toothfairy

Verwandt mit brokentooth (unten verlinkt).
Im Gegensatz zu brokentooth erfordert toothfairy kein Drücken von Tasten im Bluetooth-Menü.
Beide CVEs wurden von @SparkZheng enthüllt, aber ohne POC, also beschloss ich, einen POC für die Lernerfahrung zu erstellen.
Der Code ist nicht perfekt, aber er erfüllt seinen Zweck.

Getestet auf iPhone 6S 11.3.1
Sollte bis 11.4 funktionieren.

Ermöglicht es, den PC (ARMs Version für das IP-Register) auf einen Wert Ihrer Wahl in bluetoothd und einigen anderen Diensten zu setzen.

Der Code von @raniXCH bluetoothdPoC wurde verwendet, um die gesamte Vorbereitung der Mach-Nachricht und deren Senden an den BT-Dienst zu handhaben, und wurde an diesen POC angepasst.
jtool wurde verwendet, um die Ordnungszahl und andere Dinge zu finden.
Es war ein wenig Reverse Engineering nötig, um die korrekten Nachrichtengrößen zu finden.

Danksagungen: @SparkZheng – für seinen großartigen Vortrag auf der DEFCON 26.
@raniXCH – für die ausgezeichnete HITB-Präsentation und den bluetoothdPoC.
Jonathan Levin – für das großartige Buch und jtool.

Referenzen: http://www.newosxbook.com/tools/jtool.html – jtool, das ich verwendet habe, um die Ordnungszahl und andere Dinge zu finden.
https://www.weibo.com/ttarticle/p/show?id=2309404271293301154324 – Material von @SparkZheng.
https://github.com/rani-i/bluetoothdPoC – POC-Code von @raniXCH.
https://gsec.hitb.org/materials/sg2018/D2%20-%20The%20Road%20to%20iOS%20Sandbox%20Escape%20-%20Rani%20Idan.pdf – Material von @raniXCH, Teil 1.
https://blog.zimperium.com/cve-2018-4087-poc-escaping-sandbox-misleading-bluetoothd/ – Material von @raniXCH, Teil 2.
https://github.com/omerporze/brokentooth – mein POC für CVE-2018-4327.