Shield——一个规避在macOS上进行进程注入的应用程序

在过去的两年中，研究人员开始深入研究macOS安全性问题，随着研究的愈加深入，该研究人员发现除了内存损坏漏洞之外，macOS的首要问题是在其他应用程序的上下文中运行代码。其原因在于macOS的安全模型（实际上也包括* OS），每个应用程序都有一个权限列表，可授予该应用程序各种权限。如果我们仅使用第三方应用程序，则大多数情况是围绕沙盒（例如，访问网络）或在没有沙盒的情况下可以做什么，可以访问哪个隐私（TCC）保护区域，例如摄像机，麦克风，消息等。在TCC的情况下，如果我们不拥有这些权限，即使我们以root身份运行，也无法访问这些资源或位置。

对于Apple二进制文件，有数百种不同的Apple私有权限是第三方应用程序无法拥有的，例如，它们可以控制对SIP保护区域的访问或加载内核扩展的能力。

要添加到此列表中，XPC跨进程通信的基本保护之一是控制谁可以与特定XPC服务进行通信的能力，尤其是在其中一个进程具有特权的情况下。对于苹果公司来说，这通常是通过授权来完成的，而对于第三方而言，这是通过代码签名验证来完成的。在这两种情况下，如果我们都可以代表XPC客户端运行代码，就能够与特权XPC服务进行通信。

该列表可以不停地进行，钥匙串有时还根据代码签名来控制访问。

这意味着，如果我们可以向应用程序中注入代码，则可以获得其权限，这就是为什么过程注入功能在macOS上受到严格控制的原因。苹果公司在保护自己的应用程序方面做得很好，尽管有时他们也会有疏忽，例如

不幸的是，第三方应用程序并不是很好。这就导致了大量的XPC漏洞，这些漏洞通常会允许用户将其特权升级到root。绕过TCC进行攻击的场景也很常见，攻击者可以在攻击中访问敏感位置，例如：Microsoft AutoUpdate中的或Zoom程序中的

（编辑：温州站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!