Black Hat USA 2025 | Leveraging Jamf for Red Teaming in Enterprise Environments
三句話摘要
紅隊研究員揭露如何利用 Jamf Pro 的 API 與權限模型，在企業 Mac OS 環境中提升權限、橫向移動並執行任意程式碼。 Jamf Pro 的 API 憑證一旦洩漏，攻擊者可在不觸發 EDR 警報的情況下提升至租戶管理員並在全企業 Mac 設備上執行任意程式碼，而大多數企業至今對此毫無監控。 Jamf Pro 是企業 Mac OS 的核心攻擊面：財富 500 強普遍部署 Jamf Pro 管理 Mac 設備，但設定後幾乎無後續監控，使攻擊者一旦取得 API 憑證，可在不被 EDR 偵測的情況下長期潛伏，因為 Jamf 正常管理操作本身就會產生大量腳本噪音。
重點整理
重點- 1
Jamf Pro 是企業 Mac OS 的核心攻擊面：財富 500 強普遍部署 Jamf Pro 管理 Mac 設備，但設定後幾乎無後續監控，使攻擊者一旦取得 API 憑證，可在不被 EDR 偵測的情況下長期潛伏，因為 Jamf 正常管理操作本身就會產生大量腳本噪音。
- 2
兩條權限提升路徑：若持有「Create/Update Account」權限，可直接建立或重設本地 Jamf 帳號密碼以冒用高權限；若僅有 API 客戶端權限，則透過建立自訂 API Role 並綁定全權限 Client，再以新 Bearer Token 操作，同樣達到租戶管理員等級。
- 3
三種程式碼執行原語各有所需權限：腳本＋策略（需 Script + Policy 權限）、策略內嵌 Run Command 標籤（僅需 Policy 權限）、電腦擴充屬性（需 Extension Attribute 權限），每種路徑所需權限不同，單一防守面無法全部封堵。
- 4
開源工具 Eve 與 JHound 同步公開：Eve 為 Python 進攻框架，可載入被盜憑證自動化執行攻擊；JHound 產出 BloodHound 相容格式，讓防守方可視化攻擊路徑圖，與 BloodHound Open Graph 整合同步發布。
實用技巧與重點
乾貨- Jamf Policy 預設每 15–20 分鐘觸發一次簽入（`jamf policy` 命令）
- Extension Attribute 腳本透過 `jamf recon` 執行，預設每 24 小時在所有受管機器執行一次
- 工具名稱：Eve（Python，進攻框架）、JHound（Python，審計/BloodHound 資料收集）
- 整合平台：BloodHound Community Edition（免費，可視化攻擊路徑）
- API 物件格式：JSON 或 XML，遵循標準 HTTP 方法（GET / PUT / POST / DELETE）
- 攻擊原語所需最低權限：
- 腳本執行：Create/Update Script + Create/Update Policy
- Run Command 執行：僅需 Create/Update Policy
- Extension Attribute 執行：Create/Update Extension Attribute
- 憑證洩漏常見位置：shell history、git commit、S3 bucket、雲端托管區域
- 防禦建議：API 憑證設短有效期、防火牆隔離 Jamf API 端點、建立堡壘主機、查看 JSS Access Log + Tomcat Access Log + Change Management Log
- Jamf 雲端版可聯絡官方支援查閱日誌，提供付費 Log 轉送服務，亦可申請 API 端點白名單
結論
結論“Jamf Pro 的 API 憑證一旦洩漏，攻擊者可在不觸發 EDR 警報的情況下提升至租戶管理員並在全企業 Mac 設備上執行任意程式碼，而大多數企業至今對此毫無監控。”
完整解析
詳細現代大型企業中，Jamf Pro 幾乎是 Mac OS 設備管理的唯一選擇。在以技術為導向的組織裡，開發人員、雲端管理員等高權限用戶的 Mac 設備幾乎全都受 Jamf 管理。問題在於：Jamf 一旦部署完成，IT 管理員通常只會更新策略、注冊新設備，極少主動監控租戶的物件變更或 API 存取行為。這種「運行正常就不去動它」的心態，造成攻擊者一旦取得任何 Jamf 憑證，便可長時間潛伏而不被發現。
兩位講者以一個真實評估案例作為引子：在某客戶環境中，他們發現一位 Mac OS 使用者的命令列歷史中留有 Jamf API 的 curl 請求與憑證，透過這組憑證，他們成功橫向移動至整個集群，並在目前最主流的 EDR 系統之一上執行程式碼，且整個評估持續六、七週未被偵測。原因在於 Jamf 在正常管理流程中本就會執行大量腳本，EDR 必須過濾這些噪音以避免誤報，而攻擊者正是模仿這些管理員行為，輕易地混入合法流量。
在技術層面，他們梳理了 Jamf Pro 的權限模型：JSS 物件的 CRUD 權限、JSS 操作（如刷新策略日誌、重設密碼）、以及 JSS 設定的讀寫。取得部分權限後，有兩條提升路徑：一是若擁有「建立/更新帳號」權限，可直接在整個租戶範圍內建立具完整管理員權限的本地帳號，或重設他人密碼以冒用身份；二是透過建立自訂 API Role（包含所有所需權限），再綁定至新建的 API Client，取得新 Bearer Token，同樣獲得租戶管理員等級的存取能力。值得注意的是，這些帳號與角色的權限均為全局範圍，不受站點（Site）限制。
取得管理員權限後，Jamf 提供多種程式碼執行原語。最常見的是建立 Script 物件後，透過 Policy 引用並推送至目標設備，腳本以 root 身份執行，同時可傳入該設備關聯的使用者名稱作為參數，方便以該用戶身份執行命令。若沒有 Script 的建立權限，Policy 物件本身含有 `<run_command>` 標籤，可直接內嵌單行 shell 命令。第三個較少人知道的原語是「電腦擴充屬性」，設計目的是讓 Jamf 收集設備自訂資訊，但其內嵌腳本每 24 小時透過 `jamf recon` 在所有受管設備上執行，若攻擊者建立惡意擴充屬性，等同在全企業範圍部署一次性大規模執行。
防禦建議方面，講者強調以下重點：設定 API 憑證的短效有效期（避免洩漏後仍可長期使用）、透過防火牆隔離 Jamf API 端點並建立堡壘主機、定期審查 JSS Access Log 與 Change Management Log 中的物件異動（後者為非結構化文字，需特別處理）。雲端版 Jamf 用戶可直接聯絡原廠支援團隊協助查閱日誌或設定 API 白名單。Jamf 官方在此次演講宣布前已主動聯繫研究團隊，雙方合作制定了這些防禦建議。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
