Black Hat USA 2025 | Unix Underworld: Tales from the Dark Side of z/OS

• 1

  Unix 子系統是入門主機滲透的最佳切入點：ZOS Unix 提供完整的 shell、階層式檔案系統與 SSH 存取，攻擊者只需再額外學習少量主機專屬概念，即可沿用既有的 Linux 攻擊技術。

• 2

  APF 授權是主機上等效於 Linux SUID 的權限提升機制：透過 `extattr +a` 指令將程式標記為 APF 授權後，程式可切換至 Supervisor State、變更 Memory Key 至 Key 0，進而讀寫任意記憶體；關鍵是需具備 RACF profile `BPX.FILEATTR.APF` 的讀取權限。

• 3

  ACE（ACEE）記憶體結構是特權偽冒的核心攻擊面：APF 授權程式可呼叫 RACF macro `RACROUTE` 為目標帳號建立新的 ACE 控制區塊，再修改自身地址空間中的指標，使 ESM 認為當前行程擁有目標帳號的所有特權，而外觀上仍顯示原始使用者。

• 4

  Privileged Mount 攻擊允許將外部 APF 授權程式帶入目標系統執行：APF 授權位元儲存於 ZFS 資料集本身（非 RACF），只要有 privileged mount 權限（或 UID 0），即可掛載在攻擊者自己主機上預先建好的 ZFS，系統將忠實執行其中已授權的惡意程式。

• 工具清單（全開源）：
• `enum.rex`：Rex 語言寫成的主機枚舉腳本，直接從記憶體 control block 取資料（不觸發指令稽核日誌）
• `OMVS-enum`：基於 `linenum` 改寫的 C shell 腳本，枚舉 Unix 層 RACF 存取權限
• `zas-hog`：仿 trufflehog，掃描 Unix 檔案系統中的密碼、Token、金鑰
• `porcf`：egress 掃描工具（port scan），作者 Owen Henty
• `all.jcl`：一鍵上傳並執行所有腳本的 JCL 批次檔
• 上傳工具的技術障礙：主機預設 EBCDIC 編碼；SCP 以 binary mode 傳輸不做 ASCII→EBCDIC 轉換，需先本地轉碼 + 處理 code page 差異再上傳
• RACF 密碼儲存格式：
• 舊版：DES + MD5，John the Ripper / Hashcat 可達數百億次/秒暴力破解
• 新版：KDF AES-256 多次迭代，速度大幅下降
• 判斷方式：枚舉腳本可偵測 `KDF AES encryption` 是否啟用
• APF 授權提權流程：
• 確認有 `BPX.FILEATTR.APF` RACF profile 讀取權
• 撰寫組語程式，使用 `MODESET` macro 切換 Supervisor State
• `as` 組譯 → `ld` 連結 → `extattr +a` APF 授權
• 呼叫 `RACROUTE` 建立目標帳號 ACE → 修改地址空間指標 → 取得目標特權
• Unix 檔案系統稽核指令：
• `ls -E`：顯示延伸屬性，`a` 欄位表示 APF 授權
• `ls -W`：顯示稽核設定（`all`=成功失敗均記錄，`fail`=僅記錄失敗）
• `chaudit` 指令可設定個別檔案的稽核等級
• 高風險 RACF Profile：`BPX.SUPERUSER`（su 免密碼）、`BPX.FILEATTR.APF`（APF 授權）、`BPX.FILEATTR.PROGCTL`（程式控制位元）
• 參考資源：Jake Leel 在 Defcon 的主機 Buffer Overflow 演講；Phil Young + Jake 在 GitHub 公開的 Buffer Overflow Workshop；Moshix YouTube 頻道與 Discord

“大型主機的攻擊面與 Linux 高度重疊，任何熟悉 Unix 滲透測試的研究者只需補充 APF 授權與 RACF 概念，即可在這個承載全球關鍵交易的平台上實施完整的攻擊鏈。”