filevault 仅保护静态数据，必须结合启动安全性策略和固件级防护才能防绕过、防离线攻击；需验证加密状态（系统设置显示“已开启”且100%、终端fdesetup status返回“filevault is on.”）、恢复密钥备份有效性、apple芯片mac的启动策略设为“完整安全性”及“仅允许已签名启动项”，并排查非apple内核模块与可疑登录项。

macOS 磁盘加密（FileVault）启用后，仅保护静态数据，不等于启动链安全。真正防绕过、防离线攻击，必须结合启动安全性策略和固件级防护。审计不能只看“已加密”，而要验证整个启动信任链是否完整。

检查 FileVault 加密状态是否真实生效

很多用户误以为开启 FileVault 就万事大吉，但实际可能处于“已启用但未完成加密”或“恢复密钥丢失导致无法验证”的风险状态：

• 打开「系统设置」→「隐私与安全性」→「文件保险箱」，确认显示“已开启”且进度为“100%”
• 终端执行 sudo fdesetup status，输出必须为 “FileVault is On.”（注意大小写和句点）
• 检查恢复密钥：若用 iCloud 备份，确认「iCloud 设置」中已开启「高级数据保护」；若用个人密钥，需核对是否存于离线安全位置（如打印件锁进保险柜）

验证 Apple 芯片 Mac 的启动安全性策略

搭载 Apple 芯片的 Mac 支持独立配置每个启动磁盘的安全等级。FileVault 加密的磁盘若配了“宽松”策略，攻击者仍可外接启动盘绕过密码直接访问磁盘镜像。

WeChat macOS Proxy

macOS 微信消息自动化工具。通过 GUI 自动化实现：发送消息给指定联系人、读取聊天内容、监控新消息。适用于需要自动化微信操作的场景，如定时发送、批量回复、消息备份等。依赖 peekaboo 进行屏幕截图和 UI 交互。仅支持 macOS。开源地址：https://github.com/chairmanmia...

下载

• 关机后按住电源键进入启动选项 → 点“选项”→ 进入恢复模式
• 顶部菜单选「实用工具」→「启动安全性实用工具」→ 输入管理员密码解锁
• 选择当前系统磁盘 → 点「安全策略」→ 确认设为“完整安全性”（不是“降低安全性”）
• 同时检查「允许启动介质」是否为“仅允许已签名的启动项”（该选项在“完整安全性”下自动锁定）

排查固件密码与启动权限冲突

固件密码本身不加密数据，但它能阻止非授权启动介质加载。若已设固件密码，但启动安全性策略为“宽松”，反而会削弱整体防护——因为固件密码在“宽松”模式下可能被绕过。

• 在「启动安全性实用工具」中，若看到“固件密码：已启用”，需确认它与当前安全策略兼容
• Apple 芯片 Mac 不再单独提供固件密码开关，其控制权已整合进启动安全性策略；若策略为“完整”，固件级保护即默认启用
• 如曾手动关闭过固件保护（例如通过终端命令 firmwarepasswd -mode custom），需重置并回归“完整安全性”模式

交叉验证启动项与可信内核扩展

即使磁盘加密+启动策略正确，恶意内核扩展（kext）或系统扩展（System Extension）仍可能在启动早期注入，窃取解密密钥或劫持登录流程。

• 终端运行 kmutil showloaded | grep -v apple，检查是否有非 Apple 签名的内核模块加载（Apple Silicon Mac 默认禁用 kext，此命令仅适用于 Intel 或降级兼容场景）
• 执行 systemextensionsctl list，确认所有启用的系统扩展均来自可信开发者（Bundle ID 应含明确公司域名，非随机字符串）
• 检查登录项：「系统设置」→「通用」→「登录项」，禁用来源不明、无签名或权限过大的第三方启动项