搜索

[11845] 2017-10-01_iPhone的Wi-Fi芯片漏洞利用POC公布，赶紧更新系统吧

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2017-10-01_iPhone的Wi-Fi芯片漏洞利用POC公布，赶紧更新系统吧 i P h o n e 的 W i - F i 芯 片 漏 洞 利 用 P O C 公 布 ， 赶 紧 更 新 系 统 吧 A n g e l a Y   F r e e B u f   2 0 1 7 - 1 0 - 0 1 本 周 ， 本 周 ， 谷 歌 谷 歌   P r o j e c t   Z e r o   项 目 的 研 究 员 项 目 的 研 究 员   G a l   B e n i a m i n i   公 布 了 公 布 了   i P h o n e   W i - F i   固 件 的 漏 洞 利 用 固 件 的 漏 洞 利 用   P O C 。 这 个 漏 。 这 个 漏 洞 （ 洞 （ C V E - 2 0 1 7 - 1 1 1 2 0 ） 是 个 内 存 损 坏 （ ） 是 个 内 存 损 坏 （ m e m o r y   c o r r u p t i o n ） 漏 洞 ， 存 在 于 ） 漏 洞 ， 存 在 于   i P h o n e   和 其 他 苹 果 产 品 （ 和 其 他 苹 果 产 品 （ A n d r o i d 手 机 、 手 机 、 A p p l e   T V   、 、   A p p l e   W a t c h   和 其 他 智 能 和 其 他 智 能   T V   等 ） 所 使 用 的 等 ） 所 使 用 的   B r o a d c o m   芯 片 中 ， 影 响 芯 片 中 ， 影 响   i O S   1 0   及 更 早 的 及 更 早 的   i O S 版 本 。 本 周 版 本 。 本 周   i O S   1 1   版 本 发 布 后 ， 漏 洞 才 修 复 。 版 本 发 布 后 ， 漏 洞 才 修 复 。 攻 击 详 情 攻 击 详 情 攻 击 者 只 需   i P h o n e   的   M A C   地 址 或 网 络 端 口   I D ，   就 可 以 利 用 这 个 漏 洞 ， 在 目 标 设 备 中 执 行 恶 意 代 码 并 建 立 后 门 ， 进 而 向 固 件 发 出 远 程 读 / 写 命 令 ， 轻 松 实 现 远 程 控 制   W i - F i   芯 片 。 入 侵 成 功 之 后 ， 攻 击 者   “ 可 以 与 后 门 进 行 交 互 ， 通 过 分 别 调 用   ‘ r e a d _ d w o r d ’   和   ‘ w r i t e _ d w o r d ’   功 能 获 得 对 固 件 的 读   /   写 访 问 。 ” B e n i a m i n i   发 布 的 漏 洞 报 告 称 ： 该 漏 洞 利 用   i P h o n e   7   上 的   W i - F i   固 件 进 行 代 码 执 行 ， 存 档 的 密 码 是   “ r r m _ e x p l o i t ” 。 这 个 漏 洞 利 用 已 经 针 对 i O S   1 0 . 2 （ 1 4 C 9 2 ）   上 的   W i - F i   固 件 进 行 了 测 试 ， 但 可 以 适 用 于 包 括   i O S   1 0 . 3 . 3   及 以 下 的 所 有   i O S   版 本 ， 只 是 其 中 有 些 符 号 可 能 需 要 针 对 不 同 版 本 的   i O S   进 行 调 整 。 此 外 ，   9 . 4 4 . 7 8 . 2 7 . 0 . 1 . 5 6   版 本 中 的   B C M 4 3 5 5 C 0   芯 片 系 统 也 存 在 这 个 漏 洞 。 此 前 其 实 也 出 现 过 类 似 的 漏 洞 ， 都 是 通 过 本 地     W i _ F i   网 络 远 程 接 管 智 能 手 机 ： 今 年   4   月 份 ， G a l   B e n i a m i n i   在   B r o a d c o m   W i F i   S o C （ 芯 片 软 件 ） 中 发 现 的 漏 洞 ； 今 年 夏 天   E x o d u s   I n t e l l i g e n c e   研 究 员   N i t a y   A r t e n s t e i n   披 露 的 影 响   B r o a d c o m   B C M 4 3 x x   系 列   W i F i   芯 片 的 B r o a d P w n   关 键 远 程 代 码 执 行 漏 洞 （ C V E - 2 0 1 7 - 3 5 4 4 ） ； 因 为 目 前 尚 未 有 办 法 检 测 用 户 的 设 备 是 否 在 运 行 有 漏 洞 的   B C M 4 3 5 5 C 0   版 本 固 件 ， 最 好 的 办 法 还 是 将   i P h o n e   更 新 到 没 有 漏 洞 的   i O S   1 1   版 本 。 在 最 新 的   t v O S   版 本 中 ， 苹 果 也 修 复 了 这 个 漏 洞 。 此 外 ， 本 月 初   G o o g l e   也 在   A n d r o i d   安 全 公 告   2 0 1 7 - 0 9 - 0 5   中 修 复   N e x u s 、 P i x e l   设 备 以 及   A n d r o i d   设 备 上 解 决 了 这 个 问 题 ， 不 过 安 卓 用 户 需 要 耐 心 等 待 手 机 厂 商 更 新 。
P O C   重 点 及 档 案 下 载 重 点 及 档 案 下 载 6   月 份     B e n i a m i n i   就 已 经 发 现 并 提 交 了 这 个 漏 洞 ， 他 在   P r o j e c t   Z e r o   网 页 中 记 录 了 这 个 问 题 ： B r o a d c o m   固 件 中 有 一 个 典 型 的   R R M   N e i g h b o r   报 告 响 应 框 架 ： R R M   N e i g h b o r   报 告 响 应 框 架 在 固 件 版 本 为   9 . 4 4 . 7 8 . 2 7 . 0 . 1 . 5 6   的   B C M 4 3 5 5 C 0   S o C   上 ， R R M   相 邻 报 告 响 应 框 架 由   R A M   函 数   0 x 1 B 0 F E 8 （ 代 表 R O M   函 数   0 x A B B B C ） 处 理 。   此 函 数 主 要 可 以 验 证 对 话 令 牌 （ 这 是 一 个 单 字 节 字 段 ， 如 果 攻 击 者 提 前 不 知 道 也 可 以 轻 易 暴 力 破 解 ） 。   然 后 ， 该 函 数 将   N e i g h b o r   报 告 响 应 框 架 的 内 容 复 制 到 堆 分 配 的 缓 冲 区 中 ， 随 后 调 用   0 x A C 0 A 8   的 内 部   R O M   功 能 ， 以 存 储 每 个 给 定 的 “ 操 作 类 ” （ 见 9 . 4 . 2 . 3 7 ） 的   N e i g h b o r   数 目 。 以 下 是 这 个 函 数 的 近 似 高 级 逻 辑 ： 如 上 所 述 ， 该 固 件 保 存 了 缓 冲 区 的 链 接 列 表 ， 每 个 “ 操 作 类 别 ” 都 有 一 个 列 表 。   每 个 缓 冲 区 长 为   4 5 6   字 节 ， 用 于 保 存 含 有 每 个 通 道   N e i g h b o r   数 目 的 数 组 。   输 入 条 目 的 结 构 如 下 ： 然 而 ， 由 于 “ 通 道 数 目 ” 字 段 未 被 验 证 ， 所 以 攻 击 者 可 以 任 意 地 提 供 较 大 的 值 。   当 最 大 允 许 通 道 数 目 为   0 x E 0   时 ， 通 过 提 供 较 大 的 值 （ 如   0 x F F ） ， 上 述 函 数 会 将   1 6   位   w o r d   增 加 到 超 出 堆 分 配 缓 冲 区 的 边 界 ， 从 而 执 行   O O B   写 入 操 作 。 请 注 意 ， 内 部 函 数   0 x A C 0 7 C   中 也 存 在 相 同 的 未 验 证 问 题 。 在 漏 洞 报 告 中 ， B e n i a m i n i   还 分 享 了 重 要 档 案 和 漏 洞 利 用 步 骤 ： 所 附 档 案 包 含 以 下 目 录 ： - h o s t a p d - 2 . 6   ： 在 e x p l o i t 中 使 用   的 h o s t a p d   的 修 改 版 本 。 此 版 本 的   h o s t a p d   为 配 置 可 以 支 持 8 0 2 . 1 1 k   R R M ， 尤 其 支 持   N e i g h b o r   报 告 。 而 且 ， 这 个 版 本 的   h o s t a p d   可 用 于 添 加 各 种 命 令 ， 同 时 可 实 现 整 个 漏 洞 利 用 过 程 中 使 用 的 动 作 框 架 的 注 入 和 接 收 ； i n t   f u n c t i o n _ A C 0 A 8 ( . . . ,   u i n t 8 _ t *   n r r e p _ b u f f e r ,   . . . )   {     . . .     / / F i n d   a n d   i n c r e m e n t   n e i g h b o r   i n   g i v e n   c h a n n e l   f o r   g i v e n   O P - C l a s s     i n t   r e s   =   f u n c t i o n _ A C 0 7 C ( . . . ,   n r r e p _ b u f f e r ,   . . . ) ;     / / I f   t h e r e ' s   n o   e n t r y   f o r   t h e   g i v e n   O P - C l a s s ,   c r e a t e   a n d   p o p u l a t e   i t     i f   ( ! r e s )   {         u i n t 8 _ t *   b u f f e r   =   m a l l o c ( 4 5 6 ) ;         i f   (   ! b u f f e r   )   {             . . .         }         e l s e   {             b u f f e r [ 4 ]   =   n r r e p _ b u f f e r [ 1 6 ] ;                             / / O p e r a t i o n a l   C l a s s             u i n t 8 _ t   c h a n n e l _ n u m b e r   =   n r r e p _ b u f f e r [ 1 7 ] ;   / / C h a n n e l   N u m b e r             u i n t 1 6 _ t *   c h a n _ n e i g h b o r _ c o u n t _ a r r   =   ( u i n t 1 6 _ t * ) ( b u f f e r   +   6 ) ;             c h a n _ n e i g h b o r _ c o u n t _ a r r [ c h a n n e l _ n u m b e r ] + + ;                         . . .         }     }     . . . }
- e x p l o i t ： 即   e x p l o i t   本 身 。 要 实 现 漏 洞 利 用 ， 必 须 执 行 以 下 步 骤 ： 将   S o f t M A C   无 线   d o n g l e   连 接 到 计 算 机 并 启 用 （ 如 T L - W N 7 2 2 N ） 编 译 提 供 的   h o s t a p d   版 本 修 改 “ h o s t a p d - 2 . 6   /   h o s t a p d   /   h o s t a p d . c o n f ” 下 的 “ 界 面 ” 设 置 ， 与 你 的 界 面 名 称 相 匹 配 ； 在 “ e x p l o i t   /   c o n f . p y ” 下 方 设 置 以 下 设 置 ： - H O S T A P D _ D I R   ： 上 述 编 译 的   h o s t a p d   二 进 制 目 录 - T A R G E T _ M A C   ： 被 入 侵 设 备 的   M A C   地 址 - A P _ M A C   ： 你 的 无 线   d o n g l e   的   M A C   地 址 - I N T E R F A C E   -   你 的 无 线   d o n g l e   界 面 的 名 称 通 过 运 行 “ e x p l o i t   /   a s s e m b l e _ b a c k d o o r . s h ” 来 组 合 后 门   s h e l l c o d e 运 行   h o s t a p d   以 及 上 面 提 供 的 配 置 文 件 ， 广 播   W i - F i   网 络 （ “ t e s t 8 0 2 1 1 k ” ） 将 目 标 设 备 连 接 到 网 络 运 行 “ e x p l o i t   /   a t t a c k . p y ” 按 照 上 述 步 骤 ， 可 以 安 装 简 易 后 门 ， 对 固 件 进 行 读 / 写 。 还 可 以 与 后 门 进 行 交 互 ， 通 过 分 别 调 用   “ r e a d _ d w o r d ”   和 “ w r i t e _ d w o r d ”   功 能 来 获 得 对 固 件 的 R   /   W 访 问 。 感 兴 趣 的 读 者 可 以 点 击 阅 读 原 文 查 看 感 兴 趣 的 读 者 可 以 点 击 阅 读 原 文 查 看   G a l   B e n i a m i n i   发 布 的 原 文 并 下 载 相 关 文 档 。 发 布 的 原 文 并 下 载 相 关 文 档 。 * 参 考 来 源 ： 参 考 来 源 ： T h e H a c k N e w s ， ， G o o g l e   P r o j e c t   Z e r o ， ， A n g e l a Y   编 译 ， 转 载 请 注 来 自 编 译 ， 转 载 请 注 来 自   F r e e B u f . C O M 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理