Exploit for TrueTree

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-THEMITTENMAC-TRUETREE
# TrueTree

![](https://assets.kitploit.com/production/public/readmes/4417/36ca40579918b8f313ba8fc3c791a6de4f0019e01c158a3d112d16cbb7fc4441.jpg)

**О программе**   
Подробнее о концепции TrueTree можно прочитать здесь.

TrueTree — это не просто команда pstree для macOS. Она используется для отображения дерева процессов для текущих запущенных процессов, используя иерархию, построенную на дополнительных PID, полученных из операционной системы. Стандартное дерево процессов в macOS, которое можно построить на основе традиционных PID и PPID, недостаточно полезно из-за активного обмена данными через XPC. Подавляющее большинство процессов в итоге имеют родительский процесс launchd. TrueTree же отображает дерево процессов, предназначенное для инцидент-респондеров, охотников за угрозами, исследователей и всех, кто работает в этой сфере!

Основное обновление: Из-за постоянно меняющихся функций в macOS, начиная с macOS 11 некоторые функции работают не совсем так, как при написании оригинальной статьи о TrueTree. Apple представила новый процесс "runningboardd", который становится истинным родителем многих процессов. Чтобы обойти это, TrueTree был обновлён для использования фреймворка Application Services, что позволяет в некоторых сценариях получить истинного родителя. Однако теперь это не позволяет получить истинный родительский процесс, если этот родительский процесс завершился. Это затрудняет точное определение некоторых истинных родителей, например, команды "open". Небольшая цена, чтобы TrueTree продолжал работать в разных версиях macOS. Некоторые другие признаки истинного родителя часто можно найти в выводе launchctl procinfo. Возможно, это будет учтено в будущем.

**./TrueTree -h**   
\--nocolor -> Не раскрашивать элементы в выводе \--timeline -> Сортировать и вывести все процессы по времени их создания \--timestamps -> Включить временные метки процессов \--standard -> Вывести стандартное дерево Unix вместо TrueTree \--sources -> Показать источник, из которого был получен родительский PID для каждого процесса \--nonetwork -> Не выводить сетевые подключения \--nopid -> Не выводить PID рядом с каждым процессом \--nopath -> Выводить только имя процесса вместо полного пути \--version -> Показать номер версии TrueTree -o  -> Вывод в файл

Примечание: требуются права root

**./TrueTree**   
Отображает расширенное дерево процессов с использованием концепции TrueTree

![](https://assets.kitploit.com/production/public/readmes/4417/4b431325bb4cd7577625ea66892db4632edf696e74d021dd5d663be91d95ddba.png)

  
  


**./TrueTree --standard**   
Для вывода дерева на основе стандартных PID и PPID используйте --standard

![](https://assets.kitploit.com/production/public/readmes/4417/b005a02cdbf9d0433787ec3365456939ed391a900e31f09998ab0101461cda65.png)

  
  


**./TrueTree --timestamps**   
Для вывода в любом формате с добавлением времени создания процесса используйте опцию --timestamps

![](https://assets.kitploit.com/production/public/readmes/4417/0c23524f15b2bc81ac3b8535752cfb57b6aa45f7612c752212b0672c4d353cdd.png)

  
  


**./TrueTree --sources**   
Чтобы увидеть, откуда был получен каждый родительский PID, используйте опцию --sources

![](https://assets.kitploit.com/production/public/readmes/4417/feca1fff75c9a280848fbdc782cc60faea805d27893e5373e8f60f5fc6714f20.png)

  
  


**./TrueTree --timeline**   
Не строит дерево. Просто выводит процессы, отсортированные по времени создания

![](https://assets.kitploit.com/production/public/readmes/4417/4ced4c7515b26dd5f75ef50cbfa87588c97c997a6ec4b6ec81449890329fc3d4.png)