svc · unix #429
audit_session_join
Fait rejoindre au processus appelant la session d'audit identifiée par le port donné.
Prototype
int audit_session_join(mach_port_name_t port);Retour: int
Arguments
| Name | Type | Dir | Description |
|---|---|---|---|
| port | mach_port_name_t | - |
Historique des versions
| XNU tag | macOS | # |
|---|---|---|
| xnu-1456.1.26 | macOS 10.6 Snow Leopard | 429 |
| xnu-1699.24.8 | macOS 10.7 Lion | 429 |
| xnu-2050.18.24 | macOS 10.8 Mountain Lion | 429 |
| xnu-2422.115.4 | macOS 10.9 Mavericks | 429 |
| xnu-2782.40.9 | macOS 10.10 Yosemite | 429 |
| xnu-3247.1.106 | macOS 10.11 El Capitan | 429 |
| xnu-3789.1.32 | macOS 10.12 Sierra | 429 |
| xnu-4570.1.46 | macOS 10.13 High Sierra | 429 |
| xnu-4903.221.2 | macOS 10.14 Mojave | 429 |
| xnu-6153.11.26 | macOS 10.15 Catalina | 429 |
| xnu-7195.50.7.100.1 | macOS 11.0 Big Sur | 429 |
| xnu-8019.41.5 | macOS 12.0 Monterey | 429 |
| xnu-8792.41.9 | macOS 13.0 Ventura | 429 |
| xnu-10002.1.13 | macOS 14.0 Sonoma | 429 |
| xnu-11215.1.10 | macOS 15.0 Sequoia | 429 |
| xnu-11417.101.15 | macOS 15.4 Sequoia | 429 |
| xnu-12377.1.9 | macOS 26.0 Tahoe | 429 |
| xnu-10002.41.9 | — | 429 |
| xnu-10002.61.3 | — | 429 |
| xnu-10002.81.5 | — | 429 |
| xnu-10063.101.15 | — | 429 |
| xnu-10063.121.3 | — | 429 |
| xnu-10063.141.1 | — | 429 |
| xnu-11215.41.3 | — | 429 |
| xnu-11215.61.5 | — | 429 |
| xnu-11215.81.4 | — | 429 |
| xnu-11417.121.6 | — | 429 |
| xnu-11417.140.69 | — | 429 |
| xnu-12377.101.15 | — | 429 |
| xnu-12377.41.6 | — | 429 |
| xnu-12377.61.12 | — | 429 |
| xnu-12377.81.4 | — | 429 |
| xnu-1486.2.11 | — | 429 |
| xnu-1504.15.3 | — | 429 |
| xnu-1504.3.12 | — | 429 |
| xnu-1504.7.4 | — | 429 |
| xnu-1504.9.17 | — | 429 |
| xnu-1504.9.26 | — | 429 |
| xnu-1504.9.37 | — | 429 |
| xnu-1699.22.73 | — | 429 |
| xnu-1699.22.81 | — | 429 |
| xnu-1699.24.23 | — | 429 |
| xnu-1699.26.8 | — | 429 |
| xnu-1699.32.7 | — | 429 |
| xnu-2050.22.13 | — | 429 |
| xnu-2050.24.15 | — | 429 |
| xnu-2050.48.11 | — | 429 |
| xnu-2050.7.9 | — | 429 |
| xnu-2050.9.2 | — | 429 |
| xnu-2422.1.72 | — | 429 |
| xnu-2422.100.13 | — | 429 |
| xnu-2422.110.17 | — | 429 |
| xnu-2422.90.20 | — | 429 |
| xnu-2782.1.97 | — | 429 |
| xnu-2782.10.72 | — | 429 |
| xnu-2782.20.48 | — | 429 |
| xnu-2782.30.5 | — | 429 |
| xnu-3247.10.11 | — | 429 |
| xnu-3248.20.55 | — | 429 |
| xnu-3248.30.4 | — | 429 |
| xnu-3248.40.184 | — | 429 |
| xnu-3248.50.21 | — | 429 |
| xnu-3248.60.10 | — | 429 |
| xnu-3789.21.4 | — | 429 |
| xnu-3789.31.2 | — | 429 |
| xnu-3789.41.3 | — | 429 |
| xnu-3789.51.2 | — | 429 |
| xnu-3789.60.24 | — | 429 |
| xnu-3789.70.16 | — | 429 |
| xnu-4570.20.62 | — | 429 |
| xnu-4570.31.3 | — | 429 |
| xnu-4570.41.2 | — | 429 |
| xnu-4570.51.1 | — | 429 |
| xnu-4570.61.1 | — | 429 |
| xnu-4570.71.2 | — | 429 |
| xnu-4903.231.4 | — | 429 |
| xnu-4903.241.1 | — | 429 |
| xnu-4903.270.47 | — | 429 |
| xnu-6153.101.6 | — | 429 |
| xnu-6153.121.1 | — | 429 |
| xnu-6153.141.1 | — | 429 |
| xnu-6153.41.3 | — | 429 |
| xnu-6153.61.1 | — | 429 |
| xnu-6153.81.5 | — | 429 |
| xnu-7195.101.1 | — | 429 |
| xnu-7195.121.3 | — | 429 |
| xnu-7195.141.2 | — | 429 |
| xnu-7195.60.75 | — | 429 |
| xnu-7195.81.3 | — | 429 |
| xnu-8019.61.5 | — | 429 |
| xnu-8019.80.24 | — | 429 |
| xnu-8020.101.4 | — | 429 |
| xnu-8020.121.3 | — | 429 |
| xnu-8020.140.41 | — | 429 |
| xnu-8792.61.2 | — | 429 |
| xnu-8792.81.2 | — | 429 |
| xnu-8796.101.5 | — | 429 |
| xnu-8796.121.2 | — | 429 |
| xnu-8796.141.3 | — | 429 |
Notes
Utilisé par les helpers lancés hors d'un contexte utilisateur (services XPC, outils SMJobBless, sudo) pour hériter de la session d'audit de leur appelant et que les enregistrements d'audit ultérieurs soient correctement attribués. Le port doit être un droit d'envoi de session valide obtenu via audit_session_self() ou audit_session_port(). En cas de succès, l'asid et l'auid du processus sont remplacés entièrement.
Détection
Visible comme un changement d'asid entre événements ES consécutifs pour le même PID ; les clients ES_EVENT_TYPE_NOTIFY_EXEC peuvent corréler audit_token_t.au_asid avant et après. Rejoindre une session depuis un UID différent sans exec est un fort indicateur de mouvement latéral.