-
-
[原创]iOS 内核堆利用技术点之 mach_msg ool
-
发表于: 2015-6-1 21:16 8730
-
说明
在内核堆利用中,mach_msg 主要用来填充内核堆、读内核堆。这个技术点无法单独使用,需要配合内核堆信息泄露、堆整理技术(比如:堆风水),即:首先要使堆可控。
关于 mach_msg ool
详细的信息大家可以参考《Mac OS X and iOS Internals: to Apple’s Core》的第十章、《Mac OS X Internals:A Systems Approach》的第九章。简单来说当发送一个包含 ool descriptor 的 msg 时,内核会将指定的数据从用户空间复制内核空间,并且内核会一直保持这部分数据,直到目标 task 处理了消息。同样,当目标进程接收一个包含 ool descriptor 的消息时,内核会将数据从内核空间复制到用户空间(不一定是真正的复制)。因此可以利用这个技术点向内核堆中写入数据或者从内核读取数据。
xnu 中相关数据结构与函数
vm_map_copy_t、vm_map_copyin、vm_map_copyout、kalloc、kfree。
注意事项
为了完全控制消息的发送、接收,在利用时一般向当前进程发送消息、从当前进程接收消息。
在内核堆利用中,mach_msg 主要用来填充内核堆、读内核堆。这个技术点无法单独使用,需要配合内核堆信息泄露、堆整理技术(比如:堆风水),即:首先要使堆可控。
关于 mach_msg ool
详细的信息大家可以参考《Mac OS X and iOS Internals: to Apple’s Core》的第十章、《Mac OS X Internals:A Systems Approach》的第九章。简单来说当发送一个包含 ool descriptor 的 msg 时,内核会将指定的数据从用户空间复制内核空间,并且内核会一直保持这部分数据,直到目标 task 处理了消息。同样,当目标进程接收一个包含 ool descriptor 的消息时,内核会将数据从内核空间复制到用户空间(不一定是真正的复制)。因此可以利用这个技术点向内核堆中写入数据或者从内核读取数据。
xnu 中相关数据结构与函数
vm_map_copy_t、vm_map_copyin、vm_map_copyout、kalloc、kfree。
注意事项
为了完全控制消息的发送、接收,在利用时一般向当前进程发送消息、从当前进程接收消息。
[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)
赞赏
他的文章
- [原创] J127 SEP 固件解密 Key 13819
- [原创]SecureROM 分析笔记 10380
- [原创]iOS 内核堆利用技术点之 mach_msg ool 8731
- [原创]盘古越狱工具在用户空间的行为 39728
- [原创]调试没有符号的 iOS 应用 6030
看原图
赞赏
雪币:
留言: