XProtect Remediator 测试套件

一套脚本和文档，旨在帮助未来的 XProtect Remediator (XPR) 研究，已在 2025 年黑帽美国大会 上发布。

关于本仓库

本仓库包含：

• 用于创建无害的最小文件和进程的脚本，以重现 XPR 每个扫描模块的修复过程。
• 使用 RemediationBuilder DSL 描述逆向工程得到的 XPR 修复（或检测）逻辑的文档。

这些脚本和文档是为了验证我们对 XPR 的逆向工程而创建的。我们希望本仓库能对将来进行 XPR 分析并希望了解修复在什么条件下发生的安全研究人员有所帮助。

注意：请在虚拟化环境中运行这些脚本。

准备工作

要显示统一日志中的 <private> 条目，请遵循以下文章中的步骤。

统一日志：如何启用私有数据

使用方法

导航到 cd TestSuite/<module_name> 并执行 ./run.sh。

cd TestSuite/Adload
./run.sh --test-case service

某些测试用例需要 root 权限才能运行。不过，它们基本上设计为以用户权限运行。

cd TestSuite/RedPine
sudo ./run.sh --test-case redpine

要重现 XPR 修复，请打开一个新终端并运行

/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtect

或

/Library/Apple/System/Library/CoreServices/XProtect.app/Contents/MacOS/XProtectRemediator<module_name> # (e.g., XProtectRemediatorAdload)

已验证版本

作者

Koh M. Nakagawa (@tsunek0h) © FFRI Security, Inc. 2025

许可证

Apache 2.0 版本