一分钟越狱 iOS 11.4｜世界顶级黑客大会 DEFCON 议题详解「建议收藏」

编程小6 Ios (73) 2023-07-18 18:12

Hi，大家好，我是编程小6，很荣幸遇见你，我把这些年在开发过程中遇到的问题或想法写出来，今天说一说一分钟越狱 iOS 11.4｜世界顶级黑客大会 DEFCON 议题详解「建议收藏」,希望能够帮助你!!!。

雷锋网编者按：苹果公司在 macOS 和 iOS 中都采用了沙盒机制保护系统不受恶意软件的攻击。在世界著名的黑客大会 DEFCON 的这次演讲中，来自阿里安全的安全研究员分析了最新版的 iOS 中的沙盒机制和以及如何获取沙盒配置文件。然后，讨论了 iOS 上的 IPC 机制，并回顾几个经典的沙盒逃逸漏洞。随后，安全研究员展示了 iOS 11.4 上的两个沙箱逃逸 0day 漏洞。

该文由阿里安全投稿，作者：蒸米，白小龙

0x01 沙盒简介

苹果公司在macOS 10.5中把沙盒作为“SeatBelt”引入，它提供了MACF策略的第一个全面实现。在macOS上成功试用后，苹果公司又将沙盒机制应用于iOS 6中。随着新的系统的发布或新的威胁出现，沙盒的钩子数量一直在稳步的增长。如下是iOS/macOS每个版本中钩子的数量：

一开始，苹果的沙盒使用黑名单方式，这意味着苹果将已知的危险API整合在一起，并阻止它们，默认情况下允许所有其他人使用。随着苹果沙盒的发展，它采用了一种白名单的方式，拒绝所有的API，只允许苹果信任的安全接口。

在MacOS中，配置文件可见并存储在/System/Library/Sandbox/Profiles中。在iOS中，配置文件被硬编译到了/usr/libexec/sandboxd中。解码沙箱配置文件很困难，但我们可以遍历所有Mach服务根据返回值获取mach-lookup列表（例如，通过Jonathan Levin的sbtool）。

为了找到漏洞，我们需要反汇编和分析包含相关Mach服务的处理函数的二进制文件。/System/Library/ LaunchDaemons包含了大多数Mach服务的配置plist。在plist文件中，“ProgramArguments”字段显示了二进制文件的路径，“MachServices”显示了相关的mach服务。

0x02 iOS IPC: Mach, XPC and NSXPC

Mach消息包含类型化数据，可以包括端口权限和对大内存区域的引用。XPC消息建立在Mach消息之上，NSXPC消息建立在XPC消息之上。通过Mach消息，沙盒应用程序可以与未被沙盒的Mach（MIG）服务，XPC服务和NSXPC服务进行通信。

0x03 从老的漏洞到新的漏洞

bluetoothd的“com.apple.server.bluetooth”Mach服务中有132个函数（从0xFA300开始）。蓝牙通过“com.apple.server.Bluetooth”与沙盒应用程序和其他非沙盒的进程（例如，SpringBoard）进行通信。进程可以使用BTSessionAttach为bluetoothd创建session_token，然后使用BTLocalDeviceAddCallbacks 为事件通知注册回调。

但是，Bluetoothd仅使用会话令牌来识别进程，这意味着我们可以使用沙盒应用程序通过会话令牌来劫持蓝牙和沙盒外的进程之间的通信（CVE-2018-4087）。

漏洞形成的原因是ses_token太容易被暴力激活成功教程了。它只有0x10000（0x0000 - 0xFFFF）个可能的值。Apple通过向每个会话添加user_id (= arc4random) 来修复此问题，只有进程本身知道user_id，并且bluetoothd将检查map[ses_token] == user_id。

如前所述，user_id = arc4random= [0x00000000-0xFFFFFFFF]。如果我们知道session_token，我们仍然可以通过user_id暴力劫持通信。但这需要很长时间（约12小时）。如果没有user_id验证的话，还有没有其他的回调注册函数呢？答对了！0xFA365 BTAccessoryManagerAddCallbacks！

但是，通过BTAccessoryManagerAddCallbacks向bluetoothd发送消息后，没有任何反应！最后，我发现了这个问题。仅当iOS设备连接到新设备时才会触发回调事件，这意味着我们需要通过手动单击蓝牙设备来触发回调。

CallBacks 1（需要的时间很长），CallBacks 2（很难触发），再来一次CallBacks 3！这次，我们又发现了一个可以注册回调函数的新函数，并且它很容易触发！

0xFA329 BTDiscoveryAgentCreate可以为发现代理创建回调，然后我们可以使用0xFA32B BTDiscoveryAgentStartScan来触发回调而无需手动点击！

0x04 从PC到ROP

我们的目标不仅是控制PC指针，还控制要控制整个进程。下一步是创建ROP链并对目标进程执行堆喷射。在这种情况下，我们使用MACH_MSGH_BITS_COMPLEX Mach消息以及MACH_MSG_OOL_DESCRIPTOR格式。如果我们发送消息并且没有接收消息，则ROP链将持续保留在目标的内存空间中。经过多次测试，我们可以找到一个MAGIC_ADDR 在 0x105400000这个地址。

我们可控制的寄存器：X3，X4，X5，X19，X20。最后一个BR是X4。到目前为止，我们只能做BOP（JOP）。但是这样的话，我们很难控制程序流程。因此，我们需要一个stack pivot来控制堆栈并且从BOP 转换为 ROP。

在libsystem_platform.dylib中可以找到一个很棒的stack pivot gadget。如果我们可以控制x0，那么我们就可以控制sp。

0x05 从ROP到task port

端口为IPC提供了端点。消息可以发送到端口或从端口接收。端口可以包含权限，并且端口权限可以在消息中传递。一个进程最重要的端口是mach_task_self。可以通过其任务端口来控制进程的内存和所有寄存器。

我们可以使用mach_vm_allocate（target_task_port，＆remote_addr，remote_size，1）在远程进程中分配内存。mach_vm_write（target_task_port，remote_address，local_address，length）可用于将数据复制到远程进程中。 thread_create_running（target_task_port，ARM_THREAD_STATE64，＆thread_state，stateCnt和thread_port）可用于在远程进程中创建新线程。因此，如果我们可以获得一个进程的任务端口。我们可以通过mach msg轻松控制整个过程。