DylibHijackTest

Voraussetzungen

• Installiere die Python3-Abhängigkeiten: pip3 install -r requirements.txt
• Kompiliere das Dylib aus dem Quellcode, da du kompilierten Dingen von GitHub nicht vertrauen solltest: gcc -dynamiclib DylibHijackTest.c -o DylibHijackTest.dylib

Funktionsweise

⚠️ Dies wird viele Prozesse auf deinem Rechner starten, führe dies in einer VM aus: Sei hier sehr vorsichtig!

• inject.py
  • Einen Ordner rekursiv durchsuchen und nach Mach-O-Binaries mit MH_EXECUTE-Header suchen
  • Die Mach-O-Binary mit der Umgebungsvariable DYLD_INSERT_LIBRARIES starten, die auf unser schädliches Dylib verweist
  • Das gesamte stdout in eine Datei umleiten und stderr nach /dev/null
• inspect.py
  • Die Textdatei-Ausgabe von inject.py verwenden, um zu sehen, welche Mach-Os injizierbar sind, und mit codesign nach nützlichen Entitlements suchen
  • Party!!!

Verwendung

$ python3 inject.py /Applications/iMovie.app /Users/slyd0g/DylibHijackTest.dylib > imovie.txt 2> /dev/null
$ python3 inspect.py /Users/slyd0g/Projects/DylibHijackTest/imovie.txt