boko Сканер уязвимостей перехвата приложений для macOS

boko.py — это сканер приложений для macOS, который ищет и выявляет потенциальные уязвимости dylib-перехвата (dylib hijacking) и слабых dylib для исполняемых файлов приложений, а также скрипты, используемые приложением, которые могут быть потенциально бэкдорированы. Инструмент также отмечает интересные файлы и выводит их список вместо ручного просмотра файловой системы для анализа. Благодаря функции активного обнаружения больше не нужно гадать, уязвим ли исполняемый файл для dylib-перехвата!

Причина создания этого инструмента — желание получить больший контроль над данными, которые обнаруживает Dylib Hijack Scanner. Большинство общедоступных сканеров прекращают работу после обнаружения первого случая уязвимого dylib, не раскрывая остальные rpath. Поскольку иногда первый результат раскрывается в несуществующем файле в защищённой области SIP, мне хотелось получить и остальные раскрытые пути. Из-за этого возникают ложные срабатывания, поэтому инструмент присваивает каждому элементу поле уверенности (certainty).

Основа этого инструмента — scan.py из DylibHijack от Patrick Wardle (@synack).

Ознакомьтесь с Wiki для получения дополнительной информации об использовании boko и его применении в качестве класса для ваших собственных целей.

Использование:

boko.py [-h] (-r | -i | -p /path/to/app) (-A | -P | -b) [-oS outputfile | -oC outputfile | -oA outputfile] [-s] [-v]

Параметры:

Рекомендуется только использовать активный режим (-A) с флагом -p и выбором конкретной программы. Также имеет смысл использовать -v с -oS или -oA, если вы не ищете только уязвимости с определённой уверенностью.

Предупреждение: Настоятельно не рекомендуется запускать этот инструмент с флагами -i и (-A или -b) одновременно. Эта комбинация будет открывать каждый исполняемый файл в системе на 3 секунды. Я не несу ответственности за сбой или замедление работы вашей системы в результате такого запуска. Кроме того, если в вашей системе есть бездействующее вредоносное ПО, оно будет выполнено. Также я рекомендую не сканировать всю директорию /Applications, если у вас установлен Xcode, потому что это занимает очень много времени.

Требования:

• Python 3
• python -m pip install psutil

Процесс выполнения:

Пассивный режим:

Запущенные процессы:

• Определить все запущенные процессы в системе
• Получить полный путь к исполняемому файлу запущенного процесса
• Прочитать исполняемые файлы и определить заголовки Mach-O
• Определить относительные пути dylib, которые загружаются, и проверить, существуют ли файлы в этом расположении
• Вывести перехватываемые dylib и слабые dylib для запущенных приложений

Установленные/Приложение:

• Просканировать полную директорию приложения на наличие всех файлов
• Определить исполняемые файлы, скрипты и другие интересные файлы в директории приложения
• Прочитать исполняемые файлы и определить заголовки Mach-O или является ли файл скриптом
• Определить относительные пути dylib, которые загружаются, и проверить, существуют ли файлы в этом расположении
• Вывести перехватываемые dylib, слабые dylib, скрипты, доступные для бэкдорирования, и интересные файлы (только в подробном режиме)

Активный режим:

Запущенные процессы:

• Определить все запущенные процессы в системе
• Получить полный путь к исполняемому файлу запущенного процесса
• Прочитать исполняемые файлы и определить заголовки Mach-O
• Запустить исполняемые бинарные файлы на 3 секунды и проанализировать rpath, которые пытаются загрузиться
• Вывести перехватываемые dylib и слабые dylib для запущенных приложений

Приложение:

• Просканировать полную директорию приложения на наличие всех файлов
• Определить исполняемые файлы, скрипты и другие интересные файлы в директории приложения
• Прочитать исполняемые файлы и определить заголовки Mach-O или является ли файл скриптом
• Запустить исполняемые бинарные файлы на 3 секунды и проанализировать rpath, которые пытаются загрузиться
• Вывести перехватываемые dylib, слабые dylib, скрипты, доступные для бэкдорирования, и интересные файлы (только в подробном режиме)

Предлагаемые улучшения:

• Многопоточность для более быстрого полного сканирования системы

Создано Jesse Nebling (@bashexplode)