搜索

[28664] 2020-12-02_MailDemon补丁分析：iOS13.4.5Beta与iOS13.5

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-12-02_MailDemon补丁分析：iOS13.4.5Beta与iOS13.5 M a i l D e m o n 补 丁 分 析 ： i O S   1 3 . 4 . 5   B e t a 与 i O S   1 3 . 5 Z E C O P S 研 究 团 队   O t s 安 全   2 0 2 0 - 1 2 - 0 2 摘 要 和 T L ;   D R 除 了 A p p l e 的 M a i l D e m o n 漏 洞 补 丁 之 外 ， Z e c O p s 研 究 团 队 还 分 析 并 比 较 了 i O S   1 3 . 4 . 5   b e t a 和 i O S   1 3 . 5 的 M a i l D e m o n 补 丁 。   我 们 的 分 析 得 出 的 结 论 是 ， 补 丁 程 序 有 所 不 同 ， 并 且 i O S   1 3 . 4 . 5   b e t a 补 丁 程 序 不 完 整 ， 在 某 些 情 况 下 仍 可 能 会 受 到 攻 击 。   由 于 1 3 . 4 . 5   b e t a 补 丁 不 够 用 ， 因 此 A p p l e 发 布 了 完 整 的 补 丁 ， 采 用 了 另 一 种 方 法 ， 此 方 法 在 i O S   1 3 . 5 和 i O S   1 2 . 4 . 7 上 完 全 解 决 了 此 问 题 ， 作 为 旧 设 备 的 特 殊 安 全 更 新 。   这 可 能 解 释 了 为 什 么 要 花 费 大 约 一 个 月 才 能 发 布 完 整 补 丁 。   i O S   1 3 . 4 . 5   B e t a 补 丁 以 下 是 i O S   1 3 . 4 . 5   b e t a 上 的 堆 溢 出 漏 洞 修 补 程 序 。     如 果 - [ M F M u t a b l e D a t a   _ m a p M u t a b l e D a t a ] 返 回 f a l s e ， 则 函 数 - [ M F M u t a b l e D a t a   a p p e n d B y t e s ： l e n g t h ： ] 引 发 异 常 。 为 了 查 看 何 时 [ [ M F M u t a b l e D a t a   _ m a p M u t a b l e D a t a ] 返 回 f a l s e ， 让 我 们 看 一 下 它 是 如 何 实 现 的 ： 当 m m a p 失 败 时 ， 它 返 回 F a l s e ， 但 仍 分 配 一 个 8 字 节 的 块 并 将 指 针 存 储 在 s e l f - >   b y t e s 中 。 此 修 补 程 序 在 将 数 据 复 制 到 s e l f - >   b y t e s 之 前 引 发 异 常 ， 从
而 部 分 部 分 解 决 了 堆 溢 出 问 题 。 该 修 补 程 序 确 保 在 - [ M F M u t a b l e D a t a   a p p e n d B y t e s ： l e n g t h ： ] 内 部 引 发 异 常 。 但 是 ， 还 有 其 他 函 数 调 用 - [ M F M u t a b l e D a t a   _ m a p M u t a b l e D a t a ] 并 与 s e l f - > b y t e s 交 互 ， 如 果 m m a p 失 败 ， 则 将 是 8 字 节 的 块 ， 这 些 函 数 不 会 检 查 m m a p 是 否 失 败 ， 因 为 补 丁 只 会 影 响 - [ M F M u t a b l e D a t a   a p p e n d B y t e s ： l e n g t h ： ] 。 以 下 是 从 M o b i l e M a i l 获 取 的 实 际 回 溯 ： 由 于 m u t a b l e B y t e s 返 回 的 字 节 通 常 被 认 为 是 可 修 改 的 ， 具 体 请 参 见 A p p l e 的 文 档 （ h t t p s : / / d e v e l o p e r . a p p l e . c o m / d o c u m e n t a t i o n / f o u n d a t i o n / n s m u t a b l e d a t a / 1 4 1 0 7 7 0 - m u t a b l e b y t e s ） ： 此 属 性 类 似 于 但 不 同 于 b y t e s 属 性 。 b y t e s 属 性 包 含 一 个 指 向 常 量 的 指 针 。 您 可 以 使 用 字 节 指 针 读 取 由 数 据 对 象 管 理 的 数 据 ， 但 不 能 修 改 该 数 据 。 但 是 ， 如 果 m u t a b l e B y t e s 属 性 包 含 非 n u l l 指 针 ， 则 此 指 针 指 向 可 变 数 据 。 您 可 以 使 用 m u t a b l e B y t e s 指 针 来 修 改 由 数 据 对 象 管 理 的 数 据 。 苹 果 的 文 档 如 果 m m a p 失 败 ， 则 [ [ M F M u t a b l e D a t a   m u t a b l e B y t e s ] 和 - [ M F M u t a b l e D a t a   b y t e s ] 都 将 返 回 s e l f - >   b y t e s 指 向 8 字 节 的 块 ， 这 在 某 些 情 况 下 可 能 导 致 堆 溢 出 。 以 下 是 一 个 如 何 出 错 的 示 例 ， 即 使 在 m e m c p y 之 前 检 查 了 长 度 ， 堆 仍 然 会 发 生 溢 出 ：   - [ M F M u t a b l e D a t a   a p p e n d D a t a : ]   |   + - -     - [ M F M u t a b l e D a t a   a p p e n d B y t e s : l e n g t h : ]   * * < - p a t c h * *         |         + - -   - [ M F M u t a b l e D a t a   _ m a p M u t a b l e D a t a ] *   f r a m e   # 0 :   0 x 0 0 0 0 0 0 0 2 2 a 0 f d 0 1 8   M I M E ` - [ M F M u t a b l e D a t a   _ m a p M u t a b l e D a t a : ]       f r a m e   # 1 :   0 x 0 0 0 0 0 0 0 2 2 a 0 f c 2 c c   M I M E ` - [ M F M u t a b l e D a t a   b y t e s ]   +   1 0 8       f r a m e   # 2 :   0 x 0 0 0 0 0 0 0 2 2 a 0 f c 3 1 4   M I M E ` - [ M F M u t a b l e D a t a   m u t a b l e B y t e s ]   +   5 2       f r a m e   # 3 :   0 x 0 0 0 0 0 0 0 2 2 a 0 f 0 9 1 c   M I M E ` _ M a p p e d A l l o c a t o r A l l o c a t e   +   7 6       f r a m e   # 4 :   0 x 0 0 0 0 0 0 0 2 1 8 c d 4 e 9 c   C o r e F o u n d a t i o n ` _ C F R u n t i m e C r e a t e I n s t a n c e   +   3 2 4       f r a m e   # 5 :   0 x 0 0 0 0 0 0 0 2 1 8 c e e 5 c 4   C o r e F o u n d a t i o n ` _ _ C F S t r i n g C r e a t e I m m u t a b l e F u n n e l 3   +   1 9 0 8       f r a m e   # 6 :   0 x 0 0 0 0 0 0 0 2 1 8 c e e b 0 4   C o r e F o u n d a t i o n ` C F S t r i n g C r e a t e W i t h B y t e s   +   4 4       f r a m e   # 7 :   0 x 0 0 0 0 0 0 0 2 2 a 0 e a b 9 4   M I M E ` _ M F C r e a t e S t r i n g W i t h B y t e s   +   8 0       f r a m e   # 8 :   0 x 0 0 0 0 0 0 0 2 2 a 0 e b 3 a 8   M I M E ` _ f i l t e r _ c h e c k A S C I I   +   8 4       f r a m e   # 9 :   0 x 0 0 0 0 0 0 0 2 2 a 0 e a 7 b 4   M I M E ` M F C r e a t e S t r i n g W i t h B y t e s   +   1 3 6 - [ M F M u t a b l e D a t a   m u t a b l e B y t e s ] | + - -     - [ M F M u t a b l e D a t a   b y t e s ]       |       + - -     - [ M F M u t a b l e D a t a   _ m a p M u t a b l e D a t a : ] s i z e _ t   l e n g t h   =   0 x 3 0 0 0 0 ; M F M u t a b l e D a t a *   m d a t a   =   [ M F M u t a b l e D a t a   a l l o c ] ; d a t a   =   m a l l o c ( l e n g t h ) ; [ m d a t a   i n i t W i t h B y t e s N o C o p y : d a t a   l e n g t h : l e n g t h ] ;         s i z e _ t   m d a t a _ l e n   =   [ m d a t a   l e n g t h ] ; c h a r *   m b y t e s   =   [ m d a t a   m u t a b l e B y t e s ] ; / / m b y t e s   c o u l d   b e   a   8 - b y t e s   c h u n k s i z e _ t   n e w _ d a t a _ l e n   =   9 0 ; c h a r *   n e w _ d a t a   =   m a l l o c ( n e w _ d a t a _ l e n ) ; i f   ( n e w _ d a t a _ l e n   < =   m d a t a _ l e n )   {         m e m c p y ( m b y t e s ,   n e w _ d a t a ,   n e w _ d a t a _ l e n ) ; / / h e a p   o v e r f l o w   i f   m m a p   f a i l s
i O S   1 3 . 5 补 丁 在 i O S   1 3 . 5 修 补 程 序 之 后 ， m m a p 失 败 并 且 紧 接 着 不 再 返 回 8 字 节 的 块 之 后 ， “ - [ M F M u t a b l e D a t a   _ m a p M u t a b l e D a t a ] ” 中 引 发 了 异 常 。 这 种 方 法 可 以 完 全 解 决 该 问 题 。 概 要 i O S   1 3 . 5 修 补 程 序 是 修 补 堆 溢 出 漏 洞 的 正 确 方 法 。 仔 细 检 查 安 全 补 丁 并 确 认 补 丁 已 完 成 很 重 要 。   在 Z e c O p s ， 我 们 帮 助 开 发 人 员 发 现 安 全 漏 洞 ， 并 验 证 问 题 是 否 已 自 动 正 确 解 决 。 如 果 您 想 在 您 的 应 用 程 序 / 程 序 中 找 到 类 似 的 漏 洞 ， 我 们 现 在 将 其 他 用 户 添 加 到 我 们 的 C r a s h O p s   S D K   b e t a 程 序 中 （ h t t p s : / / w w w . c r a s h o p s . c o m / ） 。   如 果 您 没 有 应 用 程 序 ， 并 且 想 检 查 手 机 是 否 存 在 可 疑 活 动 ， 请 查 看 Z e c O p s   i O S   D F I R 解 决 方 案 （ h t t p s : / / z e c o p s . c o m / s o l u t i o n s / g l u o n . h t m l ） –   G l u o n 。 阅 读 原 文         m e m c p y ( m b y t e s ,   n e w _ d a t a ,   n e w _ d a t a _ l e n ) ; / / h e a p   o v e r f l o w   i f   m m a p   f a i l s } 本 文 翻 译 自 ： h t t p s : / / b l o g . z e c o p s . c o m / v u l n e r a b i l i t i e s / h i d d e n - d e m o n s - m a i l d e m o n - p a t c h - a n a l y s i s - i o s - 1 3 - 4 - 5 - b e t a - v s - i o s - 1 3 - 5 /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理