DylibHijackTest

环境要求

• 安装 Python3 依赖：pip3 install -r requirements.txt
• 从源代码编译 dylib，因为不要相信来自 GitHub 的编译产物：gcc -dynamiclib DylibHijackTest.c -o DylibHijackTest.dylib

工作原理

⚠️ 这会在你的机器上生成大量进程，请在虚拟机中运行：请务必格外小心！

• inject.py
  • 递归遍历文件夹，搜索带有 MH_EXECUTE 头部的 Mach-O 二进制文件
  • 使用指向我们恶意 dylib 的 DYLD_INSERT_LIBRARIES 环境变量启动 Mach-O 二进制文件
  • 将所有 stdout 重定向到文件，并将 stderr 重定向到 /dev/null
• inspect.py
  • 读取 inject.py 输出的文本文件，查看哪些 Mach-O 是可注入的，并使用 codesign 检查是否有用的 entitlements
  • 开派对吧！！！

使用方法

$ python3 inject.py /Applications/iMovie.app /Users/slyd0g/DylibHijackTest.dylib > imovie.txt 2> /dev/null
$ python3 inspect.py /Users/slyd0g/Projects/DylibHijackTest/imovie.txt