T1037.002: 登录钩子

摘要

攻击者可能使用登录钩子在用户登录时执行以建立持久化。登录钩子是一个 plist 文件，指向在用户登录时以 root 权限执行的特定脚本。该 plist 文件位于 <code>/Library/Preferences/com.apple.loginwindow.plist</code> 文件中，可以使用 <code>defaults</code> 命令行实用程序修改。注销钩子的行为相同，即可以在用户注销时执行脚本。所有钩子都需要管理员权限才能修改或创建钩子。(Citation: Login Scripts Apple Dev)(Citation: LoginWindowScripts Apple Dev) 攻击者可以使用 <code>LoginHook</code> 或 <code>LogoutHook</code> 键值对，在 <code>com.apple.loginwindow.plist</code> 文件中添加或插入指向恶意脚本的路径。恶意脚本将在下次用户登录时执行。如果登录钩子已存在，攻击者可以向现有登录钩子添加其他命令。系统上同一时间只能有一个登录钩子和一个注销钩子。(Citation: S1 macOs Persistence)(Citation: Wardle Persistence Chapter) **注意：** 登录钩子在 macOS 10.11 版本中已被弃用，取而代之的是[启动守护程序](https://attack.mitre.org/techniques/T1543/004)和[启动代理](https://attack.mitre.org/techniques/T1543/001)