搜索

[9862] 2016-03-01_OSXSIP机制的“那些事”

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2016-03-01_OSXSIP机制的“那些事” O S X   S I P 机 制 的 “ 那 些 事 ” 熊 猫 正 正   F r e e B u f   2 0 1 6 - 0 3 - 0 1 * 原 创 作 者 ： 熊 猫 正 正 一 、 前 言 一 、 前 言 O S X 是 苹 果 公 司 为 是 苹 果 公 司 为 M a c 系 列 产 品 开 发 的 专 属 操 作 系 统 ， 是 第 一 个 基 于 系 列 产 品 开 发 的 专 属 操 作 系 统 ， 是 第 一 个 基 于 F r e e B S D 系 统 采 用 面 向 对 象 操 作 系 统 。 系 统 采 用 面 向 对 象 操 作 系 统 。 从 O S X   V 1 0 . 0 - V 1 0 . 8 版 本 开 始 ， O S X 系 统 的 代 号 都 是 以 大 型 猫 科 动 物 为 代 号 ， 可 能 老 乔 也 是 猫 科 动 物 的 爱 好 者 吧 （ 我 也 是 猫 科 动 物 的 忠 实 爱 好 者 ， 哈 哈 ） ， O S X 系 统 的 演 化 如 下 ： 2 0 0 1 M a c   O S X   1 0 . 0   C h e e t a     猎 豹 2 0 0 1 M a c   O S X   1 0 . 1   P u m a         美 洲 狮 2 0 0 2 M a c   O S X   1 0 . 2   J a g u a r     美 州 豹 2 0 0 2 M a c   O S X   1 0 . 3   P a n t h e r   黑 豹 2 0 0 5 M a c   O S X   1 0 . 4   T i g e r       虎 2 0 0 6 M a c   O S X   1 0 . 5   L e o p a r d   豹 2 0 0 9 M a c   O S X   1 0 . 6   S n o w   L e o p a r d   雪 豹 2 0 1 0 M a c   O S X   1 0 . 7   L i o n         狮 2 0 1 2 M a c   O S X   1 0 . 8   M o u n t a i n   L i o n   美 洲 狮 2 0 1 3 M a c   O S X   1 0 . 9   M a v e r i c k s   （ 美 国 加 州 景 点 名 ） 2 0 1 4 M a c   O S X   1 0 . 1 0   Y o s e m i t e   优 胜 美 地 （ 推 出 了 全 新 的 扁 平 化 界 面 ） 2 0 1 5 M a c   O S X   1 0 . 1 1   E I   C a p i t a n     国 家 级 公 园 里 一 块 花 岗 岩 名 字 从 上 面 可 以 看 出 苹 果 为 操 作 系 统 取 的 名 字 还 是 挺 有 趣 的 ， 我 从 M a v e r i c k s 系 统 开 始 ， 一 直 使 用 苹 果 系 统 ， 到 现 在 也 有 三 年 多 的 使 用 经 验 了 ， 个 人 感 觉 苹 果 系 统 还 是 蛮 方 便 的 ， 这 次 W W D C   2 0 1 5 苹 果 给 带 来 的 O S X   E I   C a p i t a n 系 统 ， 一 出 来 ， 我 就 立 马 更 新 了 自 己 的 M B P 这 次 改 变 也 还 蛮 大 的 ， 对 整 个 系 统 性 能 都 做 了 提 升 ， 下 面 我 从 一 个 安 全 人 员 的 角 度 出 发 ， 去 分 析 一 下 ， O S X   E I   C a p i t a n 里 一 个 非 常 重 要 的 安 全 特 性 : S I P ( S y s t e m I n t e g r i t y   P r o t e c t i o n ) 系 统 完 整 性 保 护 二 、 初 识 二 、 初 识 S I P 刚 升 级 完 系 统 之 后 ， 我 在 进 行 一 个 操 作 的 时 候 ， 遇 到 了 一 些 问 题 ， 主 要 就 是 提 示 系 统 权 限 不 足 ， 但 当 我 提 升 到 s u d o 以 后 ， 还 是 提 示 ： O p e r a t i o n   n o t   p e r m i t t e d ， 当 时 我 就 挺 郁 闷 ， 啥 情 况 ， 我 s u d o 失 败 了 ？ 后 面 g o o g l e 了 一 下 ， 才 发 现 ， 原 来 O S X   E I C a p i t a n 中 增 加 了 一 个 S I P 功 能 ， 不 管 你 是 不 是 s u ， 都 会 阻 止 你 在 系 统 目 录 下 进 行 操 作 . . . . . . 当 时 唯 一 的 想 法 就 是 ， 这 个 东 西 能 关 不 ？ 怎 么 关 ？ 还 是 当 时 唯 一 的 想 法 就 是 ， 这 个 东 西 能 关 不 ？ 怎 么 关 ？ 还 是 G o o g l e . . . . . . 找 到 了 如 下 的 方 法 ： 找 到 了 如 下 的 方 法 ： ( 1 ) 重 启 O S X 系 统 ， 然 后 按 住 C o m m a n d + R ( 2 ) 出 现 界 面 之 后 ， 选 择 U t i l i t i e s   m e n u 中 T e r m i n a l ( 3 ) 在 T e r m i n a l 中 输 入 c s r u t i l   d i s a b l e 关 闭 S I P ( c s r u t i l   e n a b l e 打 开 S I P )
( 4 ) 重 启 r e b o o t   O S X 这 个 方 法 在 我 之 前 介 绍 《 O S X 内 核 调 试 技 术 分 享 》 这 篇 文 章 中 也 提 到 过 （ 链 接 ） ， 其 实 网 上 关 闭 S I P 也 都 是 这 个 ， 千 篇 一 律 吧 （ 网 上 的 文 章 一 大 抄 ， 呵 呵 ） ， 如 果 大 家 对 O S X 安 全 不 感 兴 趣 ， 只 想 解 结 这 个 问 题 ， 那 到 这 里 就 可 以 了 ， 但 作 为 一 个 安 全 研 究 员 ， 对 各 种 安 全 系 统 研 究 是 我 们 的 兴 趣 和 职 责 所 在 ， 如 果 你 对 S I P 感 兴 趣 ， 可 以 继 续 望 下 看 ！ 三 、 三 、 S I P 工 作 原 理 工 作 原 理 S I P 全 名 S y s t e m   I n t e g r i t y   P r o t e c t i o n （ 系 统 完 整 性 保 护 ） ， 它 是 为 了 保 护 系 统 进 程 ， 文 件 ， 文 档 不 被 其 它 进 程 修 改 ， 不 管 是 否 为 r o o t   u s e r ， S I P 技 术 主 要 分 为 文 件 系 统 保 护 ， 运 行 时 保 护 ， 内 核 扩 展 签 名 , 文 件 系 统 保 护 主 要 是 通 过 沙 盒 机 制 限 制 r o o t 权 限 ， 运 行 时 保 护 ， 主 要 就 是 保 护 关 键 进 程 无 法 被 进 程 代 码 注 入 ， 挂 调 试 器 以 及 内 核 调 试 等 ， 内 核 扩 展 签 名 ， 所 有 的 第 三 方 k e x t 必 须 被 安 装 到 / L i b r a r y / E x t e n s i o n s ， 并 强 制 使 用 签 名 。 A p p l e 提 供 的 官 方 文 档 中 ， 我 们 可 以 找 到 O S X   S I P 的 工 作 原 理 （ 下 载 地 址 ） 。 文 档 中 说 明 了 苹 果 的 新 O S X 系 统 ， 采 用 了 如 下 的 O S X   S e c u r i t y   M o d e l ： 这 种 安 全 模 式 削 减 了 之 前 r o o t 权 限 ， 同 时 通 过 沙 箱 默 认 保 护 系 统 ， 提 供 不 能 被 根 自 动 入 侵 的 配 置 机 制 ， 我 们 可 以 通 过 命 令 行 工 具 ， 查 看 被 保 护 的 目 录 ， 如 图 ： 从 图 中 可 以 看 出 标 志 有 r e s t r i c t e d 的 为 系 统 限 制 目 录 ， 这 些 目 录 是 在 系 统 启 动 的 时 候 ， 通 过 O S X 新 的 安 全 模 型 被 定 义 的 ， 之 后 不 管 用 户 是 否 使 用 r o o t 权 限 都 无 法 对 这 些 目 录 进 行 操 作 ， 查 看 目 录 中 的 文 件 信 息 ， 也 可 以 看 到 文 件 同 样 被 标 记 为 r e s t r i c t e d ， 如 下 图 ： S I P 同 时 也 保 护 驱 动 程 序 ， 我 们 之 前 使 用 第 三 方 驱 动 的 时 候 ， 可 以 通 过 k e x t - d e v - m o d e = 1 来 加 载 第 三 方 驱 动 程 序 ， S I P 强 制 要 求 我 们 把 第 三 方 驱 动 程 序 放 到 / L i b r a r y / E x t e n s i o n s 目 录 下 ， 并 且 停 用 了 k e x t - d e v - m o d e b o o t - a r g 这 个 启 动 项 。 我 们 可 以 查 看 这 个 目 录 下 的 k e x t ， 发 现 没 有 r e s t r i c t e d ， 但 是 系 统 目 录 下 的 k e x t 是 被 r e s t r i c t e d 的 ， 具 体 有 哪 些 目 录 和 文 件 或 驱 动 被 保 护 ， 从 / S y s t e m / L i b r a r y / S a n d b o x 目 录 中 ， 我 们 可 以 看 到 r o o t l e s s . c o n f ， 这 是 r o o t l e s s 的 配 置 文 件 ， 主 要 用 于 说 明 哪 些 目 录 ， 程 序 ， 以 及 符 号 链 接 被 保 护 ， 如 下 图 所 示 ：
这 个 文 件 说 明 了 O S X 系 统 中 被 S I P 保 护 的 整 体 配 置 信 息 ， 其 实 S I P 机 制 就 是 苹 果 通 过 分 层 的 安 全 机 制 ， 在 底 层 设 置 一 个 r o o t l e s s 配 置 文 件 ， 然 后 在 系 统 中 ， 对 配 置 文 件 中 的 信 息 增 加 一 个 限 制 标 志 项 ， 这 种 标 志 信 息 不 可 复 制 ， 系 统 默 认 配 置 的 ， 存 在 这 个 标 志 的 信 息 ， 苹 果 统 一 通 过 底 层 沙 箱 进 行 保 护 ， 不 用 去 额 外 权 限 大 小 ， 这 样 也 削 减 了 r o o t 在 O S X 中 的 权 限 大 小 四 、 四 、 S I P 破 解 原 理 分 析 破 解 原 理 分 析 俗 话 说 的 好 ： 有 防 必 有 攻 ， 总 有 方 法 可 以 破 解 S I P ， 要 研 究 破 解 S I P 的 原 理 ， 我 们 要 从 哪 里 入 手 呢 ？ 就 从 国 外 网 站 上 提 供 的 这 个 方 法 入 手 吧 ， 如 何 ？ 上 面 讲 到 要 关 闭 O S X ， 必 须 要 在 R e c o v e r y   O S 模 式 下 进 行 这 个 命 令 操 作 （ 是 不 是 就 是 W i n d o w s 的 安 全 模 式 ) ， 为 什 么 要 这 样 呢 ？ 这 里 我 们 先 不 到 R e c o v e r y   O S 模 式 下 操 作 这 个 工 具 ， 如 下 所 示 ：
工 具 的 帮 助 里 写 的 很 清 楚 了 ， O n l y   a v a i l a b l e   i n R e c o v e r y   O S ， 如 果 我 们 直 接 运 行 ， 会 得 到 如 下 结 果 ： 通 过 上 面 的 帮 助 ， 我 们 可 以 通 过 这 个 工 具 ， 查 看 当 前 S I P 的 状 态 ， 如 图 所 示 ： 我 们 现 在 要 分 析 c s r u t i l 程 序 ， 很 简 单 ， 从 / u s r / b i n 中 拷 贝 c s r u t i l 到 i d a 中 ， 程 序 比 较 小 ， 从 下 图 中 我 们 可 以 看 出 c s r u t i l 主 要 是 设 置 I O D e v i c e T r e e : / o p t i o n s 项 里 的 内 容 ， 我 们 主 要 看 两 个 函 数 ， 一 个 是 C l e a r   S I P 的 函 数 ， 如 下 ： 还 有 一 个 就 是 设 置 S I P 的 函 数 ， 可 以 e n a b l e / d i s a b l e   S I P ， 主 要 是 通 过 传 入 不 同 的 参 数 进 行 设 置 ， 如 下 所 示 ：
从 上 面 可 以 看 出 ， c s r u t i l 主 要 通 过 设 置 I O D e v i c e T r e e : / o p t i o n s 里 的 值 来 修 改 s i p 的 设 置 ， 使 用 工 具 i o r e g 来 查 看 I O D e v i c e T r e e : / o p t i o n s 里 面 到 底 有 哪 些 值 ， 命 令 行 : i o r e g   - l   - p   I O D e v i c e T r e e , 在 没 有 关 闭 S I P 的 情 况 下 ， 得 到 如 下 所 示 ： 其 实 可 以 看 出 ， 它 和 我 们 用 n v r a m 得 到 的 系 统 启 动 项 是 一 样 的 ， 大 家 可 以 自 己 试 下 ， 命 令 行 ： n v r a m   - x p ， 它 主 要 是 得 到 系 统 的 启 动 项 值 ， 各 个 启 动 项 值 ， 大 家 可 以 自 行 查 资 料 进 行 参 考 我 们 从 反 编 译 c s r u t i l 程 序 中 可 以 发 现 ， 它 是 通 过 设 置 c s r - d a t a 或 c s r - a c t i v e - c o n f i g 这 两 项 来 打 开 / 关 闭 S I P 的 ， 我 们 关 闭 了 S I P , 然 后 再 R e c o v e r y   O S 的 模 式 下 ， 使 用 工 具 i o s r e g , 来 得 到 的 I O D e v i c e T r e e : / o p t i o n s 的 值 ， 如 下 截 图 ： 里 面 的 c s r - a c t i v e - c o n f i g 的 值 被 设 置 为 < 7 7 0 0 0 0 0 0 > ， 这 样 我 们 就 关 闭 了 S I P ， 但 是 为 什 么 我 们 在 I O D e v i c e T r e e : / o p t i o n s 里 设 置 c s r - a c t i v e - c o n f i g 的 值 之 后 ， 我 们 就 关 闭 了 S I P 呢 ？ 其 实 我 们 能 过 I O D e v i c e T r e e : / o p t i o n s 的 值 可 以 看 出 这 里 就 是 操 作 系 统 的 启 动 选 项 ， 当 操 作 系 统 启 动 选 项 中 存 在 c s r - a c t i v e - c o n f i g 的 值 的 时 候 ， 我 们 就 关 闭 了 S I P ， 好 在 我 们 的 O S X 是 开 源 的 项 目 ， 我 们 不 用 通 过 反 编 译 O S X   K e r n e l 来 找 答 案 ， 从 a p p l e 的 网 站 下 载 O S X 系 统 源 码 ， 然 后 找 c s r 相 关 的 源 代 码 ， 很 快 我 们 可 以 找 到 ， 如 下 两 个 代 码 ， 查 看 k e r n _ c s r . c 的 源 代 码 ， 我 们 找 到 如 下 函 数 ： 在 系 统 启 动 的 时 候 ， 有 一 个 S y s c a l l 的 过 程 （ 可 以 参 考 ， 这 里 有 一 个 c s r c t l 函 数 ， 就 是 S y s c a l l 的 入 口 函 数 ， 函 数 代 码 如 下 ： c s r . h ( x n u / b s d / s y s / c s r . h ) , c s r . c ( x n u / b s d / k e r n / k e r n _ c s r . c )
里 面 有 一 个 s y s c a l l _ c s r _ c h e c k 函 数 和 s y s c a l l _ c s r _ g e t _ a c t i v e _ c o n f i g ， 其 实 就 是 检 测 系 统 启 动 项 ， 当 系 统 启 动 项 中 存 在 c s r - a c t i v e - c o n f i g 或 c s r - d a t a 时 候 ， 查 看 如 下 函 数 ： 当 m a s k 为 零 的 时 候 r o o t l e s s   e n f o r c e m e n t 就 是 被 启 动 了 ， 当 系 统 启 动 项 中 存 在 c s r - a c t i v e - c o n f i g 时 ， r o o t l e s s 就 是 被 关 闭 的 ， 将 会 返 回 E P E R M 上 面 为 什 么 要 把 值 设 为 < 7 7 0 0 0 0 0 0 > ， 我 们 可 以 从 c s r . h 的 头 文 件 中 找 到 答 案 ， 如 下 图 所 示 ： 当 B o o t A r g s   F l a g 为 ” k B o o t A r g s F l a g C S R B o o t ” 时 ， 系 统 为 R e c o v e r y O S 模 式 ， 然 后 通 过 设 置 R o o t l e s s   C o n f i g u r a t i o n   f l a g s 来 达 到 关 闭 S I P 相 关 保 护 的 目 的 ， 当 值 为 0 x 7 7 （ 1 1 1 0 1 1 1 ） 的 时 候 ， 整 个 r o o t l e s s 将 关 闭 各 种 文 件 保 护 ， 以 及 运 行 时 保 护 等 。 这 样 基 本 上 我 们 就 把 上 面 是 如 何 关 闭 S I P 的 原 理 搞 清 楚 了 ， 前 几 天 我 在 G i t h u b 上 正 好 也 看 到 了 一 位 国 外 牛 人 ， 写 了 个 关 于 S I P e x p l o i t （ 源 代 码 链 接 ） ， 我 们 这 里 也 来 分 析 一 下 这 个 e x p l o i t 的 原 理 ， 先 g i t c l o n e 代 码 ， 然 后 我 们 查 看 里 面 的 代 码 ， 代 码 也 写 的 很 简 单 ， 我 大 致 分 析 一 下 ， 从 m a i n 函 数 开 始 看 起 ， 前 面 通 过 不 同 的 参 数 返 回 不 同 的 s t a t u s ， 然 后 再 m a p   o s x   k e r n e l 文 件 ( / S y s t e m / L i b r a r y / K e r n e l s / k e r n e l ) ， 如 下 所 示 ：
然 后 通 过 O S K e x t C o p y L o a d e d K e x t I n f o 函 数 得 到 内 核 空 间 的 地 址 ， 如 图 所 示 ： 再 通 过 R O P 技 术 ， 调 用 k e r n e l 中 的 c s r _ s e t _ a l l o w _ a l l 的 函 数 ， 并 通 过 得 到 的 不 同 的 s t a t u s 值 ， 传 入 不 同 的 参 数 ， 实 现 打 开 / 关 闭 S I P 的 目 的 ， 代 码 如 下 ： （ 对 于 R O P 技 术 不 熟 的 朋 友 ， 可 以 参 考 ， 阿 里 少 年 博 士 写 的 几 篇 R O P 文 章 ， 写 的 很 好 。 当 我 们 调 用 d i s a b l e 的 时 候 ， s t a t u s = 1 ， 然 后 通 过 R O P 调 用 c s r _ s e t _ a l l o w _ a l l 函 数 ， 就 可 以 关 闭 S I P ， I D A 反 编 译 k e r n e l 文 件 ， 然 后 查 找 c s r _ s e t _ a l l o w _ a l l 如 下 ：
这 样 就 可 以 关 闭 S I P 了 ， 为 什 么 呢 ？ 我 们 看 到 这 个 c s r _ s e t _ a l l o w _ a l l 函 数 是 不 是 很 熟 悉 ， 不 错 ， 就 是 我 们 之 前 在 k e r n _ c s r . c 中 看 到 的 函 数 ， 如 下 图 所 示 ： 当 我 们 调 用 c s r _ a l l o w _ a l l ， 并 通 过 传 入 参 数 s t a t u s = 1 的 时 候 ， c s r _ a l l o w _ a l l 的 值 等 于 1 , 再 往 上 看 ， 如 下 代 码 ： 当 c s r _ i n i t 初 始 化 的 时 候 ， 如 果 c s r _ a l l o w _ a l l = 1 ， 那 么 系 统 启 动 的 时 候 就 自 动 关 闭 了 S I P 了 ， 是 不 是 好 好 玩 ！ 五 、 总 结 五 、 总 结 这 样 关 于 O S X   E I C a p i t a n 系 统 中 S I P 里 的 一 些 东 西 ， 我 们 就 分 析 到 这 里 了 ， 里 面 其 实 可 能 还 有 很 多 可 以 挖 掘 的 地 方 ， 需 要 我 们 去 挖 掘 ， 说 不 定 可 以 找 出 更 多 的 e x p l o i t s 出 来 ， 关 于 O S X / I O S 系 统 的 安 全 问 题 ， 可 能 在 未 来 会 有 越 来 越 多 的 人 一 起 研 究 ！ 心 灵 鸡 汤 就 不 说 了 ， 最 后 说 一 句 自 己 一 直 喜 欢 的 一 句 话 ， 那 就 是 星 爷 说 的 ： 做 人 如 果 没 有 梦 想 ， 那 和 一 条 咸 鱼 有 什 么 区 别 ？ 不 管 你 是 否 有 钱 ， 地 位 是 否 高 ， 梦 想 是 每 个 人 都 应 该 有 的 ， 不 管 它 大 不 大 ， 我 们 都 在 坚 守 着 自 己 应 该 坚 守 的 东 西 ， 努 力 做 好 自 己 的 事 ！ 路 漫 漫 其 修 远 兮 路 漫 漫 其 修 远 兮   吾 将 上 下 而 求 索 ， 非 常 欢 迎 对 这 方 面 感 兴 趣 的 朋 友 跟 我 交 流 学 习 ！ 吾 将 上 下 而 求 索 ， 非 常 欢 迎 对 这 方 面 感 兴 趣 的 朋 友 跟 我 交 流 学 习 ！ * 本 文 作 者 ： 熊 猫 正 正 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理