搜索

[10425] 2016-08-24_细数iOS上的那些安全防护

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2016-08-24_细数iOS上的那些安全防护 细 数 i O S 上 的 那 些 安 全 防 护 F r e e B u f   2 0 1 6 - 0 8 - 2 4 以 下 文 章 来 源 于 阿 里 聚 安 全   ， 作 者 龙 磊 、 黑 雪 、 蒸 米 0 x 0 0   序 序 随 着 苹 果 对 i O S 系 统 多 年 的 研 发 ， i O S 上 的 安 全 防 护 机 制 也 是 越 来 越 多 ， 越 来 越 复 杂 。 这 对 于 刚 接 触 i O S 安 全 的 研 究 人 员 来 说 非 常 不 友 好 ， 往 往 不 知 从 何 入 手 。 因 此 ， 为 了 让 大 家 能 够 更 加 系 统 性 的 了 解 i O S 上 的 安 全 机 制 ， 我 们 从 三 个 方 面 着 眼 ： 代 码 签 名 代 码 签 名 ( C o d e S i g n ) 、 沙 盒 机 制 、 沙 盒 机 制 ( S a n d B o x )   和 利 用 缓 解 和 利 用 缓 解 ( E x p l o i t   M i t i g a t i o n ) ， 对 i O S 的 系 统 安 全 机 制 做 了 一 个 总 结 。 希 望 能 够 给 大 家 的 学 习 以 及 研 究 带 来 一 定 的 帮 助 。 注 意 ， 以 下 内 容 是 以 最 新 版 的 注 意 ， 以 下 内 容 是 以 最 新 版 的 i O S   9 . 3 . 4 做 为 标 准 进 行 讲 解 。 做 为 标 准 进 行 讲 解 。 0 x 0 1   代 码 签 名 代 码 签 名 ( C o d e S i g n ) 为 了 保 护 开 发 者 的 版 权 以 及 防 止 盗 版 应 用 ， 苹 果 系 统 拥 有 非 常 严 格 的 签 名 保 护 机 制 。 想 要 开 发 i O S 程 序 ， 必 须 先 注 册 开 发 者 账 号 ， 并 向 苹 果 申 请 相 关 的 证 书 ， 否 则 程 序 只 能 在 模 拟 器 上 运 行 ， 无 法 在 真 机 上 调 试 ， 也 无 法 上 架 A p p   S t o r e 。 除 了 传 统 的 签 名 机 制 以 外 ， 苹 果 还 额 外 增 加 了 T e a m   I D 的 安 全 防 护 措 施 ， 用 来 增 强 i O S 系 统 的 安 全 性 。 ■ ( 1 ) .   传 统 签 名 机 制 传 统 签 名 机 制   -   数 字 证 书 数 字 证 书 传 统 的 签 名 机 制 即 i O S 系 统 中 使 用 的 数 字 证 书 机 制 。 数 字 证 书 是 一 种 对 数 字 内 容 进 行 校 验 的 方 法 ， 它 首 先 对 内 容 使 用 摘 要 算 法 （ 例 如 M D 5 ， S H A 1 ） 生 成 一 段 固 定 长 度 的 h a s h 值 ( 可 以 理 解 为 原 内 容 的 摘 要 ) ， 然 后 利 用 私 钥 对 这 个 摘 要 进 行 加 密 ， 得 到 原 内 容 的 数 字 签 名 。 接 受 方 一 并 接 收 到 原 内 容 和 数 字 签 名 ， 首 先 用 相 同 的 摘 要 算 法 生 成 原 内 容 的 摘 要 ， 同 时 用 公 钥 解 密 数 字 签 名 ， 得 到 摘 要 2 ， 然 后 比 较 摘 要 1 和 摘 要 2 ， 若 相 同 ， 则 验 证 原 内 容 有 效 。 阿 里 聚 安 全 阿 里 聚 安 全   . 阿 里 聚 安 全 是 一 个 移 动 安 全 开 放 平 台 ， 凝 聚 阿 里 巴 巴 多 年 来 在 无 线 业 务 安 全 防 御 的 成 功 经 验 和 技 术 成 果 ， 并 面 向 开 发 者 和 企 业 提 供 恶 意 代 码 检 测 、 漏 洞 扫 描 、 仿 冒 应 用 检 测 、 应 用 加 固 、 安 全 组 件 等 服 务 ， 一 站 式 解 决 应 用 的 安 全 问 题 。
我 们 从 苹 果 M C （ M e m b e r   C e n t e r ） 中 获 得 的 数 字 证 书 就 是 被 苹 果 C A 签 过 名 的 合 法 的 证 书 。 而 i O S 设 备 在 执 行 a p p 前 ， 首 先 要 先 验 证 C A 的 签 名 是 否 合 法 ， 然 后 再 通 过 证 书 中 我 们 的 公 钥 来 验 证 a p p 是 否 的 确 是 开 发 者 发 布 的 ， 且 中 途 没 有 对 程 序 进 行 过 篡 改 。 理 论 上 想 要 破 解 或 者 绕 过 这 个 签 名 机 制 ， 需 要 能 够 获 取 到 苹 果 的 私 钥 ， 或 者 能 够 找 到 签 名 校 验 过 程 中 的 漏 洞 。 ■ ( 2 ) .   签 名 校 验 的 实 现 签 名 校 验 的 实 现 i O S 在 运 行 代 码 前 ， 都 会 对 即 将 运 行 的 代 码 进 行 签 名 校 验 。 签 名 的 校 验 机 制 是 运 行 在 内 核 里 的 。 因 此 想 要 关 闭 这 个 校 验 的 话 ， 需 要 对 系 统 进 行 越 狱 才 行 。 内 核 在 v m _ f a u l t _ e n t e r 中 规 定 了 绝 大 部 分 情 况 下 ， 具 有 执 行 位 的 页 需 要 进 行 签 名 有 效 性 检 查 ， 如 果 检 查 到 该 页 签 名 无 效 会 为 进 程 设 置 k i l l   f l a g 。 签 名 校 验 分 两 种 情 况 签 名 校 验 分 两 种 情 况 ； 如 果 b i n a r y 是 p l a t f o r m   b i n a r y ， 系 统 会 直 接 校 验 b i n a r y 的 哈 希 值 是 否 存 在 于 t r u s t c a c h e 中 。 如 果 b i n a r y 是 第 三 方 应 用 程 序 ， 会 先 在 内 核 在 检 查 执 行 页 对 应 h a s h 值 ， 而 页 h a s h 对 应 的 签 名 由 用 户 态 进 程 a m f i d 校 验 其 正 确 性 。 ■ ( 3 ) .   T e a m   I D T e a m   I D   最 早 在 i O S   8 中 被 提 出 ， 在 i O S   9 中 得 到 了 进 一 步 的 加 强 。 T e a m   I D 的 出 现 主 要 是 为 了 阻 止 攻 击 者 将 自 己 的 动 态 库 加 载 到 不 属 于 自 己 的 e x e c u t a b l e 中 ， 常 见 例 子 ： 常 见 例 子 ： 越 狱 过 程 中 将 动 态 库 加 载 到 系 统 进 程 ， 获 得 沙 箱 外 的 任 意 代 码 执 行 能 力 ； 恶 意 应 用 通 过 沙 箱 逃 逸 将 自 己 的 动 态 库 加 载 到 别 人 的 a p p 运 行 环 境 ， 盗 取 账 号 密 码 等 有 价 值 的 信 息 。 所 以 T e a m   I D 的 具 体 的 校 验 逻 辑 就 是 根 据 这 个 原 则 来 设 计 。 除 了 特 殊 情 况 ， 系 统 的 进 程 只 能 加 载 系 统 的 动 态 库 。 第 三 方 a p p 根 据 自 己 的 T e a m   I D 来 决 定 哪 些 具 有 相 同 T e a m   I D 的 d y l i b 能 被 加 载 。 0 x 0 2   沙 盒 机 制 沙 盒 机 制 ( S a n d B o x )
很 多 系 统 都 有 沙 盒 机 制 ， 但 是 像 i O S 这 么 复 杂 的 却 很 少 。 i O S 从 U I D / G I D   p e r m i s s i o n ， M A C 和 e n t i t l e m e n t 三 个 维 度 实 现 了 整 个 系 统 的 沙 盒 机 制 ： ■ ( 1 ) .   U I D / G I D   p e r m i s s i o n 一 般 情 况 下 ， i O S 会 将 进 程 的 权 限 分 为 r o o t 和 m o b i l e ， 一 些 特 殊 的 模 块 （ 比 如 基 带 ） 会 有 自 己 的 用 户 组 。 需 要 注 意 的 是 ， 所 有 第 三 方 的 a p p 都 是 运 行 在 m o b i l e 权 限 下 的 。 ■ ( 2 ) .   i O S   M a n d a t o r y   A c c e s s   C o n t r o l i O S 的 M A C 在 T r u s t e d B S D   M a c   F r a m e w o r k 基 础 上 实 现 ， 在 内 核 具 体 接 口 、 具 体 位 置 插 入 权 限 h o o k   c h e c k （ m a c _ * *   c a l l ） ， 在 发 生 调 用 时 检 查 当 前 进 程 是 否 满 足 调 用 的 M A C   p o l i c e 。 而 进 程 的 M A C   p o l i c e 主 要 是 通 过 s a n d b o x   p r o f i l e 。 S a n d b o x   p r o f i l e 是 苹 果 为 每 个 系 统 进 程 或 a p p 预 设 的 ， 例 如 ： 哪 些 文 件 可 读 可 写 ， 哪 些 不 能 ； 哪 些 s y s t e m   c a l l 可 以 调 用 ， 哪 些 不 能 等 等 。 对 于 系 统 进 程 ， 一 般 情 况 下 苹 果 会 为 不 同 的 系 统 进 程 配 备 不 同 的 s a n d b o x   p r o f i l e ， 既 满 足 业 务 需 求 ， 又 遵 循 权 限 最 小 化 原 则 。 对 于 第 三 方 a p p ， 则 是 统 一 配 备 名 为   C o n t a i n e r   的 s a n d b o x   p r o f i l e ， 这 个 p r o f i l e 里 面 的 内 容 限 制 可 达 数 千 条 。 限 制 非 常 严 格 ， 以 致 于 只 有 很 少 数 的 s y s c a l l 能 在 第 三 方 a p p 内 访 问 。 一 些 安 卓 中 非 常 普 通 的 调 用 ， 例 如 f o r k ， e x e c 等 创 建 子 进 程 的 系 统 调 用 ， 在 第 三 方 a p p 内 都 是 无 法 生 效 的 。 我 们 常 说 的 沙 盒 逃 逸 ， 其 实 目 的 就 是 跳 出 c o n t a i n e r 的 s a n d b o x   p r o f i l e 。 ■ ( 3 ) .   E n t i t l e m e n t E n t i t l e m e n t 的 出 现 主 要 是 为 了 上 面 两 个 维 度 都 无 法 解 决 的 权 限 检 查 问 题 。 假 设 有 这 样 的 场 景 ： 假 设 有 这 样 的 场 景 ： 进 程   A   是   s e r v i c e   、 进 程   B   是   c l i e n t ， 两 者 通 过 I P C 通 讯 。 进 程 A 提 供 的 服 务 接 口 分 别 有 ： a 1   ,   a 2   ， 其 中 只 希 望 接 口 a 1 能 被 B 访 问 。 因 为 检 查 发 生 在 用 户 态 ， 不 能 直 接 使 用 T r u s t e d B S D   M a c   F r a m e w o r k ， 同 时 需 要 有 更 简 单 的 查 询 方 式 ， 这 样 就 需 要 在 a 2 接 口 的 代 码 中 加 入 权 限 校 验 。 基 于 e n t i t l e m e n t 的 校 验 框 架 就 是 在 这 个 需 求 背 景 下 被 提 出 来 的 。 业 务 进 程 只 需 要 关 注 e n t i t l e m e n t 的 内 容 ， 而 e n t i t l e m e n t 的 正 确 性 由 签 名 保 证 。 比 如 想 要 访 问 提 供 了 能 删 除 a p p 的 接 口 的 ” c o m . a p p l e . m o b i l e . i n s t a l l d ” 服 务 就 必 须 拥 有 对 应 的 ” c o m . a p p l e . p r i v a t e . m o b i l e i n s t a l l . a l l o w e d S P I ” e n t i t l e m e n t 才 行 。 而 l o c k d o w n d 这 个 s e r v i c e 是 用 于 和 i T u n e s 交 互 来 进 行 安 装 、 升 级 、 删 除 应 用 的 ， 所 以 这 个 服 务 为 了 能 与 i n s t a l l d 服 务 通 讯 ， 进 行 删 除 a p p 操 作 ， 就 需 要 拥 有 ” c o m . a p p l e . p r i v a t e . m o b i l e i n s t a l l . a l l o w e d S P I ”   这 个 e n t i t l e m e n t ：
0 x 0 3 利 用 缓 解 利 用 缓 解 ( E x p l o i t   M i t i g a t i o n ) 除 了 常 见 的 S t a c k   C a n a r i e s 、   A S L R 和 D E P 等 利 用 缓 解 技 术 之 外 ， i O S 还 有 很 多 高 级 的 或 者 独 有 的 利 用 缓 解 技 术 ： ■ ( 1 ) . 栈 金 丝 雀 保 护 栈 金 丝 雀 保 护   ( S t a c k   C a n a r i e s ) 栈 金 丝 雀 保 护 是 已 知 的 放 置 在 缓 冲 器 和 控 制 数 据 之 间 的 一 个 随 机 值 。 当 缓 冲 器 溢 出 时 ， 最 先 被 破 坏 通 常 是 金 丝 雀 值 。 因 此 当 金 丝 雀 的 数 据 的 验 证 失 败 的 时 候 ， 就 表 示 出 现 了 缓 冲 区 溢 出 ， 从 而 触 发 保 护 机 制 ， 并 使 程 序 停 止 运 行 。 ■ ( 2 ) . 地 址 随 机 化 地 址 随 机 化   ( A S L R / K A S L R ) 为 了 增 加 攻 击 者 预 测 目 的 地 址 的 难 度 ， 防 止 攻 击 者 直 接 定 位 攻 击 代 码 位 置 ， 用 户 态 进 程 在 每 次 启 动 时 的 执 行 文 件 基 址 都 是 随 机 生 成 的 。 并 且 ， 在 每 次 手 机 重 启 后 ， 内 核 k e r n e l   m a c h - o 的 基 址 也 是 随 机 的 。 ■ ( 3 ) . 数 据 执 行 保 护 数 据 执 行 保 护   ( D E P ) D E P 是 为 了 防 止 数 据 页 执 行 代 码 。 通 常 情 况 下 ， 默 认 不 从 堆 和 栈 执 行 代 码 。 D E P 会 检 测 从 这 些 位 置 运 行 的 代 码 ， 并 在 发 现 执 行 情 况 时 引 发 异 常 。 在 m p r o t e c t 对 应 的 内 核 实 现 中 ， 不 允 许 p a g e 被 同 时 赋 予 执 行 和 写 这 两 种 权 限 。 当 p a g e 的 权 限 发 生 变 化 或 一 个 新 的 p a g e m m a p 到 内 存 中 的 时 候 ， v m _ f a u l t _ e n t e r 会 检 查 这 个 页 是 否 有 执 行 位 ， 如 果 有 执 行 位 ， 会 对 这 个 页 做 签 名 检 查 。 ■ ( 4 ) .   堆 释 放 元 素 保 护 堆 释 放 元 素 保 护   ( H e a p   F r e e   E l e m e n t   P r o t e c t i o n ) 在 i O S 中 ， 如 果 修 改 一 个 z o n e 中 已 释 放 的 f r e e   e l e m e n t ， 当 内 存 管 理 器 再 次 分 配 内 存 到 这 个 f r e e   e l e m e n t 的 时 候 会 发 生 随 机 p a n i c 。 具 体 的 逻 辑 是 ， 当 e l e m e n t 被 释 放 后 ， 内 核 会 根 据 重 启 时 创 建 的 t o k e n 生 成 一 些 内 容 填 充 在 e l e m e n t 中 。 这 样 一 方 面 用 户 态 无 法 得 知 填 充 的 内 容 是 什 么 ， 另 一 方 面 内 核 在 分 配 内 存 的 时 候 可 以 根 据 t o k e n 知 道 这 个 e l e m e n t 有 没 有 被 修 改 ， 如 果 被 修 改 就 产 生 p a n i c 。 ■ ( 5 ) . 堆 元 素 地 址 随 机 化 堆 元 素 地 址 随 机 化   ( R a n d o m   H e a p   E l e m e n t   A d d r e s s ) i O S 系 统 在 释 放 内 存 块 的 过 程 中 ， 会 对 内 存 释 放 后 在 f r e e 队 列 中 的 顺 序 进 行 随 机 化 处 理 ， 这 个 安 全 措 施 主 要 是 使 用 攻 击 者 无 法 根 据 堆 喷 接 口 调 用 的 时 序 来 预 测 对 应 元 素 在 内 核 的 布 局 。
■ ( 6 ) . 内 核 补 丁 保 护 内 核 补 丁 保 护   ( K e r n e l   P a t c h   P r o t e c t i o n ) A R M v 8 - A 架 构 定 义 了 四 个 例 外 层 级 ， 分 别 为 E L 0 到 E L 3 ， 其 中 数 字 越 大 代 表 特 权 ( p r i v i l e g e ) 越 大 : E L 0 :   无 特 权 模 式 ( u n p r i v i l e g e d ) E L 1 :   操 作 系 统 内 核 模 式 ( O S   k e r n e l   m o d e ) E L 2 :   虚 拟 机 监 视 器 模 式 ( H y p e r v i s o r   m o d e ) E L 3 :   T r u s t Z o n e   m o n i t o r   m o d e K P P 就 是 运 行 在 A p p l i c a t i o n   P r o c e s s   的   E L 3 中 ， 目 的 是 用 来 保 证 ： 只 读 的 页 不 可 修 改 、 p a g e   t a b l e   不 可 修 改 、 执 行 页 不 可 修 改 。 0 x 0 4   总 结 总 结 虽 然 i O S 有 众 多 的 安 全 机 制 和 缓 解 措 施 ， 但 这 并 不 代 表 i O S 系 统 牢 不 可 破 。 有 时 候 一 些 不 起 眼 的 小 错 误 就 可 能 导 致 蝴 蝶 效 应 ， 最 终 造 成 整 个 安 全 系 统 的 崩 盘 。 通 过 对 最 新 的 i O S   9 . 3 . 4 研 究 ， 我 们 团 队 依 然 找 到 了 i O S 系 统 上 的 一 些 安 全 问 题 ， 甚 至 可 以 导 致 整 个 系 统 被 控 制 。 如 下 视 频 就 演 示 了 在 最 新 的 如 下 视 频 就 演 示 了 在 最 新 的 i O S   9 . 3 . 4 上 获 取 系 统 最 高 权 限 并 安 装 上 获 取 系 统 最 高 权 限 并 安 装 c y d i a 的 过 程 ： 的 过 程 ：
视 频 地 址 ： 视 频 地 址 ： h t t p : / / v . y o u k u . c o m / v _ s h o w / i d _ X M T Y 5 N j Q x M D c 0 O A = = . h t m l
更 多 技 术 交 流 和 进 展 ， 欢 迎 大 家 继 续 关 注 阿 里 移 动 安 全 。 0 x 0 5   参 考 资 料 参 考 资 料 1 .   H a c k i n g   f r o m   i O S   8   t o   i O S   9 ,   P O C   2 0 1 5 .
2 .   A R M v 8   w i k i 3 .   T o   S i g n   a n d   P r o t e c t   –   C O P S   i n   O S   X   a n d   i O S ,   R S A   2 0 1 5 4 .   漫 谈 i O S 程 序 的 证 书 和 签 名 机 制 ▼ 一 站 式 解 决 企 业 应 用 安 全 问 题 一 站 式 解 决 企 业 应 用 安 全 问 题 移 动 安 全   |   数 据 风 控   |   内 容 安 全   |   实 人 认 证 更 多 安 全 类 技 术 文 章 ， 请 点 击 下 方 更 多 安 全 类 技 术 文 章 ， 请 点 击 下 方 “ 阅 读 原 文 阅 读 原 文 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理