BlockBlock核心组件详解：守护进程、监控插件与XPC通信架构

BlockBlock核心组件详解：守护进程、监控插件与XPC通信架构

【免费下载链接】BlockBlockBlockBlock provides continual protection by monitoring persistence locations.项目地址: https://gitcode.com/gh_mirrors/bl/BlockBlock

BlockBlock是一款macOS平台上的持续保护工具，通过监控系统持久化位置来防止恶意软件的自动启动。本文将深入解析BlockBlock的核心组件架构，包括守护进程、监控插件系统和XPC通信机制。🔍

一、BlockBlock架构概览

BlockBlock采用经典的macOS安全工具架构，由三个主要组件构成：

1. 守护进程（Daemon）- 以root权限运行的核心监控引擎
2. 用户界面应用（Application）- 菜单栏应用，提供用户交互界面
3. 安装器（Installer）- 负责系统级的安装和配置

这种设计确保了监控功能在系统启动时即可运行，同时提供了友好的用户界面进行配置和管理。

二、守护进程：系统级监控引擎

守护进程是BlockBlock的核心，位于Daemon/Daemon/目录中。它以root权限运行，负责监控系统的关键位置，检测潜在的恶意软件持久化行为。

2.1 守护进程初始化流程

守护进程的入口点在main.m文件中，主要执行以下关键步骤：

// 1. 检查root权限 if(0 != geteuid()) { os_log_error(logHandle, "ERROR: launch daemon must be run as root"); } // 2. 初始化偏好设置 preferences = [[Preferences alloc] init]; // 3. 初始化事件管理器 events = [[Events alloc] init]; // 4. 初始化规则管理器 rules = [[Rules alloc] init]; // 5. 初始化XPC监听器 xpcListener = [[XPCListener alloc] init]; // 6. 检查完整磁盘访问权限 while(0 != fdaCheck()) { [NSThread sleepForTimeInterval:0.50]; } // 7. 加载监控规则 [rules load]; // 8. 启动监控器 monitor = [[Monitor alloc] init]; [monitor start];

2.2 监控系统核心架构

监控系统的核心位于Monitor.h和Monitor.m文件中，采用模块化设计：

监控系统主要组件：

• 文件监控器（FileMonitor）- 监控文件系统变化
• 进程监控器（ProcessMonitor）- 监控进程创建和退出
• BTM监控器（BTMMonitor）- 监控后台任务管理器
• 插件系统（Plugins）- 可扩展的监控插件架构

三、监控插件系统：可扩展的安全检测

BlockBlock的插件系统是其最强大的功能之一，位于Daemon/Daemon/Plugins/目录中。每个插件负责监控特定类型的持久化机制。

3.1 插件基类设计

所有插件都继承自PluginBase类，该基类定义了插件的标准接口：

@interface PluginBase : NSObject // 插件类型定义 @property NSUInteger type; @property(retain, nonatomic)NSString* description; @property(retain, nonatomic)NSString* alertMsg; // 核心方法 - (BOOL)isMatch:(File*)file; // 检查是否匹配 - (BOOL)shouldIgnore:(id)object; // 判断是否忽略 - (BOOL)block:(Event*)event; // 阻止事件 - (void)allow:(Event*)event; // 允许事件 - (NSString*)alertMessage:(Event*)event; // 生成告警消息 @end

3.2 内置插件类型

BlockBlock包含多个专门设计的监控插件：

3.3 Launchd插件示例

以Launchd插件为例，它专门监控系统和服务启动项：

@implementation Launchd // 初始化Launchd插件 - (id)initWithParams:(NSDictionary*)watchItemInfo { self = [super initWithParams:watchItemInfo]; if(nil != self) { // 设置插件类型 self.type = PLUGIN_TYPE_LAUNCHD; // 设置监控路径模式 // ^(\/System|\/Users\/[^\/]+|)\/Library\/(LaunchDaemons|LaunchAgents)\/.+\.(?i)plist$ } return self; } // 生成告警消息 - (NSString*)alertMessage:(Event*)event { NSString* alert = nil; alert = self.alertMsg; // 区分Launch Agent和Launch Daemon if(YES == [event.file.destinationPath containsString:@"/LaunchAgents/"]) { alert = @"installed a launch agent"; } else if(YES == [event.file.destinationPath containsString:@"/LaunchDaemons/"]) { alert = @"installed a launch daemon"; } return alert; } @end

四、XPC通信架构：安全进程间通信

BlockBlock使用XPC（Cross Process Communication）机制在守护进程和用户界面之间进行安全通信，这是macOS推荐的安全进程间通信方式。

4.1 XPC协议定义

XPC协议定义位于Shared/XPCDaemonProto.h和Shared/XPCUserProto.h文件中：

// 守护进程导出的协议 @protocol XPCDaemonProtocol // 获取偏好设置 - (void)getPreferences:(void (^)(NSDictionary*))reply; // 更新偏好设置 - (void)updatePreferences:(NSDictionary*)preferences; // 获取规则 - (void)getRules:(void (^)(NSData*))reply; // 删除规则 - (void)deleteRule:(Rule*)rule reply:(void (^)(NSData*))reply; // 响应告警 - (void)alertReply:(NSDictionary*)alert; @end

4.2 XPC连接建立

守护进程端在XPCListener.m中设置XPC监听器：

@implementation XPCListener // 初始化XPC监听器 - (BOOL)initListener { // 创建Mach服务监听器 self.listener = [[NSXPCListener alloc] initWithMachServiceName:DAEMON_MACH_SERVICE]; // 设置代理 self.listener.delegate = self; // 恢复监听 [self.listener resume]; return YES; } // 接受新连接 - (BOOL)listener:(NSXPCListener *)listener shouldAcceptNewConnection:(NSXPCConnection *)newConnection { // 验证代码签名（仅允许Objective-See签名的二进制文件） // 设置远程对象接口 newConnection.remoteObjectInterface = [NSXPCInterface interfaceWithProtocol:@protocol(XPCUserProtocol)]; // 设置导出对象接口 newConnection.exportedInterface = [NSXPCInterface interfaceWithProtocol:@protocol(XPCDaemonProtocol)]; // 设置导出对象 newConnection.exportedObject = self; // 恢复连接 [newConnection resume]; return YES; } @end

4.3 客户端通信实现

用户界面端通过XPCDaemonClient.m与守护进程通信：

@implementation XPCDaemonClient // 初始化XPC客户端 - (id)init { self = [super init]; if(nil != self) { // 创建Mach服务连接 daemon = [[NSXPCConnection alloc] initWithMachServiceName:DAEMON_MACH_SERVICE options:0]; // 设置远程对象接口 self.daemon.remoteObjectInterface = [NSXPCInterface interfaceWithProtocol:@protocol(XPCDaemonProtocol)]; // 设置导出对象接口 self.daemon.exportedInterface = [NSXPCInterface interfaceWithProtocol:@protocol(XPCUserProtocol)]; // 设置导出对象 self.daemon.exportedObject = [[XPCUser alloc] init]; // 恢复连接 [self.daemon resume]; } return self; } // 获取偏好设置（同步调用） - (NSDictionary*)getPreferences { __block NSDictionary* preferences = nil; [[self.daemon synchronousRemoteObjectProxyWithErrorHandler:^(NSError *error) { os_log_error(logHandle, "XPC通信错误: %{public}@", error); }] getPreferences:^(NSDictionary* prefs) { preferences = prefs; }]; return preferences; } @end

五、事件处理流程：从检测到响应

BlockBlock的事件处理流程是一个完整的闭环系统：

5.1 事件检测流程

1. 文件系统监控- FileMonitor检测文件创建、写入、重命名事件
2. 插件匹配- 每个插件检查事件是否匹配其监控模式
3. 规则验证- 检查事件是否匹配用户定义的允许/阻止规则
4. 告警生成- 如果事件需要用户干预，生成告警信息

5.2 事件响应机制

// 在Monitor.m中处理事件 - (void)processEvent:(File*)file plugin:(PluginBase*)plugin message:(es_message_t*)message { // 1. 创建事件对象 Event* event = [[Event alloc] init:file plugin:plugin]; // 2. 检查是否应该忽略 if(YES == [plugin shouldIgnore:event]) { return; } // 3. 检查规则 Rule* matchingRule = [rules find:event]; // 4. 根据规则处理 if(nil != matchingRule) { if(RULE_STATE_ALLOW == matchingRule.state) { [plugin allow:event]; } else { [plugin block:event]; } } // 5. 无匹配规则，需要用户决策 else { // 发送告警到用户界面 [self alertUser:event]; } }

六、安全特性与最佳实践

BlockBlock在设计上遵循了多项macOS安全最佳实践：

6.1 权限分离原则

• 守护进程：以root权限运行，负责系统级监控
• 用户界面：以用户权限运行，提供交互界面
• XPC通信：安全的进程间通信，防止权限提升攻击

6.2 代码签名验证

// 在XPCListener.m中验证调用者身份 - (BOOL)listener:(NSXPCListener *)listener shouldAcceptNewConnection:(NSXPCConnection *)newConnection { // 获取调用者的代码签名 NSDictionary* callerInfo = [newConnection valueForKey:@"auditToken"]; // 验证签名者是否为Objective-See if(NO == [self validateCodeSignature:callerInfo]) { return NO; // 拒绝连接 } return YES; }

6.3 完整磁盘访问检查

守护进程在启动时检查是否具有完整磁盘访问权限：

// 在main.m中检查FDA权限 int fdaCheck(void) { es_client_t *client = nil; es_new_client_result_t result = es_new_client(&client, ^(es_client_t *client, const es_message_t *message) {}); if(ES_NEW_CLIENT_RESULT_SUCCESS == result) { // 具有FDA权限 es_delete_client(client); return 0; } // 没有FDA权限 return -1; }

七、扩展与定制

BlockBlock的模块化设计使得扩展变得简单：

7.1 添加新的监控插件

要添加新的监控插件，只需：

1. 创建新的插件类，继承自PluginBase
2. 实现必要的监控逻辑
3. 在watchList.plist中添加配置
4. 插件会自动被监控系统加载

7.2 自定义规则处理

用户可以通过规则系统自定义处理逻辑：

// 规则数据结构 @interface Rule : NSObject @property (nonatomic, retain)NSString* path; @property NSUInteger action; @property NSUInteger state; @property (nonatomic, retain)NSString* user; // 规则匹配方法 - (BOOL)isMatch:(Event*)event; @end

八、总结

BlockBlock通过其精心设计的架构提供了强大的macOS持久化监控保护：

🎯核心优势：

• 模块化的插件系统，易于扩展
• 安全的XPC通信架构，遵循最小权限原则
• 实时文件系统监控，快速响应威胁
• 用户友好的规则管理系统

🔧技术亮点：

• 基于Endpoint Security框架的高性能监控
• 完整的代码签名验证机制
• 智能的事件去重和过滤
• 跨进程的安全通信

BlockBlock的架构设计体现了现代macOS安全工具的最佳实践，为系统提供了持续、可靠的持久化保护。无论是对于普通用户还是安全研究人员，理解其内部工作机制都有助于更好地利用这一强大工具。

通过深入理解BlockBlock的核心组件，用户可以更有效地配置和使用这一工具，为macOS系统提供全面的持久化威胁防护。💪

【免费下载链接】BlockBlockBlockBlock provides continual protection by monitoring persistence locations.项目地址: https://gitcode.com/gh_mirrors/bl/BlockBlock