**1. 干什么** macOS 攻击面与 Linux 在 POSIX 命令层同源，但从取得 shell 到控制整机须依次突破 SIP、TCC、沙盒、Gatekeeper 四道约束。 **2. 谁在调** * 用户态主体：信息搜集命令、frida 等研究工具。 * 系统层封装：ps、lsof、libSystem POSIX/Mach 接口。 * 内核态主体：XNU 两层与四道约束裁决点。 **3. 做什么业务** 信息搜集可沿用读进程列表、查网络连接的 POSIX 思路。但读 Keychain 与通讯录需对应 TCC 记录，访问受保护进程需 task port 且受 SIP 与调试权限约束，沙盒内 shell 限于容器。每个工具报错可定位到具体约束层。 **4. 组件清单** * POSIX 信息搜集通道 * SIP/TCC/ 沙盒 / Gatekeeper 四层检查 * task port 与授权调试 * Keychain 与容器边界 **5. 最小可运行** ``` # 列进程与本机网络连接 ps aux lsof -i -P ``` 代码