MacOS ThreatTrack v2.0

适用于macOS系统的增强型安全信息收集工具，具备高级威胁检测能力。

描述

MacOSThreatTrack 是一款基于 Bash 的全面的安全侦察工具，旨在主动检测 macOS 系统上的恶意活动。此增强版提供广泛的系统信息收集、威胁检测能力以及数字取证数据收集。

灵感来源于 Venator-Swift，并增加了额外的安全功能。

功能

🔍 增强的信息收集

• 系统信息：主机名、UUID、macOS 版本、内核版本、处理器信息、内存、磁盘信息、网络接口、运行时间、启动时间、时区
• 用户数据：用户列表（含管理员状态）、环境变量、最后登录信息
• 进程分析：正在运行的进程、可疑进程、高 CPU 占用进程、网络进程
• 网络信息：活动连接、监听端口、ARP 表、路由表、DNS 服务器
• 安全状态：SIP 状态、GateKeeper 状态、FileVault 状态、防火墙状态、自动更新状态

🛡️ 安全与威胁检测

• 威胁指标：可疑进程、连接、文件及网络活动
• 文件系统分析：近期文件、可疑文件、大文件、隐藏文件
• 系统日志：最近一小时的错误日志、认证日志、网络日志
• 浏览器数据：Safari 和 Chrome 的书签、扩展分析

📊 输出格式

• JSON 输出：结构化数据，适用于自动化分析和集成
• 文本输出：人类可读格式，便于人工审查
• 文件导出：将结果保存到指定文件

🔧 增强功能

• 错误处理：稳健的错误处理与日志记录
• 详细日志记录：详细的调试与分析日志
• 模块化设计：组织良好、易于维护的代码结构
• 命令行选项：灵活的多种执行选项

安装与使用

一键执行

curl https://raw.githubusercontent.com/ab2pentest/MacOSThreatTrack/main/MacOSThreatTrack.sh | bash

本地执行

chmod +x MacOSThreatTrack.sh
./MacOSThreatTrack.sh [OPTIONS]

命令行选项

Usage: MacOSThreatTrack.sh [OPTIONS]

Options:
  -j, --json          Output in JSON format (default)
  -t, --text          Output in text format
  -o, --output FILE   Save output to file
  -v, --verbose       Enable verbose logging
  -h, --help          Show help message

Examples:
  ./MacOSThreatTrack.sh                  # Run with default JSON output
  ./MacOSThreatTrack.sh -t               # Run with text output
  ./MacOSThreatTrack.sh -o report.json   # Save JSON output to file
  ./MacOSThreatTrack.sh -v -t            # Run with verbose logging and text output

收集的信息

系统信息

• 主机名、UUID、macOS 版本、内核版本
• 处理器信息、内存详情、磁盘信息
• 网络接口、运行时间、启动时间、时区
• FileVault 状态、防火墙状态

用户与安全数据

• 用户列表（含管理员状态和 UUID）
• 最后登录信息
• 环境变量
• 安全状态（SIP、GateKeeper、FileVault、防火墙）

进程与网络分析

• 所有正在运行的进程
• 可疑进程（nc、netcat、curl、wget 等）
• 高 CPU 占用进程
• 活动网络连接
• 监听端口
• ARP 表与路由信息
• DNS 服务器配置

命令历史与 Shell 数据

• 所有用户的 Zsh 和 Bash 命令历史
• Shell 启动脚本（.bash_profile、.bashrc、.profile、.zshrc）
• 近期命令活动

系统服务与应用程序

• Launch Daemons 和 Agents
• 定期脚本
• Cron 任务
• 已安装的应用程序
• 安装历史
• 带有清单文件的 Chrome 扩展

数字取证数据

• 近期文件（最近 7 天）
• 可疑文件（.exe、.bat、.cmd、.scr）
• 大文件（>100MB）
• 隐藏文件
• 系统日志（错误、认证、网络）
• 浏览器书签（Safari、Chrome）

威胁检测

• 可疑进程与连接
• 可疑文件与网络活动
• 入侵指标
• 近期网络活动模式

JSON 输出结构

{
  "metadata": {
    "tool": "MacOSThreatTrack",
    "version": "2.0",
    "timestamp": "2024-01-01T12:00:00Z",
    "hostname": "MacBook-Pro",
    "user": "admin"
  },
  "data": {
    "system_info": { ... },
    "users": { ... },
    "processes": { ... },
    "network": { ... },
    "security": { ... },
    "command_history": { ... },
    "shell_scripts": { ... },
    "system_services": { ... },
    "applications": { ... },
    "file_system": { ... },
    "system_logs": { ... },
    "browser_data": { ... },
    "threat_indicators": { ... }
  }
}

使用场景

• 安全评估：全面的系统安全评估
• 事件响应：安全事件期间快速信息收集
• 威胁狩猎：主动检测恶意活动
• 数字取证：证据收集与分析
• 合规审计：安全态势评估
• 系统监控：基线建立与变更检测

要求

• macOS 系统
• Bash shell
• 标准 macOS 工具（system_profiler、sw_vers、sysctl 等）
• 部分功能可能需要 sudo 权限

贡献

欢迎贡献！请随时提交问题、功能请求或拉取请求。

许可证

本项目基于 MIT 许可证开源。