CrossC2
CrossC2 copied to clipboard
gloxec
MacOS上线后执行命令无回显
pkg方式上线 root权限下执行不了命令，只能看文件。dmg 安装后进不去desktop文件夹，权限是当前用户。暂时无图 建议可以自行测试下。测试方法：https://xz.aliyun.com/t/10528
dmg 安装后进不去desktop文件夹，权限是当前用户
测试 dmg 方式 发现可访问 desktop 文件夹。 无访问权限应该是MacOS TCC保护问题，出现的结果不同与系统版本、上层父进程权限，或App申请权限，以及用户本地的安全保护策略有关。
系统偏好设置 -> 安全性与隐私 -> 文件夹 / 磁盘访问权限 两类 决定，建议参照TCC bypass方案
这里测试似乎低版本的TCC逻辑不严密，用户目录下的默认路径有权限访问，但高版本发现该类路径都需要主动等待用户添加同意
pkg方式上线 root权限下执行不了命令，只能看文件
经过测试，pkg在运行结束后常见系统执行类的函数似乎都将失败，临时写了hello程序，发现pkg安装程序在运行结束后，除命令执行函数外的其他代码都在正常执行。
所以这里命令执行无回显与beacon本身无关，怀疑pkg程序为了获取安装脚本执行结果，对底层的命令执行函数做了劫持，所以当结束后启动的子进程无法正常运行？
while(1) {
....
exec(xxxxx)
...
}
我也遇到了一样的情况，root上线后执行了一次whoami还有回显，后面就再也不行了。后来我换了自己写的C2，能够执行系统命令和反弹shell等。
我也遇到了一样的情况，root上线后执行了一次whoami还有回显，后面就再也不行了。后来我换了自己写的C2，能够执行系统命令和反弹shell等。
@spac3wh1te 该问题似乎与c2无关联性。可写单例枚举常见的exec, system, popen, posix_spawn等命令执行函数，发现在dpkg执行结束后都将无法继续运行。猜测是pkg在做权限提升，高权限安装完成后，对安装时的执行进程进行了权限回收，导致其下派生的子进程都无法创建新进程。
