माइक्रोस्कोप के तहत Evasi0n

हाल ही में, "जेल" आईओएस के लिए उपयोगिताओं का एक नया सेट। यह इसे अलग करने और यह देखने के लिए कि यह किस शोषण और पैठ तंत्र का उपयोग करता है। अब जेलिंग आईओएस इतना आसान हो गया है कि लोग भूल जाते हैं कि यह प्रक्रिया कितनी जटिल है। उपयोगकर्ता के अंतरिक्ष में निर्मित सुरक्षा तंत्र, जैसे सैंडबॉक्स, एएसएलआर (एड्रेस स्पेस लेआउट रैंडमाइजेशन) और डिजिटल हस्ताक्षरों का तंत्र "जेल" लिखने की प्रक्रिया को अविश्वसनीय रूप से कठिन बना देता है।

यह ध्यान देने योग्य है कि, जेलब्रेक के पिछले कारनामों के विपरीत, जिसका उपयोग असुरक्षित शिकार पर किया जा सकता है, "जेल" जिसके लिए एक यूएसबी कनेक्शन की आवश्यकता होती है, आमतौर पर कम सुरक्षा जोखिम होता है और आमतौर पर केवल डिवाइस के मालिक के लिए उपयोगी होता है। हमलावर उनमें कम रुचि रखते हैं, क्योंकि एक स्थापित पिन कोड वाला एक iPhone USB के माध्यम से संचार करने से इंकार कर देगा यदि यह बंद है, जब तक कि निश्चित रूप से, यह पहले उस कंप्यूटर के साथ सिंक्रनाइज़ किया गया था जहां यह जुड़ा हुआ है। इस प्रकार, यदि फोन चोरी हो गया था और उस पर एक पिन कोड स्थापित किया गया था, तो हमलावर इसे "जेल" करने में सक्षम नहीं होगा। केवल आपके कंप्यूटर पर चल रहे दुर्भावनापूर्ण कोड में कम से कम "जेल" को अंजाम देने की कुछ क्षमता हो सकती है।

उपयोगकर्ता स्थान में Evasi0n

यह लेख कस्टम घटक Evasi0n पर केंद्रित है। Evasi0n में प्रयुक्त तंत्र अद्वितीय है क्योंकि यह पूरी तरह से फ़ाइल सिस्टम के साथ बातचीत पर आधारित है, इसे रूट उपयोगकर्ता के लिए विशेषाधिकार बढ़ाने के लिए स्मृति में डेटा भ्रष्टाचार के लिए अधिक विशिष्ट दृष्टिकोण की आवश्यकता नहीं है। शायद Evasi0n को ठीक से नामित किया गया था क्योंकि यह उपयोगकर्ता के अंतरिक्ष के सभी संरक्षण से बचता है, बजाय उन पर हमला करने के।

Evasi0n नीचे वर्णित तीन चरणों में चल रही है। ये सभी मोबाइलबैकअप सेवा के माध्यम से उपलब्ध मानक आईओएस कार्यक्षमता पर आधारित हैं, जो डिवाइस पर डेटा की संग्रह प्रतियां बनाता है और यदि आवश्यक हो तो उसी प्रतियां को पुनर्स्थापित करता है। चूंकि आर्काइव की प्रतियां खुद एक आईओएस डिवाइस पर बनाई जाती हैं, लेकिन इसे दूसरे को बहाल करने में सक्षम होना चाहिए, इसलिए उन्हें क्रिप्टोग्राफिक रूप से सुरक्षित करना मुश्किल है, अर्थात। प्रतियों में डेटा वास्तव में विश्वसनीय नहीं है।

MediaDomain प्रत्येक फ़ाइल की पहचान करने के लिए डोमेन के भीतर MediaDomain और एक रिश्तेदार पथ जैसे डोमेन का उपयोग करता है। प्रत्येक डोमेन स्थायी रूप से एक विशिष्ट निर्देशिका के लिए तय किया जाता है, और इस निर्देशिका के लिए पथ का एक संयोजन और फ़ाइल के सापेक्ष पथ पूर्ण पथ देता है। Evasi0n MediaDomain डोमेन में सभी कार्यशील फ़ाइलें बनाता है, इसलिए सभी फ़ाइलों में /var/mobile/Media का कार्य उपसर्ग होता है।

स्टेज 1

पहले चरण के दौरान, Evasi0n निम्नलिखित फ़ाइलों वाले डिवाइस को रिकवरी के लिए एक नया खाली बैकअप बनाता है:

 directory: Media/ directory: Media/Recordings/ symlink: Media/Recordings/.haxx -> /var/mobile directory: Media/Recordings/.haxx/DemoApp.app/ file: Media/Recordings/.haxx/DemoApp.app/Info.plist file: Media/Recordings/.haxx/DemoApp.app/DemoApp file: Media/Recordings/.haxx/DemoApp.app/Icon.png file: Media/Recordings/.haxx/DemoApp.app/Icon@2x.png file: Media/Recordings/.haxx/DemoApp.app/Icon-72.png file: Media/Recordings/.haxx/DemoApp.app/Icon-72@2x.png file: Media/Recordings/.haxx/Library/Caches/com.apple.mobile.installation.plist 

डोमेन से केवल फ़ाइलों के साथ काम करने पर प्रतिबंध को समाप्त करने के लिए .haxx से / var / mobile के लिए एक प्रतीकात्मक लिंक बनाया जाता है, अर्थात हालांकि मानक प्रतिबंध /var/mobile/Media बाहर फ़ाइलों की प्रतिलिपि बनाने की अनुमति नहीं देगा, लेकिन प्रतीकात्मक लिंक की मदद से फ़ाइलें वास्तव में /var/mobile में मिलती हैं। इस दृष्टिकोण का उपयोग पहले भी जेलों में किया जा चुका है।

अगला, एक नियमित iOS एप्लिकेशन, DemoApp.app , /var/mobile में बनाया गया है। यह एक सामान्य एप्लिकेशन है, जिसमें आइकन और अन्य फाइलें साथ हैं। com.apple.mobile.installation.plist फ़ाइल भी अपडेट की गई है, जहां स्प्रिंगबोर्ड एप्लिकेशन पाथ कैश को स्टोर करता है ताकि बाकी के बीच डेमोऐप आइकन दिखाई दे।

एक नियमित iOS एप्लिकेशन के विपरीत, यह मुख्य निष्पादन योग्य फ़ाइल कुछ हद तक असामान्य है और इसमें निम्नलिखित शामिल हैं:

 #!/bin/launchctl submit -l remount -o /var/mobile/Media/mount.stdout -e /var/mobile/Media/mount.stderr -- /sbin/mount -v -t hfs -o rw /dev/disk0s1s1 

वास्तव में, जब आप डेमोएप प्रोग्राम चलाते हैं, तो लॉन्चक्टल वास्तव में दिए गए तर्कों के साथ शुरू होता है।

इसके अलावा, DemoApp शुरू करने के लिए वातावरण com.apple.mobile.installation.plist में थोड़ा संशोधित किया गया है:

 <key>EnvironmentVariables</key> <dict> <key>LAUNCHD_SOCKET</key> <string>/private/var/tmp/launchd/sock</string> </dict> 

डिवाइस रिबूट करता है, स्प्रिंगबोर्ड कैश को फिर से पढ़ता है और आइकन प्रदर्शित करता है।

स्टेज 2.1

पिछली फाइलें यथावत रहती हैं, दूसरा चरण एक अन्य खाली संग्रह कॉपी बनाता है और डिवाइस में कई और फाइलों को पुनर्स्थापित करता है:

 directory: Media/ directory: Media/Recordings/ symlink: Media/Recordings/.haxx -> /var/db symlink: Media/Recordings/.haxx/timezone -> /var/tmp/launchd 

वास्तव में, यह केवल फ़ाइल /var/tmp/launchd एक प्रतीकात्मक लिंक /var/db/timezone है। /var/tmp/launchd पर विशिष्ट अनुमतियाँ हैं:

 drwx------ 2 root wheel 102 Feb 4 12:17 launchd 

ये अनुमतियाँ साधारण एप्लिकेशन ( मोबाइल उपयोगकर्ता द्वारा लॉन्च) को इस निर्देशिका की खोज करने से रोकती हैं।

अगला चरण, Evasi0n PairRequest साथ संचार करता lockdownd , गलत तरीके से बनाई गई PairRequest भेजकर। लॉकवॉन्ड मुख्य डेमॉन है जो यूएसबी के माध्यम से संचार करता है, इसका उपयोग अन्य सेवाओं को शुरू करने / रोकने के लिए भी किया जाता है, जैसे कि मोबाइलबैक और एएफसी (ऐप्पल फाइल कनेक्शन - एक सेवा जो आपको आईट्यून्स के साथ फाइल साझा करने की अनुमति देती है)। चूंकि lockdownd रूट विशेषाधिकारों के साथ काम करता है और उपयोगकर्ता इसके साथ संवाद कर सकता है, हाल की जेलों में इसकी क्षमताओं या कमजोरियों का दुरुपयोग लोकप्रिय हो गया है।

अब हम पहली भेद्यता पर आते हैं। अमान्य PairRequest पैकेट भेजने से PairRequest कारण /var/db/timezone की अनुमतियाँ बदलकर 777 हो जाती है, इस प्रकार सभी उपयोगकर्ताओं के लिए उपलब्ध /var/tmp/launchd हो जाता है। यह स्पष्ट नहीं है कि यह सीधे तौर पर lockdownd या इसका उपयोग करने वाले पुस्तकालयों में से कोई है।

स्टेज 2.2

Evasi0n /var/tmp/launchd में गहराई से प्रवेश करता है और एक्सेस अधिकारों को संशोधित करता है ताकि launchd सॉकेट नियमित उपयोगकर्ता के लिए सुलभ हो जाए। इस स्तर पर भी, टाइमज़ोन के प्रतीकात्मक लिंक को अद्यतन किया गया है:

 symlink: Media/Recordings/.haxx/timezone -> /var/tmp/launchd/sock 

Evasi0n तब PairRequest ट्रिक को दोहराता है, जिससे मोबाइल को /var/tmp/launchd/sock उपलब्ध होता है।

स्टेज 2.3

यह चरण डिवाइस पर Cydia और पैकेज संग्रह स्थापित करने के साथ शुरू होता है। उनका उपयोग अभी नहीं किया जाएगा, लेकिन "जेल" के बाद उपलब्ध होगा।

इसके अलावा, उपयोगकर्ता को जेलब्रेक एप्लिकेशन (वास्तव में, डेमोएप) लॉन्च करने का निर्देश दिया जाता है। मैं आपको फिर से याद दिलाता हूं कि यह क्या करता है:

 #!/bin/launchctl submit -l remount -o /var/mobile/Media/mount.stdout -e /var/mobile/Media/mount.stderr -- /sbin/mount -v -t hfs -o rw /dev/disk0s1s1 

स्थापित वातावरण के साथ

 LAUNCHD_SOCKET = /private/var/tmp/launchd/sock 

यदि आप launchctl लिए आदमी को देखते हैं launchctl तो आप यह पता लगा सकते हैं कि सबमिट कमांड निम्नानुसार वर्णित है:

  submit -l label [-p executable] [-o path] [-e path] -- command [args] A simple way of submitting a program to run without a configura- tion file. This mechanism also tells launchd to keep the program alive in the event of failure. -l label What unique label to assign this job to launchd. -p program What program to really execute, regardless of what fol- lows the -- in the submit sub-command. -o path Where to send the stdout of the program. -e path Where to send the stderr of the program. 

और launchd पर आदमी कहता है:

 ENVIRONMENTAL VARIABLES LAUNCHD_SOCKET This variable is exported when invoking a command via the launchd command line. It informs launchctl how to find the correct launchd to talk to. 

IOS में अधिकांश अन्य चीजों के विपरीत, launchd IPC यूनिक्स सॉकेट्स पर आधारित है। कई launchd प्रक्रियाएं भी हैं - प्रत्येक सक्रिय उपयोगकर्ता के लिए एक। IOS पर, एक रूट विशेषाधिकारों के साथ काम करता है, दूसरा मोबाइल अधिकारों के साथ। मोबाइल उपयोगकर्ता डेमोटेप के माध्यम से लॉन्चर को निष्पादित करता है, लेकिन यह लॉंचल मोबाइल उपयोगकर्ता के launchd साथ संवाद नहीं करता है, इसके बजाय वह स्पष्ट रूप से निर्दिष्ट सॉकेट पथ और /var/db/timezone साथ भेद्यता के माध्यम से प्राप्त विस्तारित एक्सेस अधिकारों के कारण रूट उपयोगकर्ता के launchd साथ संचार करता है।

चूंकि हम launchd रूट उपयोगकर्ता के साथ काम कर रहे हैं, इसलिए कार्य रूट विशेषाधिकारों के साथ किया जाएगा, जो इसे शुरुआती बूट वातावरण में निष्पादित करने के लिए सिस्टम में बदलाव करने की अनुमति देने के लिए सिस्टम एक्सेस को लिखने की पहुंच के साथ रिमाउंट करने की अनुमति देता है।

स्टेज 3

"जेल" का अंतिम चरण, और फिर से MobileBackup का उपयोग किया, लेकिन इस बार सिस्टम विभाजन के लिए पहले से ही पूर्ण पहुंच है:

 directory: Media/ directory: Media/Recordings/ symlink: Media/Recordings/.haxx -> / symlink: Media/Recordings/.haxx/private/etc/launchd.conf -> /private/var/evasi0n/launchd.conf directory: Media/Recordings/.haxx/var/evasi0n file: Media/Recordings/.haxx/var/evasi0n/evasi0n file: Media/Recordings/.haxx/var/evasi0n/amfi.dylib file: Media/Recordings/.haxx/var/evasi0n/udid file: Media/Recordings/.haxx/var/evasi0n/launchd.conf 

यह प्रतीकात्मक लिंक के लिए कई रीडायरेक्ट के कारण थोड़ा भ्रामक लगता है, लेकिन वास्तव में यह एप्लिकेशन और लाइब्रेरी के साथ /var/evasi0n बनाता है, साथ ही नए launchd.conf , जो सिस्टम बूट होने पर निष्पादित होने वाली कमांड को स्टोर करता है।

वास्तव में, जब निम्नलिखित आदेशों को लोड किया जाएगा:

 bsexec .. /sbin/mount -u -o rw,suid,dev / setenv DYLD_INSERT_LIBRARIES /private/var/evasi0n/amfi.dylib load /System/Library/LaunchDaemons/com.apple.MobileFileIntegrity.plist bsexec .. /private/var/evasi0n/evasi0n unsetenv DYLD_INSERT_LIBRARIES bsexec .. /bin/rm -f /private/var/evasi0n/sock bsexec .. /bin/ln -f /var/tmp/launchd/sock /private/var/evasi0n/sock 

वे निम्नलिखित कार्य करेंगे:

• लिखने की अनुमति के साथ सिस्टम विभाजन को हटाएं;
• amfi.dylib अब से किसी भी आवेदन में लागू किया जाएगा;
• MobileFileIntegrity सेवा शुरू होती है;
• पिछले चरण में लिखा गया "दुर्भावनापूर्ण" कोड लॉन्च किया गया है;
• amfi.dylib अब तैनात नहीं किया जाएगा;
• / / निजी / var / evasi0n / जुर्राब में पुराने प्रतीकात्मक सॉकेट लिंक को हटा देता है;
• प्रतीकात्मक लिंक / निजी / var / evasi0n / sock को अपडेट किया गया है, जो / var / tmp / launchd / sock की ओर इशारा करते हुए, दूसरे कोड को लॉन्च किए गए रूट उपयोगकर्ता के साथ सीधे संपर्क करने की अनुमति देता है।

Evasi0n डिवाइस को रिबूट करता है, जो वर्णित कॉन्फ़िगरेशन करता है। एक दिलचस्प बात यह है कि न तो amfi.dylib और न ही evasi0n में एक डिजिटल हस्ताक्षर शामिल हैं। यदि आप ओटूल का उपयोग करके amfi.dylib फ़ाइल की जांच करते हैं, तो यह पता चलता है कि इसमें कोई __text खंड नहीं है ( अनुवादक का ध्यान दें: मशीन कोड __Txt खंड के __text खंड में संग्रहीत है )। और अगर कोई __text खंड नहीं है, तो हस्ताक्षर करने के लिए कुछ भी नहीं है, और डिजिटल हस्ताक्षर के लिए सत्यापन नहीं किया जाएगा। Amfi.dylib देर से बाध्यकारी जानकारी के साथ काम करता है:

 $ dyldinfo -export amfi.dylib export information (from trie): [re-export] _kMISValidationOptionValidateSignatureOnly (_kCFUserNotificationTokenKey from CoreFoundation) [re-export] _kMISValidationOptionExpectedHash (_kCFUserNotificationTimeoutKey from CoreFoundation) [re-export] _MISValidateSignature (_CFEqual from CoreFoundation) 

यह तकनीक http://networkpx.blogspot.com/2009/09/compiling-iphoneos-31-apps-with-xcode.html पर कवर की गई है:

अगर हम MISValidateSignature बना सकते हैं () हमेशा 0 लौटाते हैं, तो कोई भी फाइल टेस्ट पास करेगी। यह फ़ंक्शन libmis.dylib का हिस्सा है, जो अब एक साझा कैश में संग्रहीत है, इसलिए फ़ंक्शन को स्वयं पैच करना मुश्किल है। MobileSubstrate के साथ इस फ़ंक्शन के कार्यान्वयन को प्रतिस्थापित करना बहुत अच्छा होगा, लेकिन कोई फर्क नहीं पड़ता कि मैंने कैसे कोशिश की, एमएस इसे प्रतिस्थापित नहीं कर सका। तब मैंने इस ट्रिक का उपयोग किया: मैंने एक "अनुमानित" लाइब्रेरी बनाई, जो MISValidateSignature () को पुनर्निर्देशित करती है।

कोड के बिना एक गतिशील पुस्तकालय का उपयोग करते हुए, मौजूदा वास्तविक कार्यों (जैसे कि CFEqual() ) को समान तर्कों के साथ अन्य कार्यों के रूप में फिर से निर्यात किया जाता है, जिसके कारण MISValidateSignature() हमेशा 0 वापस आता है, जिससे किसी भी निष्पादन योग्य को निष्पादित किया जा सकता है।

परिणाम

Evasi0n दिलचस्प है कि यह विशेषाधिकारों को बढ़ाता है और प्रक्रिया मेमोरी को नुकसान पहुंचाए बिना सिस्टम विभाजन तक पूरी पहुंच प्राप्त करता है। /var/db/timezone भेद्यता का उपयोग करते हुए, यह MobileFileIntegrity को launchd और संशोधित करने के लिए पहुँच प्राप्त करता है ताकि यह हमेशा पुष्टि करे कि डिजिटल हस्ताक्षर सही हैं।