macOS 再爆泄露加密文件 Bug！ macOS 的 “Quick Look（快速查看）”

点击上方“

CSDN

”，选择“置顶公众号”

关键时刻，第一时间送达！

本月初，来自 SecuRing 的安全研究员 Wojciech Regula 发布了一篇《Your encrypted photos revealed in macOS cache》博客文章，公布了 macOS 系统下的“Quick Look（快速查看）”功能存在安全漏洞，通过该漏洞，黑客可窃取用户加密磁盘上的隐私文件。此外，这个漏洞存在至少已有八年之久，

Mac 用户尚未广泛知晓，且苹果公司目前也仍未修复该漏洞。

▌

Quick Look 是什么？

想必使用 Mac 的用户应熟知该功能。Quick Look 是一个比较酷的功能，它是 Finder 文件浏览器的功能之一，

可帮助用户在不打开照片、文档文件或文件夹的情况下快速地预览文件。

例如对于 *xlsx 文件，只需按下空格键就可以预览，且无须安装 MS

Excel 应用。

为了实现该功能，

Quick Look

创建了一个未加密的缩略图数据库，根目录为

/var/folders/.../C/com.apple.QuickLook.thumbnailcache/，用于保存

Quick Look

为每个文件/文件夹生成的缩略图

。

▌

验证被忽视的 Bug

而就是这个缩略图数据库导致了此次的漏洞。

即使最初的照片、文件、文件夹已经加密，但生成的缩略图仍

可以在加密磁盘上提供内容预览。即使用户删除了相关的文件，由于用户已经在加密硬盘或 TrueCrypt/VeraCrypt 等加密工具中预览过了，那些文件也会产生缓存留在根目录中。由此，

技术人员可以通过特殊的方法访问这些缩略图，macOS 也没有能删除缩略图的缓存自动清除功能。

为了检测是否真的存在漏洞，Regula 做了验证。

他安装了两个新的加密软件。一个使用 VeraCrypt 软件，保存一个名为 Luke Skywalker 的照片（本地目录为 /Volumes/Container/luke-skywalker.png），按下空格键使得 Quick Look 生成缩略图。

另一个使用 macOS Encrypted HFS + / APFS 驱动器，保存一张名为 Darth Vader 的图片（本地目录为 /Volumes/EncryptedHDD/test/darth-vader.jpeg）。

基于以上，电脑中应该有两个图片的缓存文件。现在使用以下命令可以找到该文件：

sM4CBt00Ks:~ r3$ find $TMPDIR../C/com.apple.QuickLook.thumbnailcache/ -type f -name

"index.sqlite"

var

/folders

//d5/5p9d59rs67d59ttncml57pqw0000gp/C/com.apple.QuickLook.thumbnailcache/index.sqlite

sM4CBt00Ks:~ r3$ find $TMPDIR../C/com.apple.QuickLook.thumbnailcache/ -type f -name

"thumbnails.data"

var

/folders

//d5/5p9d59rs67d59ttncml57pqw0000gp/C/com.apple.QuickLook.thumbnailcache/thumbnails.data

现在将它们复制到其他位置：

sM4CBt00Ks:

~ r3$ mkdir ~

/Desktop/ql

_post/

sM4CBt00Ks:

~ r3$ cp /var/folders/

/d5/

p9d59rs67d59ttncml57pqw0000gp/C/com.apple.QuickLook.thumbnailcache/index.sqlite ~

/Desktop/ql

_post/

sM4CBt00Ks:

~ r3$ cp /var/folders/

/d5/

p9d59rs67d59ttncml57pqw0000gp/C/com.apple.QuickLook.thumbnailcache/thumbnails.data ~

/Desktop/ql

_post/

打开 index.sqlite 来查找文件内容。

我们有关于完整路径和文件名的信息。现在，让我们浏览 thumbnails.data 文件以检索缩略图。

Regula

使用了一个 Python 脚本（http://github.com/mdegrazia/OSX-QuickLook-Parser），稍作修改以提供 macOS 兼容性。

sM4CBt00Ks:OSX-QuickLook-Parser r3$ python2 quicklook_parser_v_3_5.py -d /Users/r3/Downloads/OSX-QuickLook-Parser/ -o /Users/r3/Downloads/OSX-QuickLook-Parser/

output

Processing Complete

Records

table

Thumbnails available:

Thumbnails extracted:

输出目录包含了预览的缩略图版本。