ABrake27

iOS AMFI Developer Mode सक्रियण के लिए Linux-नेटिव क्रॉस-कंपाइलर + PoC (arm64/arm64e)

शोध-स्तरीय टूलकिट। iOS 27.0.1 बनाम 27.2 फर्मवेयर का डिफ करें, AMFI IOUserClient डिस्पैच टेबल को रिवर्स-इंजीनियर करें, Linux से बेयर-मेटल IOKit PoC को क्रॉस-कंपाइल करें — Xcode की आवश्यकता नहीं — और स्टॉक Apple lockdown प्रोटोकॉल के माध्यम से iOS 27.0.1 पर Developer Mode सक्षम करें (कर्नेल स्तर पर स्थायी रूप से सत्यापित)। वर्तमान प्रमुख निष्कर्ष: ImageIO में साइलेंट ASTC/DDS ओवरफ़्लो हार्डनिंग, जो संरचनात्मक रूप से सामान्य डिकोड पथ से पहुँच योग्य है — MediaAnalysis श्रृंखला ASTCReadPlugin::initialize तक ट्रेस की गई (सत्र 28–31)।

---

यह क्या है

• IPS फर्मवेयर डिफ — iOS 27.0.1 और 27.2 (iPhone 14,5) के बीच kernelcache, kexts, sandbox, entitlements।
• AMFI डिस्पैच टेबल रिवर्स-इंजीनियरिंग — प्रत्येक IOExternalMethodDispatch स्लॉट को मैप किया, selector 11 = armSecurityBootMode की पहचान की।
• स्टैंडअलोन C PoC — poc/poc.c AppleMobileFileIntegrity/AppleCredentialManager खोलता है, armSecurityBootMode को कॉल करता है, और परिणाम लॉग करता है। कोई Foundation/UIKit ब्लोट नहीं — शुद्ध C + IOKit।
• Linux क्रॉस-कंपाइलर — poc/build_ipa.sh CachyOS/Arch पर clang + ld64.lld + ldid का उपयोग करके एक साइन किया गया .ipa उत्पन्न करता है। शून्य Apple/Xcode निर्भरताएँ।

---

iOS 27.0.1 पर Developer Mode कैसे सक्षम करें (कोई जेलब्र्रेक नहीं, कोई अनसाइन्ड कोड नहीं)

iOS Developer Mode टॉगल श्रृंखला को पूरी तरह से स्टॉक Apple lockdown प्रोटोकॉल (com.apple.amfi.lockdown) के माध्यम से संचालित किया जा सकता है। कोई जेलब्र्रेक नहीं, कोई IPA नहीं, कोई entitlement फ़ोर्जिंग नहीं — बस Linux पर pymobiledevice3।

सत्यापित: नीचे दी गई श्रृंखला के बाद, mounter query-developer-mode-status → true और DeveloperDiskImage /System/Developer पर माउंट किया गया था — और दोनों एक स्वतंत्र रीबूट के बाद भी बने रहे (पहले यही जाँचें वापस false हो जाती थीं, इसलिए स्थायित्व ही वास्तविक प्रमाण है; FINDINGS_LOCK.md देखें)।

पूर्वापेक्षा

पासकोड हटाएँ (Settings → Face ID & Passcode → Turn Off Passcode)। पासकोड सेट होने पर, AMFI action=1/action=2 का उत्तर Device has a passcode set देता है।

चरण

# 1) enable → action=1 → REBOOT #1
flatpak-spawn --host python3 -m pymobiledevice3 amfi enable-developer-mode

# 2) after the device boots: post-restart accept → action=2 → REBOOT #2
#    (the CLI has no separate accept command — call the service method directly,
#     e.g. via poc/verify_now2.py)

# 3) reveal the Settings toggle → action=0
flatpak-spawn --host python3 -m pymobiledevice3 amfi reveal-developer-mode

सत्यापित करें (kernel-स्तरीय, AMFI सेवा से स्वतंत्र)

flatpak-spawn --host python3 -m pymobiledevice3 mounter query-developer-mode-status   # → true
flatpak-spawn --host python3 -m pymobiledevice3 mounter list                           # → IsMounted: true, /System/Developer
flatpak-spawn --host python3 -m pymobiledevice3 mounter auto-mount                    # → DeveloperDiskImage mounted successfully

प्रोटोकॉल सारांश

क्रिया	अर्थ	प्रभाव
0	reveal	सेटिंग्स में Developer Mode टॉगल दिखाता है
1	enable	फ़्लैग सेट करता है, डिवाइस को रीबूट करता है
2	accept	पुनः-प्रारंभ के बाद पुष्टि, फिर से रीबूट करता है

⚠️ pymobiledevice3 शॉर्ट-सर्किट करता है: यदि स्थिति पहले से ही true है, तो enable-developer-mode केवल "Developer mode is already enabled" लॉग करता है और कुछ नहीं भेजता। दोनों रीबूट Apple प्रोटोकॉल का हिस्सा हैं, संयोगवश नहीं।

---

त्वरित शुरुआत (Linux → iPhone 4 मिनट में)

पूर्वापेक्षाएँ (CachyOS / Arch)

sudo pacman -S clang lld zip          # compiler + Mach-O linker
yay -S ldid                           # entitlement injector (AUR)
# iOS SDK:
mkdir -p poc/SDK
git clone https://github.com/theos/sdks poc/tmp && mv poc/tmp/iPhoneOS*.sdk poc/SDK/iPhoneOS.sdk

बिल्ड

cd poc
IOS_SDK=/path/to/iPhoneOS.sdk ./build_ipa.sh
# Output: EnableAMFIDevMode.ipa

iPhone पर इंस्टॉल करें

# Via ideviceinstaller (libimobiledevice):
ideviceinstaller --install EnableAMFIDevMode.ipa

# Via TrollStore (if jailbroken/CT-bypass device):
# → TrollStore app → "+" → pick EnableAMFIDevMode.ipa

# Via SideStore/AltStore:
# → Add to SideStore → sign with your Apple ID

चलाएँ

# On device (SSH / NewTerm):
./EnableAMFIDevMode 1
cat /tmp/amfi_devmode_poc.log
# Then REBOOT to activate Developer Mode

विकल्प: Linux से CoreDevice / DVT लॉन्च (run_dvt.sh)

एक दूसरा, IPA-रहित मार्ग मौजूद है: Linux पर स्टैंडअलोन IOKit बाइनरी को क्रॉस-कंपाइल करें और इसे iOS 17+ CoreDevice / RSD टनल के माध्यम से डिवाइस पर पुश करें, फिर इसे DVT प्रोसेस-कंट्रोल सेवा के साथ चलाएँ (App Sandbox के बाहर — कोई installd नहीं, कोई फ्री-साइन IPA नहीं)।

./run_dvt.sh enable      # build (clang + ld64.lld) → deploy → `dvt launch --stream`

run_dvt.sh पूरी श्रृंखला को स्वचालित करता है:

1. usbmuxd शुरू/सत्यापित करता है, ideviceinfo (libimobiledevice) से डिवाइस की जाँच करता है;
2. poc/poc.c को एक बेयर arm64 Mach-O में क्रॉस-कंपाइल करता है (बिना Apple टूलचेन): clang -c → ld64.lld -platform_version ios … -syslibroot … -undefined dynamic_lookup; SDK संस्करण बाइनरी SDKSettings.plist से plistlib के माध्यम से पढ़ा जाता है;
3. एक userspace RSD टनल (pymobiledevice3) खोलता है और dvt launch --stream को आमंत्रित करता है।

स्थिति: Linux क्रॉस-कंपाइल काम करता है (एक वास्तविक arm64 Mach-O उत्पन्न होता है)। ऑन-डिवाइस डिप्लॉय चरण अभी भी WIP है — HANDOFF.md «Сессия 12» देखें। यह भी ध्यान दें कि PoC का IOKit पथ (AppleMobileFileIntegrity सेलेक्टर 11) के लिए प्लेटफ़ॉर्म-प्रतिबंधित एंटाइटलमेंट com.apple.private.amfi.developer-mode-control आवश्यक है, इसलिए गैर-Apple-हस्ताक्षरित बाइनरी को userclient द्वारा अस्वीकार कर दिया जाएगा, भले ही उसे DVT के माध्यम से लॉन्च किया गया हो — Developer Mode सक्षम करने का समर्थित तरीका ऊपर प्रलेखित lockdown प्रोटोकॉल है।

---

यह कैसे काम करता है

प्रति आर्किटेक्चर स्लाइस दो स्पष्ट चरण (जब ld64.lld को सौंपा जाता है तो clang ड्राइवर द्वारा -arch/-platform_version निगलने से बचाता है):

1. clang -c — Mach-O ऑब्जेक्ट, कोई लिंकिंग नहीं
2. ld64.lld — स्पष्ट -arch arm64 -platform_version ios <min> <sdk> के साथ निष्पादन योग्य

स्वतः पहचान करता है clang-20...15, ld64.lld/lld, llvm-lipo, ldid। सुगम फ़ॉलबैक: यदि टूलचेन में ptrauth समर्थन नहीं है तो arm64e → arm64।

---

रेपो लेआउट