MacOS很安全?这只是错觉
一句“PHP是世界上最好的编程语言”可以成功惹毛一票程序员。同样,随口一句“windows系统比Mac系统更安全(或反之)”也能让IT安全人员吵个不可开交。
windows诞生的头10年该产品轻易坐稳史上最好攻击操作系统(OS)的宝座,成功攻击的数量更让公众对Windows的安全性失去信任。相比之下,很多果粉则觉得MacOS基于苹果的封闭系统环境理应比Windows系列更加安全。
在长达几十年的用户争夺战后,相关Windows和Mac的安全话题似乎已经演变成了技术信仰问题。而随着苹果设备的大批量出货,MacOS的安全神话也正被逐渐打破。
那么,如今的MacOS还像我们想象的那样安全吗?其如今又面临着哪些安全威胁呢?在6月11日举办的TenSec2019峰会上,腾讯mac安全专家王朝飞结合现阶段研究成果进行了分享。
MacOS安全吗?
截止2019Q1,Mac终端的市场占有率是6.82%,Windows却高达93.2%。两个数据作比对,不少人会觉得Mac终端的市场份额还是相对小众的,但实际情况却并非如此。
“在某些行业公司里,如互联网公司、设计公司Mac所占比例远高于此,且比例呈现不断攀升的趋势。”
王朝飞称,在腾讯Mac设备已经占据全部在用机型的25%,同样的情况也存在于其他行业的公司。有时候,看似小众的Mac产品安全性往往对于企业用户来说至关重要。
Mac系统本身的安全性做得如何呢?自面世至今,MacOS引入了很多的安全机制,其中主流版本10.14主要有以下四大安全机制:
1、Gatekeeper——对互联网下载应用程序进行签名校验。
2、Xprotect——对应用程序进行静态特征检测,包括字符串,哈希,压入,规则匹配等,可理解成是MacOS自己集成的一个小的杀软。
3、SIP——又叫Rootless,主要是对系统运行进程、系统关键文件以及内核扩展加载进行保护。
4、Sandbox——对应用程序所能访问的软件资源、硬件资源和网络资源等做限制。
上述四大安全机制可以保证应用程序从下载落地到终端执行的安全。
然而,这并不能100%保证MacOS的安全。自MacOS面世至今,这四大安全机制已经出现过无数漏洞并支持黑客进行PAAS或者DOS攻击。
据统计,从2016到2017年,针对Mac平台的恶意程序增长了270%。仅在2018年一年,增长速度达到165%。截至目前,MacOS的恶意程序量级已经达到10万级。其中,具有针对MacOS入侵能力的APT组织23个,木马家族62个。
“可以说,MacOS上的高级持续性威胁其实是一直存在的。”
MacOS攻击演示
在模拟攻击案例中,王朝飞采用Remote Custom URL Scheme的攻击手法,从黑客角度分享了对MacOS终端展开攻击的全过程。
Custom URLScheme可以被类比成Windows中不同的文件拓展对应不同的默认关联程序。举个例子,假如在浏览器中输入http://baidu.com,那么浏览器就会去解析这个域名。如果一个Mac上的App声称它支持hXXp这种URLscheme格式,那么如果在浏览器中输入hXXps.baidu.com那么系统就会自动去关联这个App来解析URL scheme。
顾名思义,Remote Custom URL Scheme就是一种远程利用的方式。
攻击的第一步,通常黑客会向目标终端发送一份包含恶意链接的钓鱼邮件。终端收到钓鱼邮件之后,将引导用户用Safari浏览器打开包含恶意链接的邮件,并自动访问到黑客所控制的恶意站点。
此时,Safari浏览器会自动下载恶意站点中所存储的恶意压缩包并自动解压,从而导致压缩包里面的恶意App落地。
同时,系统会自动将App所支持的URL scheme进行注册,以此将URL scheme与其关联起来并自动引导Safari访问注册过的恶意URLscheme关联到恶意App。
其攻击过程分为三个关键点:
1、Safari浏览器——这是绝大多数Mac终端默认的浏览器,其具备“下载后打开‘安全的’文件”设置选项,一旦该选项开启浏览器则认为恶意压缩包是安全的从而导致解压落地。
2、恶意App——Mac上的App多为dmg格式。在其文件结构中,包含了应用到的二进制文件、资源,甚至各种脚本。
利用其中的pdc文件(类似一种配置文件),恶意App可以在文件中声明所要支持的URL scheme。
3、恶意站点——当用户收到包含恶意链接的邮件后,打开链接。映入眼帘的是正常的Google搜索页面,同时引导Safari自动下载恶意压缩包、注册到恶意URLscheme并显示伪装后的恶意App运行请求。
对于终端用户来说,整个攻击过程显得十分隐蔽。期间,用户只会收到一个被伪装成系统提示的恶意链接,一旦用户点击执行则会启动恶意程序执行。
MacOS检测与监控
除此之外,还有很多针对MacOS的攻击方式,每种对于Mac终端来说都面临着严峻的安全威胁。
那么,如何应对这样的安全威胁呢?
一个黑客完整的入侵途径中,可将其划分为初始记录、执行、提权、持久化、搜集取证等阶段,每个阶段都会有一些典型的攻击手法。其攻击手法及检测办法整理如下:
1、针对Mac使用虚假App欺骗用户下载执行——可以通过App签名校验与名称是否相符来确认App的真实性;
2、利用隐藏在App资源目录中的脚本执行恶意程序——通过监控进程,恶意脚本通常会被隐藏在需要被赋予执行权限的试探目录中,可以认为这是一个异常点。
3、利用微软宏执行的攻击行为——微软宏执行的攻击分为从系统模块导入、调用vb函数MacScript()和调用vba函数AppleScriptTask()三种方式,可通过调用其父子进程进行监测;
4、恶意程序持久化——基于Xprotect对程序路径、哈希、签名等进行检测,对类似/tmp/的隐藏文件加强关注;
5、恶意程序权限提升——直接依靠0day漏洞来提权的情况很少见,常见的提权方式有两种:一个是通过App的恶意升级程序来欺骗用户输入密码获得特权;其次是直接通过App冒充正常的应用。
当一个程序去请求Root认证的时候,最终会对应到一个进程。通过判断进程所在路径及其签名来判断。而对于调用到系统安全子进程的,可以通过监控该子进程所对应的命令行中是否包含认为恶意的脚本或者程序来加以确认。
6、针对Mac终端收集、窃取信息——常见的手段包含截屏、键盘记录、敏感信息窃取和扩散四种,针对不同窃取场景的使用特性设计检测截屏频率、执行、安装键盘监控程序等。
王朝飞称,构建基础的EDR通常会用到进程网络、进程关系、进程命令行和文件操作监控四类,这四类数据源可以覆盖ATT&CK中120种入侵攻击手段,监控概率接近80%。
“在基础监控的基础上,若要构建全面的EDR系统,则需收集更多的终端数据。”
推荐系统
windows11中文版镜像 微软win11正式版简体中文GHOST ISO镜像64位系统下载
语言:中文版系统大小:5.31GB系统类型:Win11windows11中文版镜像 微软win11正式版简体中文GHOST ISO镜像64位系统下载,微软win11发布快大半年了,其中做了很多次补丁和修复一些BUG,比之前的版本有一些功能上的调整,目前已经升级到最新版本的镜像系统,并且优化了自动激活,永久使用。windows11中文版镜像国内镜像下载地址微软windows11正式版镜像 介绍:1、对函数算法进行了一定程度的简化和优化
微软windows11正式版GHOST ISO镜像 win11下载 国内最新版渠道下载
语言:中文版系统大小:5.31GB系统类型:Win11微软windows11正式版GHOST ISO镜像 win11下载 国内最新版渠道下载,微软2022年正式推出了win11系统,很多人迫不及待的要体验,本站提供了最新版的微软Windows11正式版系统下载,微软windows11正式版镜像 是一款功能超级强大的装机系统,是微软方面全新推出的装机系统,这款系统可以通过pe直接的完成安装,对此系统感兴趣,想要使用的用户们就快来下载
微软windows11系统下载 微软原版 Ghost win11 X64 正式版ISO镜像文件
语言:中文版系统大小:0MB系统类型:Win11微软Ghost win11 正式版镜像文件是一款由微软方面推出的优秀全新装机系统,这款系统的新功能非常多,用户们能够在这里体验到最富有人性化的设计等,且全新的柔软界面,看起来非常的舒服~微软Ghost win11 正式版镜像文件介绍:1、与各种硬件设备兼容。 更好地完成用户安装并有效地使用。2、稳定使用蓝屏,系统不再兼容,更能享受无缝的系统服务。3、为
雨林木风Windows11专业版 Ghost Win11官方正式版 (22H2) 系统下载
语言:中文版系统大小:4.75GB系统类型:雨林木风Windows11专业版 Ghost Win11官方正式版 (22H2) 系统下载在系统方面技术积累雄厚深耕多年,打造了国内重装系统行业的雨林木风品牌,其系统口碑得到许多人认可,积累了广大的用户群体,雨林木风是一款稳定流畅的系统,一直以来都以用户为中心,是由雨林木风团队推出的Windows11国内镜像版,基于国内用户的习惯,做了系统性能的优化,采用了新的系统
雨林木风win7旗舰版系统下载 win7 32位旗舰版 GHOST 免激活镜像ISO
语言:中文版系统大小:5.91GB系统类型:Win7雨林木风win7旗舰版系统下载 win7 32位旗舰版 GHOST 免激活镜像ISO在系统方面技术积累雄厚深耕多年,加固了系统安全策略,雨林木风win7旗舰版系统在家用办公上跑分表现都是非常优秀,完美的兼容各种硬件和软件,运行环境安全可靠稳定。win7 32位旗舰装机版 v2019 05能够帮助用户们进行系统的一键安装、快速装机等,系统中的内容全面,能够为广大用户
番茄花园Ghost Win7 x64 SP1稳定装机版2022年7月(64位) 高速下载
语言:中文版系统大小:3.91GB系统类型:Win7欢迎使用 番茄花园 Ghost Win7 x64 SP1 2022.07 极速装机版 专业装机版具有更安全、更稳定、更人性化等特点。集成最常用的装机软件,集成最全面的硬件驱动,精心挑选的系统维护工具,加上独有人性化的设计。是电脑城、个人、公司快速装机之首选!拥有此系统
番茄花园 Windows 10 极速企业版 版本1903 2022年7月(32位) ISO镜像快速下载
语言:中文版系统大小:3.98GB系统类型:Win10番茄花园 Windows 10 32位极速企业版 v2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程中自动激活
新萝卜家园电脑城专用系统 Windows10 x86 企业版 版本1507 2022年7月(32位) ISO镜像高速下载
语言:中文版系统大小:3.98GB系统类型:Win10新萝卜家园电脑城专用系统 Windows10 x86企业版 2022年7月 一、系统主要特点: 使用微软Win10正式发布的企业TLSB版制作; 安装过程全自动无人值守,无需输入序列号,全自动设置; 安装完成后使用Administrator账户直接登录系统,无需手动设置账号。 安装过程
热门系统
- 1华硕笔记本&台式机专用系统 GhostWin7 32位正式旗舰版2018年8月(32位)ISO镜像下载
- 2深度技术 Windows 10 x86 企业版 电脑城装机版2018年10月(32位) ISO镜像免费下载
- 3电脑公司 装机专用系统Windows10 x86喜迎国庆 企业版2020年10月(32位) ISO镜像快速下载
- 4雨林木风 Ghost Win7 SP1 装机版 2020年4月(32位) 提供下载
- 5深度技术 Windows 10 x86 企业版 六一节 电脑城装机版 版本1903 2022年6月(32位) ISO镜像免费下载
- 6深度技术 Windows 10 x64 企业版 电脑城装机版2021年1月(64位) 高速下载
- 7新萝卜家园电脑城专用系统 Windows10 x64 企业版2019年10月(64位) ISO镜像免费下载
- 8新萝卜家园 GhostWin7 SP1 最新电脑城极速装机版2018年8月(32位)ISO镜像下载
- 9电脑公司Ghost Win8.1 x32 精选纯净版2022年5月(免激活) ISO镜像高速下载
- 10新萝卜家园Ghost Win8.1 X32 最新纯净版2018年05(自动激活) ISO镜像免费下载
热门文章
- 1迅雷云播“手机看片神器”使用教程(随时随地秒速离线云播放)
- 2微信公众号怎么年审? 微信公众号年审流程及所需材料介绍
- 3Win10怎么设置网络按流量计费 Win10网络设置流量收费教程
- 4i7 6700主频是多少 i7-6700参数详解
- 5win7蓝屏代码7f指什 怎么解决 很严重
- 6安卓手机安装运行win7系统教程 安卓手机装win7系统教程
- 7aoc一体机电脑win10改win7系统及bios设置
- 8Steam提示“需要在线进行更新,请确认您的网络连接正常”怎么办?
- 9二手笔记本电脑价格是多少 二手笔记本电脑价格盘点
- 10华硕b460主板装win7系统及bios设置教程 10代CPU安装Win7教程 BIOS设置 U盘启动 完美支持USB驱动
常用系统
- 1笔记本&台式机专用系统 GhostWin7 32位旗舰版2018年10月(32位) ISO镜像免费下载
- 2华硕笔记本&台式机专用系统装机版 GHOSTXPSP3 2018年8月 ISO镜像下载
- 3电脑公司Ghost Win8.1 X64位 纯净版2019年12月(自动激活) ISO镜像快速下载
- 4雨林木风Ghost Win8.1 64位 纯净正式版下载 2018年8月免激活)
- 5番茄花园 Windows 10 官方企业版 2021年1月(64位) ISO高速下载
- 6番茄花园 GhostWin7 SP1 电脑城海驱极速装机版2018年5月(32位) 提供下载
- 7笔记本&台式机专用系统 GHOSTXPSP3 2020年3月 海驱版 ISO镜像高速下载
- 8电脑公司 GhostXpSp3 新春特别 电脑城装机版 2021年2月 ISO镜像高速下载
- 9电脑公司Ghost Win8.1 x32 精选纯净版2022年7月(免激活) ISO镜像高速下载
- 10新萝卜家园电脑城专用系统 Windows10 x86 企业版2021年3月(32位) ISO镜像高速下载