iomfb-exploit

Ausführlicher Bericht hier: https://jsherman212.github.io/2021/11/28/popping_ios14_with_iomfb.html

Exploit für CVE-2021-30807. Wenn du daraus wirklich einen Jailbreak bauen möchtest, erfordert dies Anpassungen für dein Gerät und die iOS-Version, da ich keinen Info-Leak zur Verfügung habe.

Um für A11 und darunter anzupassen, verwende pongo, um xnuspy zu laden, und baue mit SAMPLING_MEMORY=1 make -B. Dies aktiviert einen Test, der den von kernel_memory_allocate zurückgegebenen Speicher sammelt, diese Zeiger sortiert und dann einen Bereich ausgibt. Du wirst so etwas sehen:

sample_kernel_map: 0xffffffe8ebe9c000 [0x10000 bytes from behind]
sample_kernel_map: to add to alloc_averager:
[0xffffffe8ce934000, 0xffffffe8ebf98000],

(Ignoriere einfach die Warnungen, die es ausgibt.)

Der Test soll 30 Sekunden nach dem Booten des Geräts ausgeführt werden.

In alloc_averager.py befinden sich einige Beispielwerte, die ich bereits für meine Telefone gesammelt habe. Es berechnet den Durchschnitt aller Durchschnitte jedes Bereichs. Erstelle eine "samples list" für dein Gerät und füge den Bereich hinzu. Wiederhole den Test einige Male, bis du 5-10 Einträge in dieser Liste hast. alloc_averager.py meldet eine Erfolgsrate für die Schätzung, die es basierend auf der Liste generiert. Wenn dir die Erfolgsrate gefällt, nimm die Schätzung und ersetze damit den Wert für GUESSED_OSDATA_BUFFER_PTR am Anfang von IOMobileFramebufferUserClient.c.

Es ist sehr wichtig, keine Ausreißer in diese Liste aufzunehmen. Nach einigen Testläufen wirst du wahrscheinlich auf einen Bereich stoßen, der sich von den bereits vorhandenen Bereichen abhebt.

Du musst Offsets für dein Gerät/deine Version finden, um diesen Test ausführen zu können.

Zuerst, um kernel_memory_allocate zu finden, einfach xref kernel_memory_allocate: VM is not ready verwenden. Wenn du den Offset hast, setze den Wert von kma darauf in install_kernel_memory_alloc_hook.

Zweitens, um den Test von den anderen Allokationen, die XNU vornimmt, zu isolieren, teste ich auf eine bestimmte Rücksprungadresse. Diese Adresse befindet sich in OSData::initWithCapacity. Du kannst die vtable von OSData leicht finden, indem du den String "OSData" xrefst. Der erste xref zu diesem String befindet sich in einer Funktion, die einen xref zur vtable für OSData::MetaClass enthält. Direkt über dieser vtable befindet sich die vtable von OSData, und OSData::initWithCapacity ist bei +0x78.

Sobald du OSData::initWithCapacity hast, finde das einzige BL zu kernel_memory_allocate und nimm den Offset der Anweisung direkt darunter. Verwende in kernel_hooks.c diesen Offset in der einzigen if-Anweisung in der einzigen Funktion in dieser Datei.

A12+ benötigt etwas wie Correlium.