T1559.003: XPC 服务

摘要

攻击者可以向 XPC 服务守护进程提供恶意内容以进行本地代码执行。macOS 使用 XPC 服务在各种进程之间进行基本的进程间通信，例如在 XPC 服务守护进程与第三方应用程序特权助手工具之间。应用程序可以使用低级 XPC 服务 <code>C API</code> 或高级 <code>NSXPCConnection API</code> 向作为 root 运行的 XPC 服务守护进程发送消息，以处理需要提升权限（如网络连接）的任务。应用程序负责提供协议定义，它充当 XPC 服务的蓝图。开发人员通常使用 XPC 服务为应用程序提供稳定性以及应用程序客户端与守护进程之间的权限分离。(Citation: creatingXPCservices)(Citation: Designing Daemons Apple Dev) 攻击者可能滥用 XPC 服务执行恶意内容。恶意执行请求可以通过应用程序的 XPC 服务处理程序传递。(Citation: CVMServer Vuln)(Citation: Learn XPC Exploitation) 这也可能包括识别并滥用不当的 XPC 客户端验证和/或输入参数清理不当，以进行[为权限提升而利用](https://attack.mitre.org/techniques/T1068)。