盤古團隊在PwnFest 2016黑客大賽攻破Safari防護獲得10萬美元獎金

pwnfest-2016-pangu

儘管盤古團隊還沒釋出iOS10越獄工具,不過最近也並沒有閒下來,參與由韓國POC(Power of Community)主辦黑客破解大賽PwnFest榮獲佳績,短時間內就透過漏洞成功駭入macOS Sierra的Safari,並獲取Root權限,在這次競賽中也成功獲得10萬元獎金(基本獎金+額外獎金),又再次替蘋果找出了一個安全漏洞。

 

MacOS攻擊方式

在這次黑客破解大賽PwnFest中,並非單獨由盤古團隊所破解macOS Sierra的Safari漏洞,根據盤古核心成員徐昊替我們說明如下

他們是透過與韓國天才駭客Lokihardt聯合透過四個漏洞進行攻擊,其中兩個是來自於Lokihardt的Safari漏洞,利用Safari 的一個漏洞,我們迫使它洩露了核心模塊的地址,而根據暴露的核心模塊,我們可以構建ROP 代碼,再通過另一個UAF 漏洞,可以獲得代碼執行。

而以上所有的操作,僅僅是取得遠程訪問的權限,我們還需要突破沙盒和取得系統權限。我們掌握的漏洞,可以在Safari 裡面直接觸發,因為它處在沙盒的攻擊面以內。

這樣的漏洞比較稀少。 原理方面,我們同樣先是利用一個漏洞計算出內核的加載地址,進而構建了內核的ROP 代碼。通過另一個未初始化變量的漏洞獲得了內核的執行權限。

以上複雜的攻擊過程,需要進行一下簡單的解釋。徐昊在進攻內核的路上,要翻過如下幾座大山:

  1. 由於Safari的安全機制限制,並不能隨意執行遠程的代碼,要想破壞這個機制,必須要找到構建這個機制的引擎——Safari核心模塊。而蘋果經過長期進化的安全機制,會把關鍵模塊地址隨機隱藏。迫使模塊地址洩露,就是第一個漏洞的作用所在。
  2. 有了核心模塊地址,就可以構建攻擊代碼了,但是此時,攻擊代碼仍然需要一個漏洞才能進入核心模塊,這就是徐昊說的第二個漏洞作用所在。
  3. 經過前兩個漏洞的攻擊,Safari終於被“催眠”,可以執行遠方傳來的任意代碼。但是,此刻MacOS還有另一重機制來保障安全,那就是“沙盒”。簡單來說,沙盒的作用就是通過隔離來限制各個應用的權限。理論上來說,即使Safari被黑客“策反”,仍舊沒有能力接觸到內核層面的代碼。此時,一般攻擊者會開始尋找繞過沙盒的漏洞。但根據盤古的研究,雖然身處沙盒,仍舊有一個非常小的攻擊面,可以直接攻擊內核。但是,“狡猾”的蘋果,把內核地址也做了隨機化處理。於是第三個漏洞此刻產生作用,迫使內核加載地址洩露在了黑客面前。
  4. 最後一個漏洞,當然是為了直擊內核。此刻內核已經變得非常脆弱,只需要最後一擊就會投降。於是,我們看到了文章開頭的那一幕,MacOS根據遠程黑客的指令,彈出了Terminal命令行程序。這意味著,系統已經順從地臣服於新主人。

當初為何要選擇與Lokihardt合作?

徐昊在訪問中透露,實際上我們在比賽前一周才臨時決定嘗試攻擊Safari+MacOS 的,因為我們和Loki 有一些交流,他告訴我們他手上有一套Safari 遠程代碼執行的漏洞,而我們的強項恰恰在內核漏洞方面。我們決定合作,各自編寫攻擊代碼,然後由我們整合攻擊,於是我們在報名截止前最後一天報名。

lokihardt

就這樣,全世界兩組最強大的MacOS 黑客,組合成了無敵戰隊。這次攻擊,也是一次完美的“中韓合作”。

 

為什麼去破解MacOS?

iOS 和MacOS 有很多相通的代碼,所以相互切換研究很容易上手。相比iOS,MacOS 的符號多一些,也可以進行內核調製,尋找MacOS 漏洞,是很好的鍛煉新人的方法。在這個過程中,有一些成果,我們就來參加比賽了。

100-000-20-secondes-hacke-safari

實際上,這次攻擊用到的內核漏洞,正是盤古團隊核心成員帶領盤古新人搞出來的。

盤古團隊從來以“碾壓”的方式出現在世人面前,從歷次發布的越獄產品可以看出,他們想做的事情,無一失敗。實際上,在盤古團隊手裡,仍然保有著超過兩套越獄最新iOS 的方法。徐昊另外還透露,在他們手中還握有其他的MacOS漏洞。

 

文章內容部分引言轉貼至雷鋒網

★ 聲明:本文版權所有,非經瘋先生授權,不得轉載!如發現未經授權轉載至其它網站將採取相關處理流程。


【 如喜歡瘋先生教學歡迎加入粉絲團 】

你可能有興趣的文章