如何找到我被盗的 Macbook

Question

我的一个朋友刚把她的 Macbook 偷了。她的 Dropbox 帐户仍在 Macbook 上运行，因此她可以看到 Macbook 每次上线时的情况，并且可以获取其 IP 地址。

她已将此信息提供给警方，警方表示可能需要长达一个月的时间才能从 IP 地址获取真实位置。我想知道我们是否可以帮助找到笔记本电脑，因为现在可以逮捕携带它的人处理赃物（否则他们可能会在警察抓住他们之前重新安装它）。

以下是有关被盗 Macbook 的事实：

• 它运行的是 OS X，但我不确定具体是哪个版本（不过我会知道的）。
• 只有一个用户帐户，没有密码，并且具有管理员权限。
• 原主的Dropbox还在同步，每次上线都会给我们IP地址。
• 原主人不是技术人员，所以她不太可能打开任何远程控制功能，如 SSH、VNC 等（我已经给她发了电子邮件询问）。
• 她不使用 iCloud 或 .Mac 服务。

我正在考虑将一个诱人的文件推送到 Dropbox 以让用户点击它。我猜我只能尝试一下，所以想要一些关于最好的事情的想法。

到目前为止我的想法：

• 安装某种键盘记录器将所有信息发送回所有者。有没有办法在不让用户知道的情况下做到这一点？
• 将文件设为 shell 脚本，以获取尽可能多的有用信息，例如浏览器历史记录、查找 iPhone 备份等。不过，我不确定将这些信息发回的最佳方式。听起来我可以使用mail命令（当然是免费的电子邮件帐户）？
• 也许打开远程管理。有没有办法在用户不接受安全弹出窗口的情况下做到这一点？

有人在这里有任何提示吗？我写了很多 shell 脚本，但想知道其他 OS X 选项是否更好，例如 Applescript？有没有人有比将 Dropbox 文件推送到它更好的想法？

我知道这个问题基本上是关于编写一种恶意软件的形式，但我很想能够模仿我从“窃取黑客的计算机时会发生什么” DEF CON 讲座中的英雄。

在我们采取任何行动之前，我们将确保与警方核实，以确保我们不违反任何法律。

Answer 1

发送一封来自阿姨的电子邮件，祝她生日快乐，并且阿姨想为她的生日寄一张 Abercrombie & Fitch+ 的礼品卡，但需要正确的地址。然后就由小偷来接受这种低预算的尼日利亚骗局了。

+或其他一些知名品牌

Answer 2

我记得看过 Zoz 博士的视频。好东西。

听起来您可以胜任 shell 脚本编写，并且只需要一个攻击向量。做类似于 Zoz 所做的事情的关键是获得 SSH 访问权限。与他的情况不同，小偷使用拨号调制解调器，几乎可以肯定，因为较新的 Mac 不进行拨号，小偷使用宽带连接，并且在某种 NAT 路由器后面。

即使在机器上启用了 SSH，也必须在路由器上设置端口转发，以便您从外部访问机器的 SSH 侦听端口。宽带连接的好处是，与拨号相比，IP 地址几乎肯定不会经常更改。

如果我在你的位置上，持有小偷的 IP，我会首先尝试登录到他们路由器的 Web 界面，看看我可以从那里做些什么。令人惊讶的是，有多少人将他们的默认路由器/调制解调器密码保留在原处，并且您可以在网上找到大多数主要制造商的默认密码列表。

进入后，检查路由器上的 DHCP 客户端列表，看看是否可以找到 MacBook。许多路由器会显示 MAC（硬件）地址、分配的内部 IP 地址（最常见的是 192.168.1.x）以及最重要的机器名称。

找出分配给 MacBook 的 IP，然后在路由器的设置中设置一个转发给它的端口。使用 22 以外的一些外部端口（例如端口 2222）并将其转发到 MacBook 的 IP 的端口 22。

许多路由器都打开了 SSH 访问，因此访问小偷的 IP @ 端口 22 可能会让您进入路由器外壳而不是机器外壳。现在你应该在窃贼的外部 IP 上有一个端口（你从 Dropbox 获得的），它可以让你直接连接到 MacBook 上 SSH 应该绑定的端口。除了SSH还没有打开。

这部分需要小偷采取一些行动。我喜欢电子邮件的想法，但它要求您的朋友使用 Apple Mail。更好的方法可能是将诱人的 .app 文件上传到 Dropbox，这将打开 SSH（远程登录）。

你可以通过一个 shell 脚本来做到这一点，但是通过 Applescript 来做到这一点，将 Applescript 保存为一个 .app 并给它一个漂亮的图标，这将大大有助于欺骗你的标记而不是放弃你自己。

这是打开远程登录的 Applescript 代码：

do shell script "sudo systemsetup setremotelogin on" user name "Friend's Username" password "Friend's Password" with administrator privileges

这段代码将返回一个带有机器序列号的字符串，如果您想这样做，您可以通过电子邮件将其发送给自己：

do shell script "sudo system_profiler |grep \"r (system)\"" user name "Friend's Username" password "Friend's Password" with administrator privileges

我会编写applescript，以便它打开远程登录，执行您需要的任何其他操作。尽量不要编写 GUI 或除 shell 之外的任何应用程序的脚本，因为这会引起怀疑。最后显示一条消息“此应用程序无法在此 Macintosh 上运行”。带有“退出”按钮以减少怀疑。脚本在 AppleScript 编辑器中运行后，将其保存为仅限运行的 .app 文件。

尝试将 .app 伪装成流行游戏、植物大战僵尸或愤怒的小鸟之类的。您可以从真实游戏的 .app 中导出图标并将其放入您从 Applescript 导出的 .app 中。如果您的朋友很好地了解了小偷，您可以在社交媒体上对他/她进行介绍，并将 .app 伪装成他们可能感兴趣的其他内容。

如果您可以设置端口转发（您的标记没有强制执行适当的安全实践），并且您可以让他/她运行该应用程序，您将拥有对机器的完全 SSH 访问权限，并且可以继续寻找线索而无需立即放弃你的存在。这也要求标记不会厌倦 Dropbox 的 Growl 通知并退出它，所以我建议你的朋友停止将文件保存到她的 Dropbox 一段时间。

注意：如果小偷与其 ISP 断开连接并重新连接，他们将获得一个新的外部 IP。将文件添加到 Dropbox 并等待它同步。这应该会为您提供更新的 IP。

注 2：如果用户在一段时间内（通常为 24 小时）没有使用 MacBook 连接到路由器，分配给 MacBook 的内部 IP 地址的 DHCP 租用将到期。除非将另一台设备引入网络，否则下次连接时它很可能会获得相同的 IP 地址。在这种情况下，您必须手动重新登录路由器并转发端口。

这不是唯一的攻击方式，但这是我第二次意识到 IP 仍在通过 Dropbox 更新时会做的事情。祝你好运！

编辑：每个“执行 shell 脚本”行末尾的“管理员权限”非常重要。用户将被提示输入您朋友的管理员密码并且脚本将失败，如果您不包括内联用户名和密码。

Answer 3

老实说，联系Apple。他们可能有关于如何追踪他们的计算机的信息。我敢肯定您不是第一个 Mac 被盗的人。

编辑：我查看了Apple 的支持页面，它实际上没有我想象的那么有用。您可以尝试使用 iCloud 远程锁定您的 Macbook。

丹尼尔贝克实际上对其进行了测试并评论说：

“虽然不是“秘密的 Mac 后门”，并且 [尽管它] 在实际恢复计算机方面并没有真正帮助，但它可以很好地将人们锁定在你的 Mac 之外。你的评论促使我尝试它，它实际上非常令人印象深刻。屏幕变白，它关闭计算机并需要您之前通过 iCloud 指定的六位数代码才能恢复正常启动过程。”