iOS 世界顶级黑客大会 议题详解 DEFCON 11.4 一分钟越狱 (iphone世界)
苹果公司在 macOS 和 iOS 中都采用了沙盒机制保护系统不受恶意软件的攻击。在世界著名的黑客大会DEFCON 的这次演讲中，来自阿里安全的安全研究员分析了最新版的 iOS 中的沙盒机制和以及如何获取沙盒配置文件。然后，讨论了 iOS 上的 IPC 机制，并回顾几个经典的沙盒逃逸漏洞。随后，安全研究员展示了 iOS 11.4 上的两个沙箱逃逸 0day 漏洞。
0x01 沙盒简介
苹果公司在macOS 10.5中把沙盒作为“SeatBelt”引入，它提供了MACF策略的第一个全面实现。在macOS上成功试用后，苹果公司又将沙盒机制应用于iOS 6中。随着新的系统的发布或新的威胁出现，沙盒的钩子数量一直在稳步的增长。如下是iOS/macOS每个版本中钩子的数量：
一开始，苹果的沙盒使用黑名单方式，这意味着苹果将已知的危险API整合在一起，并阻止它们，默认情况下允许所有其他人使用。随着苹果沙盒的发展，它采用了一种白名单的方式，拒绝所有的API，只允许苹果信任的安全接口。
在MacOS中，配置文件可见并存储在/System/Library/Sandbox/Profiles中。在iOS中，配置文件被硬编译到了/usr/libexec/sandboxd中。解码沙箱配置文件很困难，但我们可以遍历所有Mach服务根据返回值获取mach-lookup列表（例如，通过Jonathan Levin的sbtool）。
为了找到漏洞，我们需要反汇编和分析包含相关Mach服务的处理函数的二进制文件。/System/Library/ LaunchDaemons包含了大多数Mach服务的配置plist。在plist文件中，“ProgramArguments”字段显示了二进制文件的路径，“MaCHServices”显示了相关的mach服务。
0x02 iOS IPC: Mach, XPC and NSXPC
Mach消息包含类型化数据，可以包括端口权限和对大内存区域的引用。XPC消息建立在Mach消息之上，NSXPC消息建立在XPC消息之上。通过Mach消息，沙盒应用程序可以与未被沙盒的Mach（MIG）服务，XPC服务和NSXPC服务进行通信。
0x03 从老的漏洞到新的漏洞
bluetoothd的“com.apple.server.bluetooth”Mach服务中有132个函数（从0xFA300开始）。 蓝牙通过“com.apple.server.Bluetooth”与沙盒应用程序和其他非沙盒的进程（例如，SpringBoard）进行通信。进程可以使用BTSessionAttach为bluetoothd创建session_token，然后使用BTLocalDeviceAddCallbacks 为事件通知注册回调。
但是，Bluetoothd仅使用会话令牌来识别进程，这意味着我们可以使用沙盒应用程序通过会话令牌来劫持蓝牙和沙盒外的进程之间的通信（CVE-2018-4087）。
漏洞形成的原因是ses_token太容易被暴力破解了。它只有0x10000（0x0000 - 0xFFFF）个可能的值。Apple通过向每个会话添加user_id (= arc4random()) 来修复此问题，只有进程本身知道user_id，并且bluetoothd将检查map[ses_token] == user_id。
如前所述，user_id = arc4random()= [0x00000000-0xFFFFFFFF]。如果我们知道session_token，我们仍然可以通过user_id暴力劫持通信。 但这需要很长时间（约12小时）。如果没有user_id验证的话，还有没有其他的回调注册函数呢？答对了！0xFA365 BTAccessoryManagerAddCallbacks()！
但是，通过BTAccessoryManagerAddCallbacks()向bluetoothd发送消息后，没有任何反应！ 最后，我发现了这个问题。 仅当iOS设备连接到新设备时才会触发回调事件，这意味着我们需要通过手动单击蓝牙设备来触发回调。
CallBacks 1（需要的时间很长），CallBacks 2（很难触发），再来一次CallBacks 3！ 这次，我们又发现了一个可以注册回调函数的新函数，并且它很容易触发！
0xFA329 BTDiscoveryAgentCreate()可以为发现代理创建回调，然后我们可以使用0xFA32B BTDiscoveryAgentStartScan()来触发回调而无需手动点击！
0x04 从PC到ROP
我们的目标不仅是控制PC指针，还控制要控制整个进程。下一步是创建ROP链并对目标进程执行堆喷射。在这种情况下，我们使用MACH_MSGH_BITS_COMPLEX Mach消息以及MACH_MSG_OOL_DESCRIPTOR格式。如果我们发送消息并且没有接收消息，则ROP链将持续保留在目标的内存空间中。经过多次测试，我们可以找到一个MAGIC_ADDR 在 0x105400000这个地址。
我们可控制的寄存器：X3，X4，X5，X19，X20。 最后一个BR是X4。到目前为止，我们只能做BOP（JOP）。但是这样的话，我们很难控制程序流程。因此，我们需要一个stack pivot来控制堆栈并且从BOP 转换为 ROP。
在libsystem_platform.dylib中可以找到一个很棒的stack pivot gadget。如果我们可以控制x0，那么我们就可以控制sp。
0x05 从ROP到task port
端口为IPC提供了端点。消息可以发送到端口或从端口接收。端口可以包含权限，并且端口权限可以在消息中传递。一个进程最重要的端口是mach_task_self()。可以通过其任务端口来控制进程的内存和所有寄存器。
我们可以使用mach_vm_allocate（target_task_port，＆remote_addr，remote_size，1）在远程进程中分配内存。mach_vm_write（target_task_port，remote_address，local_address，length）可用于将数据复制到远程进程中。 thread_create_running（target_task_port，ARM_THREAD_STATE64，＆thread_state，stateCnt和thread_port）可用于在远程进程中创建新线程。因此，如果我们可以获得一个进程的任务端口。 我们可以通过mach msg轻松控制整个过程。
一些从Mach_portal学习到的技巧：
1. 我们可以使用mach_port_insert_right（mach_task_self()，port，port，MACH_MSG_TYPE_MAKE_SEND）向端口插入发送权限。此类端口可以通过具有MACH_MSG_PORT_DESCRIPTOR类型的OOL消息发送。
2. 在大多数情况下，mach_task_self()返回0x103，所以我们可以在不使用ROP的情况下使用0x103（调用mach_task_self()）。
3. 为了将任务端口发送到我们的pwn应用程序，我们需要知道我们的pwn应用程序的端口号。但是我们不能用launchd来帮助我们。幸运的是，端口号可以通过（0x103 + 0x100 * N）猜测。这就是我们向远程进程发送0x1000端口的原因（为了提高成功率）。
但是在iOS 11中，苹果加入了一个新的缓解机制用来控制沙盒中的app获取task port:
虽然我们无法很容易的获取task port，但是我们可以利用下面的ROP gadget来调用任意函数:
使用这些ROP，我们可以打开更多的攻击面并进一步的攻击内核。
0x07 参考文献
1. MacOS and *OS Internals
2. Pangu 9 Internals
3. triple_fetch
4.
5. Mach portal
0x08 更新
在6月份的时候，文章中提到的两个“0day”漏洞被我们提交给了苹果，在iOS 11.4.1和iOS 12 beta中被修复了 (CVE-2018-4330和CVE-2018-4327)。但是在iOS 11.4以及之前版本中都可以被利用，请尽快升级您的iOS以避免潜在的攻击。
via 雷锋网，雷锋网，雷锋网，重要的事情说三遍。
原创文章，未经授权禁止转载。详情见 转载须知 。
本文地址： https://www.gpxz.com/article/98d4a5d8cad10b31d38f.html
网易公开课汇集清华、北大、哈佛、耶鲁等世界名校共上千门课程，覆盖科学、经济、人文、哲学等22个领域，在这里你可以开拓视野看世界，获取有深度的好知识。
萝卜丝(原微客服)卓越的在线客服系统微信客服系统智能客服系统即时通讯云企业协作系统工单系统androidios苹果安卓微信微信公众平台微服务萝卜丝(原微客服)App在线客服App在线咨询androidiOS安卓移动开发者服务平台一款跨平台的在线客服工具。支持多个微博、绑定多个账号。通过获取微博用户关系链、粉丝、好友，挖掘潜在客户。
羊肉是一种常见的食材,豆果美食食材百科为您整理了羊肉的别名,基本信息,适宜人群,不宜人群,搭配禁忌,羊肉的功效与作用,羊肉的烹饪技巧等信息,让您做出美味的羊肉。
连云塑料网是一个专注于塑料行业的综合性资讯平台，致力于为广大塑料厂家、采购商和从业者提供最新的塑料行情、塑胶资讯、塑料颗粒价格等信息。同时，该网站还详细介绍了各种塑料材质，包括pp材质、pvc塑料、abs材质和pc材质等，帮助用户更好地了解各种塑料的性能、用途和市场情况。
深圳市捷科精密设备有限公司是一家致力于高端PCB板焊接与清洗行业领域的高新技术公司，为客户提供高端品质的钢网清洗机、PCBA水清洗机、毛刷清洗机、线路板清洗剂、清洁度测试仪等设备及配套服务。产品广泛应用于IGBT/IMP/SIP封装、半导体封装、MINILED封装、汽车电子、医疗电子、军工、汽车制造等领域并获得好评
融金侠、口子部落 提供2024年最新最靠谱的贷款借钱口子，无需查征信大数据也可申请贷款。融金侠、口子部落，2024年网贷平台，2024年靠谱贷款，2024年最新贷款口子，2024年网贷下款口子，2024年借钱放款口子，2024年不看大数据的口子，2024年不查征信的口子，2024年黑户贷款口子，2024年大数据花也能做的口子，2024年申请必下口子。
爱股圈是股市高手知识付费社群，致力于打造专业股票私域流量变现工具。基于微信公众号、手机APP为财经知识博主、KOL们搭建专属的私域流量管理平台，更轻松的实现私域流量变现
粉籹游戏网（www.fennve.cn）致力于打造成洛克王国游戏攻略百科网站！
北辰SCRM，智能化全渠道营销工具，基于企微的客户管理系统，客户行为分析，线索培育转化，商机跟进，精细化私域运营管理，高效、精准触达客户，提升转化留存复购，打造专业的客户全生命周期管理
字库网收录各种免费字体下载和商业字体库的网站，为设计师日常设计作品中会用到各种字体提供服务，本站支持在线字体预览生成下载和字体厂商帐号注册上传原创字体
无锡纯宇环保制品有限公司致力于全生物降解环保材料应用和研发,开发满足各市场领域需要的生物降解袋产品,服装包装降解袋,物流快递包装袋,商超购物袋等产品为各领域环保包装袋提供降解方案,印刷定制环保包装袋厂家选纯宇。
哈尔滨市不动产登记交易
父母将孩子惯成公主病，我觉得这是一个很严重的问题，可能在孩子小的时候，你这样做可能觉得没什么，可能觉得父母对他特别好，你也觉得孩子特别过的幸福，生活的特别快乐，但是当孩子长大之后，他可能会对于别人或者做事处事的方式可能会特别的倔强，可能不会去考虑到别人的一些感受，不会顾及到一些别人的地方，所以有时候很容易在做事，或者和别人相处的时候很...。
发表在综合交流大区2018，12，2014，47越来越多的科技产品走进了我们的生活，无时无刻不在影响着我们，手机从单一的通信工具，演变成人手必备的重要设备之一，手表也不再只能看个时间，还能记录身体状况、运动数据、接收消息等，家里的电视，从前都是电视台播什么看什么，现在的电视还能上网看视频、看点播，笔记本电脑越来越轻薄，性能也越来越强，...。
发表在投影仪拆机2023，10，3011，28海信ViddaC1Pro是一款出色的三色激光投影仪，那么海信ViddaC1Pro的机身构造是怎么样的呢，下面就来全面拆解海信ViddaC1Pro，看看海信ViddaC1Pro投影仪的机身构造究竟如何，实际配置是否实诚，海信ViddaC1Pro拆机，拆解海信ViddaC1Pro外壳需要取下底...。
今天来和大家分享一下关于QQ空间流量的截取，诞生于2005年的QQ空间，一经上线就风靡了大众，只是近年来随着腾讯旗下的微信崛起，朋友圈逐渐开始替代QQ空间，QQ空间已经渐呈江河日下之势，但是其流量还是不可忽略的，对于网络从业者来讲QQ空间仍然属于一个引流的圣地，截至2016年底，QQ空间月活跃账户数达到6.52亿、QQ空间智能终端月活...。
星座频道给微博系统以及广阔微博用户带来了很多不便，所以在新版微博中临时敞开了此配置，新浪星座测算平台近段期间不时收到用户反应的各种疑问，由于自2015年上线以来，不时未做产品更新，选择在2月28日下线所有产品启动片面更新变革，再次上线详细期间将另行通知，新浪星盘怎样看婚神星，星盘婚神间接回答，了解婚神星在不同星座下的特点和未来伴侣特色...。
探求单机游戏环球的秘密武器，介绍的Steam修正器在泛滥游戏平台中，Steam无疑是单机游戏的抢手之选，关于寻求更深度游戏体验的玩家，修正器无疑是个得力助手，其中，WeMod作为一款备受推崇的工具，以其智能个性锋芒毕露，WeMod的弱小之处在于它能够智能识别装置在你的电脑上的Steam、Origin、Uplay、Epic等平台游戏，并...。
suv四边形车标是观致，代表着观致品牌的翻新精气和踊跃向上的态度，代表着观致汽车的品牌愿景，观致汽车旗下共有三个车型，包含观致3、观致3都市SUV车型，观致35门版车型，观致汽车作为一家全新的汽车制作公司，消费汽车的平台与国内顶级供应商协作开发，使汽车的机械需要齐全合乎欧洲汽车市场的规范和需求，在汽车一切零部件的供应商中，95%都是来...。
在电力短缺的形态下，这款车可以纯电形式行驶当汽车行驶速度低于40公里小时时，发起机不会参加任务，重要依托电动机驱动汽车作为混动车型，雷克萨斯ct200h享用6年或15万公里的收费爱护，性价比也很高便捷来说，混合动，便捷回答CT200h的能源源有两个，一个发起机一个电机点火进行起步低速行驶的时刻用电，速度快起来后发起机运转用油，深踩油门...。
在经过较为安稳的路段，该车在滤震成果上解决的不是很好，车内有显著的安稳感，乘坐感触不是很好团体觉得在车子的动力方面和悬架调校成果上，秦pro体现更好些作为燃油车油耗是个无法防止的疑问，试驾秦pro燃油版将近3，比亚迪秦Pro燃油版跟长劳碌动蓝鲸版相比，比亚迪秦Pro燃油版愈加省油，比亚迪秦Pro的车身长度为4740mm×1770mm×...。
特效，特效如何，什么特效，哪些特效，怎么特效
重庆分类目录网站将2011年07月共297个网站收录信息按收录时间分类整理归档列表，可以方便网友浏览按年月查询，更好地享受精彩网站的魅力！
这个版本有许多新增功能和修复的地方。具体包括以下内容：1.平台新增了用户找回密码功能，用户可以通过该功能找回自己的密码。2.平台新增了短信注册功能，实现了实名制功能，提高了平台的安全性。3.平台新增了主图后台添加...
创业的方式有千千万种，选择不同的项目赚取到的钱财存在巨大的区别，想要成功打开市场的创业者需要用心挑选市场发展潜力大的项目，水胭脂美容院是众多创业者看好的合作项目，在市场上不仅拥有庞大的消费群体，而且，营收空间相当可观，是一种能够为创业者带来源源不断财富的好项目，如果你也对该品牌感兴趣，和小编一起来看看水胭脂美容院连锁加盟机构怎么样，口...。
根据每个客户的资金能力，度身打造各类门店形式，有袖珍型、小型、中型的全日经营品种齐全的多功能店，也有早餐店、糖水屋、甜品店等专营店，中餐加盟投入额从3万—30万不等，与一般经营店相比，员工可以精简30%，耗能节约50%，由于设施现代化的设计，消防及环保具备优良条件，也就拥有投入上的优势，?...。
发表在专业问答2022，2，1414，49展示机型信息，品牌型号，当贝x3系统版本，当贝OS2.0软件版本，银河奇异果12.2爱奇艺会员在电视上不能用，手机的爱奇艺会员和电视的爱奇艺会员并不通用，爱奇艺与电视端银河奇异果TV属于合作关系，不支持黄金会员直接升级为电视会员，可以尝试将手机投屏的方式观看会员内容，爱奇艺会员在电视上能用吗爱...。
经过了近几年的低迷，韩系车在2020年迎来了大换血，以西风悦达起亚和北京现代为首的韩系汽车品牌都添加到了换代的潮流中来，颁布并上市了多款新车，惹起了国际汽车市场的惊动，像新一代索纳塔、起亚K5、伊兰特等都遭到了宽泛关注，上市短短的期间里取得了良好的市场体现，另外还曝光了多款换代新车，比如新一代ix35、名图、胜达等，而当天我们要说的是...。
学弟学妹们，千万别来，我是2011界的本科生，来的工资待遇十分少，和我同窗的相比少的不幸，还骗人，什么安家费，一年了都没给，我很多一同来的共事都辞职了，实习一年的时期还要守约金，辞职就要5000，都上班一年不到哪来的5000，而且手续要好几个月才给办，很多都想走了，只是碍于没钱，走不了，流动性十分大，千万别来，哪怕去个小点的有诚信的公...。
