichat</string>
<string>apple</string>
<string>appleaccount</string>
<string>InternetAccounts</string>
<string>IMCore</string>
</array>

`kTCCServiceSystemPolicyAllFiles`

授予完全磁盘访问权限，这是您可以拥有的TCC最高权限之一。

`kTCCServiceAppleEvents`

允许应用程序向其他常用于自动化任务的应用程序发送事件。通过控制其他应用程序，它可以滥用授予这些其他应用程序的权限。

例如，让它们要求用户输入密码：

bash

osascript -e 'tell app "App Store" to activate' -e 'tell app "App Store" to activate' -e 'tell app "App Store" to display dialog "App Store requires your password to continue." & return & return default answer "" with icon 1 with hidden answer with title "App Store Alert"'

或使它们执行 任意操作。

包含此权限会使您的应用程序暴露于内存不安全代码语言中的常见漏洞。请仔细考虑您的应用程序是否需要此例外。

`com.apple.security.cs.disable-executable-page-protection`

此权限允许 修改其自身可执行文件 在磁盘上的部分以强制退出。查看 更多信息。

caution

禁用可执行内存保护权限是一种极端权限，它从您的应用程序中移除了基本的安全保护，使攻击者能够在不被检测的情况下重写您应用程序的可执行代码。如果可能，优先选择更狭窄的权限。

[Key] com.apple.private.tcc.allow-prompting
[Value]
[Array]
[String] kTCCServiceAll

允许进程请求所有TCC权限。

`kTCCServicePostEvent`

tip

支持 HackTricks

查看 订阅计划!
加入 💬 Discord 群组 或 Telegram 群组 或在 Twitter 🐦 上关注我们 @hacktricks_live.
通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。

HackTricks