iOS 世界顶级黑客大会 议题详解 DEFCON 11.4 一分钟越狱 (iphone世界)
苹果公司在 macOS 和 iOS 中都采用了沙盒机制保护系统不受恶意软件的攻击。在世界著名的黑客大会DEFCON 的这次演讲中，来自阿里安全的安全研究员分析了最新版的 iOS 中的沙盒机制和以及如何获取沙盒配置文件。然后，讨论了 iOS 上的 IPC 机制，并回顾几个经典的沙盒逃逸漏洞。随后，安全研究员展示了 iOS 11.4 上的两个沙箱逃逸 0day 漏洞。
0x01 沙盒简介
苹果公司在macOS 10.5中把沙盒作为“SeatBelt”引入，它提供了MACF策略的第一个全面实现。在macOS上成功试用后，苹果公司又将沙盒机制应用于iOS 6中。随着新的系统的发布或新的威胁出现，沙盒的钩子数量一直在稳步的增长。如下是iOS/macOS每个版本中钩子的数量：
一开始，苹果的沙盒使用黑名单方式，这意味着苹果将已知的危险API整合在一起，并阻止它们，默认情况下允许所有其他人使用。随着苹果沙盒的发展，它采用了一种白名单的方式，拒绝所有的API，只允许苹果信任的安全接口。
在MacOS中，配置文件可见并存储在/System/Library/Sandbox/PROfiles中。在iOS中，配置文件被硬编译到了/usr/libexec/sandboxd中。解码沙箱配置文件很困难，但我们可以遍历所有Mach服务根据返回值获取mach-lookup列表（例如，通过Jonathan Levin的sbtool）。
为了找到漏洞，我们需要反汇编和分析包含相关Mach服务的处理函数的二进制文件。/System/Library/ LaunchDaemons包含了大多数Mach服务的配置plist。在plist文件中，“ProgramArguments”字段显示了二进制文件的路径，“MachServices”显示了相关的mach服务。
0x02 iOS IPC: Mach, XPC and NSXPC
Mach消息包含类型化数据，可以包括端口权限和对大内存区域的引用。XPC消息建立在Mach消息之上，NSXPC消息建立在XPC消息之上。通过Mach消息，沙盒应用程序可以与未被沙盒的Mach（MIG）服务，XPC服务和NSXPC服务进行通信。
0x03 从老的漏洞到新的漏洞
bluetoothd的“com.apple.server.bluetooth”Mach服务中有132个函数（从0xFA300开始）。 蓝牙通过“com.apple.server.Bluetooth”与沙盒应用程序和其他非沙盒的进程（例如，SpringBoard）进行通信。进程可以使用BTSessionAttach为bluetoothd创建session_token，然后使用BTLocalDeviceAddCallbacks 为事件通知注册回调。
但是，Bluetoothd仅使用会话令牌来识别进程，这意味着我们可以使用沙盒应用程序通过会话令牌来劫持蓝牙和沙盒外的进程之间的通信（CVE-2018-4087）。
漏洞形成的原因是ses_token太容易被暴力破解了。它只有0x10000（0x0000 - 0xFFFF）个可能的值。Apple通过向每个会话添加user_id (= arc4random()) 来修复此问题，只有进程本身知道user_id，并且bluetoothd将检查map[ses_token] == user_id。
如前所述，user_id = arc4random()= [0x00000000-0xFFFFFFFF]。如果我们知道session_token，我们仍然可以通过user_id暴力劫持通信。 但这需要很长时间（约12小时）。如果没有user_id验证的话，还有没有其他的回调注册函数呢？答对了！0xFA365 BTAccessoryManagerAddCallbacks()！
但是，通过BTAccessoryManagerAddCallbacks()向bluetoothd发送消息后，没有任何反应！ 最后，我发现了这个问题。 仅当iOS设备连接到新设备时才会触发回调事件，这意味着我们需要通过手动单击蓝牙设备来触发回调。
CallBacks 1（需要的时间很长），CallBacks 2（很难触发），再来一次CallBacks 3！ 这次，我们又发现了一个可以注册回调函数的新函数，并且它很容易触发！
0xFA329 BTDiscoveryAgentCreate()可以为发现代理创建回调，然后我们可以使用0xFA32B BTDiscoveryAgentStartScan()来触发回调而无需手动点击！
0x04 从PC到ROP
我们的目标不仅是控制PC指针，还控制要控制整个进程。下一步是创建ROP链并对目标进程执行堆喷射。在这种情况下，我们使用MACH_MSGH_BITS_COMPLEX Mach消息以及MACH_MSG_OOL_DESCRIPTOR格式。如果我们发送消息并且没有接收消息，则ROP链将持续保留在目标的内存空间中。经过多次测试，我们可以找到一个MAGIC_ADDR 在 0x105400000这个地址。
我们可控制的寄存器：X3，X4，X5，X19，X20。 最后一个BR是X4。到目前为止，我们只能做BOP（JOP）。但是这样的话，我们很难控制程序流程。因此，我们需要一个stack pivot来控制堆栈并且从BOP 转换为 ROP。
在libsystem_platform.dylib中可以找到一个很棒的stack pivot gadget。如果我们可以控制x0，那么我们就可以控制sp。
0x05 从ROP到task port
端口为IPC提供了端点。消息可以发送到端口或从端口接收。端口可以包含权限，并且端口权限可以在消息中传递。一个进程最重要的端口是mach_task_self()。可以通过其任务端口来控制进程的内存和所有寄存器。
我们可以使用mach_vm_allocate（target_task_port，＆remote_addr，remote_size，1）在远程进程中分配内存。mach_vm_write（target_task_port，remote_address，local_address，length）可用于将数据复制到远程进程中。 thread_create_running（target_task_port，ARM_THREAD_STATE64，＆thread_state，stateCnt和thread_port）可用于在远程进程中创建新线程。因此，如果我们可以获得一个进程的任务端口。 我们可以通过mach msg轻松控制整个过程。
一些从Mach_portal学习到的技巧：
1. 我们可以使用mach_port_insert_right（mach_task_self()，port，port，MACH_MSG_TYPE_MAKE_SEND）向端口插入发送权限。此类端口可以通过具有MACH_MSG_PORT_DESCRIPTOR类型的OOL消息发送。
2. 在大多数情况下，mach_task_self()返回0x103，所以我们可以在不使用ROP的情况下使用0x103（调用mach_task_self()）。
3. 为了将任务端口发送到我们的pwn应用程序，我们需要知道我们的pwn应用程序的端口号。但是我们不能用launchd来帮助我们。幸运的是，端口号可以通过（0x103 + 0x100 * N）猜测。这就是我们向远程进程发送0x1000端口的原因（为了提高成功率）。
但是在iOS 11中，苹果加入了一个新的缓解机制用来控制沙盒中的app获取task port:
虽然我们无法很容易的获取task port，但是我们可以利用下面的ROP gadget来调用任意函数:
使用这些ROP，我们可以打开更多的攻击面并进一步的攻击内核。
0x07 参考文献
1. MacOS and *OS Internals
2. Pangu 9 Internals
3. triple_fetch
4.
5. Mach portal
0x08 更新
在6月份的时候，文章中提到的两个“0day”漏洞被我们提交给了苹果，在iOS 11.4.1和iOS 12 beta中被修复了 (CVE-2018-4330和CVE-2018-4327)。但是在iOS 11.4以及之前版本中都可以被利用，请尽快升级您的iOS以避免潜在的攻击。
via 雷锋网，雷锋网，雷锋网，重要的事情说三遍。
原创文章，未经授权禁止转载。详情见 转载须知 。
平面设计,平面设计提供平面设计教程,photoshop,fireworks,Illustrator,coredraw,painter,Freehand等教程
同花顺旗下专业的智能选股平台，通过AI技术致力于为股民提供智能选股、量化投资、技术分析、快速选股等服务，覆盖股票、指数、美股、港股、行情、基金、新三板、债券、期货、外汇、科创板、保险、理财、宏观、资讯、百科等信息，从而有效提高投资者的投资逻辑和效能
江苏双云防爆电机有限公司是一家专业生产防爆电机厂家,主要防爆电机类型有防爆变频电机,防爆掘井电机.矿用防爆电机等防爆电机产品,主要用于石油、煤炭、化工、冶金、交通、水利、电力、造船等领域。欢迎来电咨询！
信达天下，步入辉煌！湖北名牌地板，信步地板是湖北知名地板生产厂家，湖北艾文迪木业有限公司生产的符合国家标准和企业标准的优质木地板！公司组建于2002年，一直遵循“奉精工艺术，献卓越品质”的宗旨，向消费者奉献优质的产品，创造完善的服务。致力于“提升生活品质、传播家居文化”是企业一份义不容辞的责任和义务。
山东济南老牌idc服务商
海荻威专业光通信设备ODM代工厂家，提供ONU光猫，光模块，交换机，OLT代工服务，9段代工体系，10+年行业经验，10000家运营商优选代工厂家共同选择。
财经姗是一家专业的财经网站，致力于为用户提供全面、准确的财经资讯和深入的投资分析。我们汇集了一支由行业内资深专家组成的团队，为用户提供权威可靠的财经信息和精准的投资建议。
惠州市镭凌激光科技有限公司,是一家研发、生产、销售、服务为一体的激光智能设备公司,产品有激光打标机,激光焊接机,激光切割机等近百种工业激光设备。服务热线：4000752499
【星座运势】专业的占星学星座网,提供星座知识、星座个性分析、星座开运方法、星座运势、配对、查询以及心理测试、塔罗牌、先天命格、气运、生肖等星相运数相关内容。
寰球国际展览，广东寰球国际会展有限公司、GIE、议题策划、专家会议、高层峰会、学术会议、新闻发布、行业会议、商业活动、巡演活动、赛事活动、推广活动、媒介活动、年活动、颁奖活动、奠基仪式、签约仪式、启动仪式、开业仪式、展览会议、展会搭建、新能源汽车、智能汽车、无人驾驶汽车、自动驾驶、5G、人工智能、无人驾驶大会、智能驾驶大会
汽车乐园提供汽车相关资讯、评测、购车指导等服务的网站平台。用户可以在汽车网上获取最新的汽车新闻、车型信息、技术动向、汽车保养知识以及汽车市场行情等内容
雷锋网消息，据南华早报报道，华为一直在开发及完善自己的智能手机操作系统，以打破iOS和Android的垄断，据称，华为操作系统的开发始于2012年美国对它及中兴公司的一次调查，如今，华为同时也为平板和PC开发了操作系统，报道称，操作系统的计划始于华为的创始人任正非，而且公司从未放弃过这项计划，并将其视为战略投资，以为最坏的情况做准备，...。
怎么评价我将要写的这篇文章呢，我觉得，这会是个预言，故事要从11月16号说起，这一天搜狗号码通Lite更新了全新的iOS客户端，加入了防骚扰功能，官方宣称他们首次实现了非越狱iPhone用户的防骚扰问题，就像他们在安卓系统上做的事一样，如果接到骚扰电话，它会提示用户这一号码已被多少人标记为骚扰电话，从而帮助用户做出接与不接的选择，很少...。
搭载自家最强M1芯片，最低价5299元，苹果的三款Mac新品已经开卖了，那么问题来了，这的确是一个值得纠结的问题，一方面，M1看起来很优秀，而且堪称是Mac发展史上的一次革命性转变；另一方面，基于M1芯片的全新Mac，在硬件和软件方面体验到底如何，还存在不确定性，当然，对于这个问题，苹果似乎也不必担心，毕竟，在2020年新冠肺炎疫情肆...。
雷锋网消息，苹果公司MFi授权认证项目近日新增了一种接口名称，UltraAccessoryConnector，，用于连接耳机和耳麦等设备，此前，MFi授权认证，MadeforiOS，的接口类型包括Lightning和USB，C等，新增的UltraAccessoryConnector连接器为8针脚设计，外观尺寸为2.05x4.85毫米...。
Facebook为入华不惜，自宫，，，纽约时报，称其正秘密研发内容审查工具@听雨阁杂记，阻止不了敏感字词的，人类的创造力是无穷的，从你妈到尼玛到你妹到泥煤……屏蔽再多也能找出替代词，与此同时，阉割版的FB在中国算什么玩意，进入国内又如何?审查内容能不让我们看国际上的内容?如果不让看，那就是中国版脸书用什么去吸引微博群体了，@我不是大橙...。
雷锋网消息，2021年1月27日，28日，由帕特森RISC，V国际开源实验室，RIOS，、鹏城实验室、清华，伯克利深圳研究院主办的第二届，RISC，V国际开源论坛，顺利举办，清华，伯克利深圳研究院共同院长、清华大学深圳国际研究生院执行院长高虹、深圳市科技创新委员会副主任钟海、鹏城实验室主任高文等领导致开幕词，2017年图灵奖得主、加州...。
微信iOS版夜间模式有望在新版本上线安卓也会加入在苹果的，鞭策，下，，深色模式，版本的微信要来了，3月9日消息，为了优化用户体验，微信与苹果达成合作，共同探索微信在iOS系统的暗黑模式体验，微信团队表示，目前该功能已完成开发，将有望在下一个新版本中上线，敬请期待，微信团队称，此前，微信适配系统暗黑模式的功能已在安卓版顺利灰度，用户将可...。
今日，加州大学伯克利分校Pardee荣誉教授大卫·帕特森，DavidPatterson，在RISC，V峰会上宣布，将成立专注于RISC，V研究的RIOS实验室，英语全名RISC，VInternationalOpenSourceLaboratory，，实验室设在伯克利加州大学和清华大学联合建立的清华，伯克利深圳学院，简称TBSI，大卫...。
最近半年，相对于苹果的高歌猛进，微软显得过于不思进取，尤其是它的Windows10，要知道，在不到半年的时间里，苹果已经实现了Mac有史以来最为重磅的一次更新，具体来说，苹果在6月份宣布Mac平台迁移到苹果自主芯片；5个月后，苹果就拿出了三款搭载其最强M1芯片的Mac新品——关键是，它们都可以运行iOS应用，而再来看微软的Window...。
雷锋网消息，据外媒报道，谷歌WearOS自今年3月更名后，首度更新界面及功能，具体更新后的界面功能如下，新功能发力医疗保健领域由以上信息来看，此次谷歌除针对通知信息、程序查找等功能进行了优化和调整之外，主要还是针对智能助手和医疗保健功能进行了加强，此前，据外媒AndroidPolice报道，谷歌正在开发一款名为，GoogleCoach...。
苹果新增接口，用于连接耳机和耳麦等设备雷锋网消息，苹果公司MFi授权认证项目近日新增了一种接口名称，UltraAcCESsoryConnector，，用于连接耳机和耳麦等设备，此前，MFi授权认证，MadeforiOS，的接口类型包括Lightning和USB，C等，新增的UltraAccessoryConnector连接器为8针脚...。
一年前，苹果在万众瞩目下推出了移动支付系统ApplePay，这款全新的支付平台允许iPhone6，iPhone6Plus以及AppleWatch用户在美国和英国的零售店内轻松完成支付，消费者再也不用从钱包里掏出信用卡刷卡买单了，他们只需把兼容ApplePay的iOS设备放到支付终端上，交易就能瞬间搞定，相应的钱款也会从挂靠AppleP...。
刚刚过去的315国际消费者权益日前后，职业打假人王海在一档节目中再次谈到了快手头部主播辛巴团队燕窝售假事件，去年11月初开始发酵的假燕窝事件，在2020年12月23日晚间得到了快手官方处罚结果，辛巴个人账号封停60天，就在昨日，辛巴在停播100多天后复出，开启2021年首场直播，在众多争议声中，辛巴高调回归，燕窝售假事件后高调回归20...。
选择复制进去的apk，按确认键即可进行安装！当然也有可能系统不会自动弹出文件选择界面，这时候就需要我们去系统里找到文件管理器或者应用安装等功能来识别U盘或者SD卡里的安装包才能安装了，2、利用自带的应用商店下载文件浏览器，安装第三方应用某些智能电视、盒子、投影仪，自带的文件浏览器出于某些原因屏蔽了APK应用的显示，所以无法读取APK应...。
粉色劳斯莱斯女车主再次发声不须要大货车司机任何抵偿记者尹鑫尹鸣近日，广州海珠区一货车撞上一辆粤港两地牌照的劳斯莱斯引发继续关注，针对一些网友称此次车祸是剧本，存在摆拍的质疑，当事双方均启动了回应，但双方的回应并未消弭网友的质疑，关于此事的问号越来越多，11月11日，纵览资讯，报料微信，ZLXWBL2023，记者从广州海珠区交警大队了解...。
[网传，女生在游泳池内被男生轮番抱摔霸凌，是谎话！！！]近日，网传视频，女生在泳池内被男生轮番抱摔霸凌，引发热议，经核实，该视频拍摄内容系同窗间的嬉戏场景，任某，男，31岁，系该游泳馆教练，为博眼球给其自媒体账号引流，拍摄视频并冠以，霸凌，、，十几个男性轮番抱摔一男性，等虚伪内容颁布，引发宽泛关注，...。
[全球时报驻美国特约记者张思思全球时报特约记者任重全球时报记者陈子帅]继北约宣布宣言争光中国后，美国有线电视资讯网，CNN，11日放风称，北约官员正在探讨，假设欧洲大陆东部与俄罗斯迸发更大范围的抵触，北约将采取执行收回欧洲一些由中国持有的基础设备名目，接受，全球时报，记者采访的专家以为，这是美媒借助北约峰会的机遇向欧洲施加言论压力，迫...。
