iOS "Airborne" भेद्यताएँ - लॉग आर्टिफैक्ट एक्सट्रैक्टर

यह स्क्रिप्ट .logarchive बंडल से iOS सिस्टम लॉग क्वेरी करके "Airborne" भेद्यताओं के सेट (मुख्य रूप से Apple के AirPlay प्रोटोकॉल को प्रभावित करने वाले) के संभावित निशानों की पहचान करने में मदद करने के लिए डिज़ाइन की गई है। यह उन विसंगतियों को खोजने के लिए तैयार किए गए कई log show कमांडों के निष्पादन को स्वचालित करती है जो इन भेद्यताओं से संबंधित हो सकती हैं।

अस्वीकरण: यह उपकरण केवल सूचनात्मक और जांच उद्देश्यों के लिए है। इन क्वेरी से मेल खाने वाले लॉग प्रविष्टियों की उपस्थिति किसी समझौते की निश्चित पुष्टि नहीं करती है। लॉग प्रविष्टियों का विश्लेषण संदर्भ में किया जाना चाहिए। निष्कर्षों की अनुपस्थिति यह गारंटी नहीं देती कि कोई उपकरण सुरक्षित है। हमेशा सुनिश्चित करें कि आपके उपकरण नवीनतम OS संस्करणों में अपडेट हैं।

लेखक और परियोजना के बारे में

यह स्क्रिप्ट एंटोन शुस्तिकोव ([email protected], अब ceo cakescats) द्वारा CakesCats परियोजना के भाग के रूप में विकसित की गई थी।

CakesCats एक पहल है जो इस पर केंद्रित है:

• सूचना सुरक्षा शिक्षा: साइबर सुरक्षा अवधारणाओं को अधिक सुलभ और समझने योग्य बनाने का लक्ष्य।
• समर्थन: डिजिटल सुरक्षा से संबंधित कठिन परिस्थितियों का सामना करने वाले कार्यकर्ताओं और व्यक्तियों को मुफ्त सहायता प्रदान करना।
• सरल और स्पष्ट उत्पाद: डिजिटल सुरक्षा और सुरक्षा के लिए सीधे उपकरण और संसाधन विकसित करना।

एंटोन शुस्तिकोव एक सूचना सुरक्षा और फिनटेक सलाहकार हैं, जिनके पास सुरक्षा प्रणालियाँ बनाने का व्यापक अनुभव है। वह गैर-वाणिज्यिक शैक्षिक परियोजना CakesCats के संस्थापक हैं और फोर्ब्स और "Xakep" पत्रिका जैसे प्रकाशनों में लेख योगदान करते हैं। उनके काम में अक्सर डिजिटल खतरों की जांच करना और डिजिटल स्वच्छता को बढ़ावा देना शामिल है।

"Airborne" भेद्यताओं के बारे में

"Airborne" एक नाम है जो भेद्यताओं के एक सेट को दिया गया है (जिसे ओलिगो सिक्योरिटी ने अपने मूल शोध में खोजा था) जो Apple के AirPlay प्रोटोकॉल और AirPlay सॉफ्टवेयर डेवलपमेंट किट (SDK) को प्रभावित करता है। ये भेद्यताएँ Apple उपकरणों (iPhone, iPad, Mac, Apple TV, आदि) और AirPlay SDK का उपयोग करने वाले तृतीय-पक्ष उपकरणों (जैसे स्मार्ट स्पीकर, रिसीवर) की एक विस्तृत श्रृंखला को प्रभावित कर सकती हैं।

"Airborne" प्रकार की भेद्यताओं के प्रमुख पहलू:

• खोज संदर्भ: मूल "Airborne" शोध ओलिगो सिक्योरिटी द्वारा प्रकाशित किया गया था (अधिक जानकारी: https://www.oligo.security/blog/airborne)। यह स्क्रिप्ट सामान्य फोरेंसिक कलाकृतियों को देखने के लिए डिज़ाइन की गई है जो ऐसी भेद्यताओं से संबंधित हो सकती हैं।
• प्रभावित प्रोटोकॉल/घटक: मुख्य रूप से Apple AirPlay, लेकिन Bonjour (mDNS) और rapportd जैसी संबंधित सेवाएँ भी जो डिवाइस-टू-डिवाइस संचार को संभालती हैं।
• संभावित प्रभाव: रिमोट कोड एक्सीक्यूशन (RCE) (जिसमें जीरो-क्लिक और संभावित रूप से वर्मेबल वेरिएंट शामिल हैं), डिनायल ऑफ़ सर्विस (DoS), एक्सेस कंट्रोल लिस्ट (ACL) बायपास, सूचना प्रकटीकरण, और मैन-इन-द-मिडल (MITM) हमले।
• CVE (संदर्भित उदाहरण): जबकि विशिष्ट CVE नंबर प्रत्येक नई खोज के साथ बदलते हैं, "Airborne" वर्ग की भेद्यताएँ AirPlay और संबंधित नेटवर्क सेवाओं द्वारा डेटा, पेयरिंग या कनेक्शन को संभालने के तरीके में खामियों को लक्षित करती हैं। उदाहरण के लिए, इस उपकरण के लिए पिछली काल्पनिक चर्चाओं में CVE-2025-24252 (mDNS मुद्दों से संबंधित) या CVE-2025-24132 (AirPlay SDK में बफर ओवरफ्लो से संबंधित) जैसे CVE पर विचार किया गया था। उपयोगकर्ताओं को हमेशा उन भेद्यताओं के विशिष्ट CVE विवरण और विक्रेता सलाहकारों का संदर्भ लेना चाहिए जिनकी वे जाँच कर रहे हैं।
• प्रभावित OS संस्करण (सामान्य मार्गदर्शन): आम तौर पर, iOS, iPadOS, macOS, tvOS और तृतीय-पक्ष AirPlay SDK के संस्करण जो विशिष्ट भेद्यता प्रकटीकरणों के जवाब में Apple और संबंधित विक्रेताओं द्वारा जारी किए गए पैच से पहले हैं। पैच किए गए संस्करणों की जानकारी के लिए हमेशा Apple के आधिकारिक सुरक्षा अपडेट और विक्रेता सलाहकारों से परामर्श करें।

यह उपकरण कैसे काम करता है

यह स्क्रिप्ट सावधानीपूर्वक तैयार किए गए विधेय का उपयोग करके log show कमांडों की एक श्रृंखला निष्पादित करती है। ये विधेय iOS सिस्टम लॉग में जानकारी की विशाल मात्रा को फ़िल्टर करने के लिए डिज़ाइन किए गए हैं ताकि समझौते के संभावित संकेतकों या असामान्य गतिविधि को इंगित किया जा सके जो "Airborne" प्रकार की भेद्यताओं से संबंधित हो सकती है।

स्क्रिप्ट इसके लिए देखती है:

• AirPlay, मीडिया स्ट्रीमिंग, नेटवर्क डिस्कवरी और डिवाइस-टू-डिवाइस संचार में शामिल महत्वपूर्ण सिस्टम प्रक्रियाओं में क्रैश या त्रुटियाँ (जैसे, mediaserverd, AirPlayXPCHelper, rapportd, mDNSResponder)।
• AirPlay सबसिस्टम या Bonjour/mDNS सेवाओं द्वारा विशेष रूप से लॉग की गई त्रुटियाँ।
• प्रासंगिक प्रक्रियाओं द्वारा रिपोर्ट की गई असामान्य नेटवर्क कनेक्शन घटनाएँ (जैसे, अप्रत्याशित कनेक्शन रीसेट, कनेक्ट करने में विफलता)।
• कर्नेल पैनिक, जो एक शोषण के कारण होने वाली गंभीर सिस्टम अस्थिरता का संकेत दे सकते हैं।
• कॉन्फ़िगरेशन प्रोफाइल से संबंधित संदिग्ध गतिविधि (सामान्य पोस्ट-एक्सप्लॉइटेशन वेक्टर के रूप में)।
• सैंडबॉक्स उल्लंघन संदेश, जो एक शोषण को अपने प्रतिबंधित वातावरण से बाहर निकलने का प्रयास करने का संकेत दे सकते हैं।

प्रत्येक क्वेरी का आउटपुट एक टाइमस्टैम्प्ड परिणाम निर्देशिका के भीतर एक अलग, वर्णनात्मक रूप से नामित टेक्स्ट फ़ाइल में सहेजा जाता है, जो विभिन्न प्रकार की संभावित कलाकृतियों के केंद्रित विश्लेषण की अनुमति देता है।

पूर्वापेक्षाएँ

1. macOS वातावरण: log show उपयोगिता और यह स्क्रिप्ट macOS पर चलाने के लिए हैं।
2. iOS लॉग संग्रह (.logarchive): आपको उस डिवाइस से एक iOS सिस्टम लॉग संग्रह (एक बंडल, जो तकनीकी रूप से एक निर्देशिका है) की आवश्यकता है जिसका आप विश्लेषण करना चाहते हैं। यह आमतौर पर इसके माध्यम से प्राप्त किया जा सकता है:
   • Xcode: iOS डिवाइस को Mac से कनेक्ट करें, Xcode खोलें, Window -> Devices and Simulators पर जाएँ, अपना डिवाइस चुनें, फिर "View Device Logs" और "Export" पर क्लिक करें।
   • sysdiagnose: iPhone पर sysdiagnose ट्रिगर करें (आमतौर पर एक साथ Volume Up + Volume Down + Side बटन दबाकर, लेकिन संयोजन मॉडल और iOS संस्करण के अनुसार भिन्न हो सकते हैं)। sysdiagnose जनरेट होने के बाद (इसमें कई मिनट लग सकते हैं), इसे Mac पर AirDrop किया जा सकता है या Mac के साथ iPhone को सिंक करते समय एक्सेस किया जा सकता है (अक्सर Finder में iPhone के सिंक स्थान के भीतर .tar.gz फ़ाइल में पाया जाता है)। .logarchive निकाले गए sysdiagnose सामग्री के भीतर होगा।
3. Bash शेल: स्क्रिप्ट bash के लिए लिखी गई है।

सेटअप और निष्पादन

1. स्क्रिप्ट को सहेजें: स्क्रिप्ट कोड (ऊपर दिया गया) को airborne_artifact_extractor.sh (या .sh एक्सटेंशन वाले किसी अन्य नाम) के रूप में सहेजें।

2. इसे निष्पादन योग्य बनाएं: अपना टर्मिनल एप्लिकेशन खोलें, उस निर्देशिका पर जाएँ जहाँ आपने स्क्रिप्ट सहेजी है, और निम्न कमांड चलाएँ:

   chmod +x airborne_artifact_extractor.sh
   

3. macOS संगरोध विशेषता की जाँच करें (डाउनलोड की गई स्क्रिप्ट के लिए महत्वपूर्ण): यदि आपने यह स्क्रिप्ट इंटरनेट से डाउनलोड की है, तो macOS इसे संगरोध कर सकता है, जो इसे सही ढंग से या बिल्कुल भी चलने से रोक सकता है।

   • यह जाँचने के लिए कि संगरोध विशेषता सेट है या नहीं, चलाएँ:

     xattr airborne_artifact_extractor.sh
     

   • यदि आउटपुट में com.apple.quarantine शामिल है, तो इस विशेषता को चलाकर हटाएँ:

     xattr -d com.apple.quarantine airborne_artifact_extractor.sh
     

   यदि आपको अभी भी स्क्रिप्ट चलाने में समस्या आती है, विशेष रूप से यदि यह ~/Downloads जैसी निर्देशिका में स्थित है, तो सुनिश्चित करें कि आपके टर्मिनल एप्लिकेशन के पास स्क्रिप्ट के स्थान और लॉग संग्रह तक पहुँचने के लिए आवश्यक अनुमतियाँ हैं (जैसे, सिस्टम सेटिंग्स -> गोपनीयता और सुरक्षा में "पूर्ण डिस्क पहुँच")।

निष्पादन समस्याओं का निवारण

खराब इंटरप्रेटर या ^M त्रुटियाँ (जैसे, /bin/bash^M: bad interpreter: No such file or directory)

यदि स्क्रिप्ट को निष्पादित करने का प्रयास करते समय आपको bash: ./your_script_name.sh: /bin/bash^M: bad interpreter: No such file or directory, /usr/bin/env: ‘bash\r’: No such file or directory, या \r या ^M वर्णों से संबंधित समान संदेश जैसी त्रुटि का सामना करना पड़ता है, तो यह संभवतः Windows-शैली लाइन एंडिंग (CRLF - कैरिज रिटर्न लाइन फीड) के बजाय Unix-शैली लाइन एंडिंग (LF - लाइन फीड) के कारण होता है।