ABrake27

iOS AMFI डेवलपर मोड सक्रियण के लिए Linux-नेटिव क्रॉस-कंपाइलर + PoC (arm64/arm64e)

शोध-स्तरीय टूलकिट। iOS 27.0.1 बनाम 27.2 फर्मवेयर का डिफ करें, AMFI IOUserClient डिस्पैच टेबल को रिवर्स-इंजीनियर करें, Linux से बेयर-मेटल IOKit PoC क्रॉस-कंपाइल करें — Xcode की आवश्यकता नहीं — और स्टॉक Apple lockdown प्रोटोकॉल के माध्यम से iOS 27.0.1 पर डेवलपर मोड सक्षम करें (कर्नेल स्तर पर स्थायी सत्यापित)।

---

यह क्या है

• IPS फर्मवेयर डिफ — iOS 27.0.1 और 27.2 (iPhone 14,5) के बीच kernelcache, kexts, sandbox, entitlements।
• AMFI डिस्पैच टेबल रिवर्स-इंजीनियरिंग — प्रत्येक IOExternalMethodDispatch स्लॉट को मैप किया, selector 11 = armSecurityBootMode की पहचान की।
• स्टैंडअलोन C PoC — poc/poc.c AppleMobileFileIntegrity/AppleCredentialManager खोलता है, armSecurityBootMode को कॉल करता है, और परिणाम लॉग करता है। कोई Foundation/UIKit ब्लोट नहीं — शुद्ध C + IOKit।
• Linux क्रॉस-कंपाइलर — poc/build_ipa.sh CachyOS/Arch पर clang + ld64.lld + ldid का उपयोग करके एक हस्ताक्षरित .ipa बनाता है। शून्य Apple/Xcode निर्भरताएँ।

---

iOS 27.0.1 पर डेवलपर मोड कैसे सक्षम करें (कोई जेलब्र्रेक नहीं, कोई अहस्ताक्षरित कोड नहीं)

iOS डेवलपर मोड टॉगल श्रृंखला को पूरी तरह से स्टॉक Apple lockdown प्रोटोकॉल (com.apple.amfi.lockdown) के माध्यम से संचालित किया जा सकता है। कोई जेलब्र्रेक नहीं, कोई IPA नहीं, कोई entitlement फोर्जिंग नहीं — बस Linux पर pymobiledevice3।

सत्यापित: नीचे दी गई श्रृंखला के बाद, mounter query-developer-mode-status → true और DeveloperDiskImage /System/Developer पर माउंट किया गया था — और दोनों एक स्वतंत्र रीबूट के बाद भी बने रहे (पहले यही जाँचें वापस false हो जाती थीं, इसलिए स्थायित्व ही वास्तविक प्रमाण है; FINDINGS_LOCK.md देखें)।

पूर्वापेक्षा

पासकोड हटाएँ (Settings → Face ID & Passcode → Turn Off Passcode)। पासकोड सेट होने पर, AMFI action=1/action=2 का उत्तर Device has a passcode set देता है।

चरण

# 1) enable → action=1 → REBOOT #1
flatpak-spawn --host python3 -m pymobiledevice3 amfi enable-developer-mode

# 2) after the device boots: post-restart accept → action=2 → REBOOT #2
#    (the CLI has no separate accept command — call the service method directly,
#     e.g. via poc/verify_now2.py)

# 3) reveal the Settings toggle → action=0
flatpak-spawn --host python3 -m pymobiledevice3 amfi reveal-developer-mode

सत्यापन (कर्नेल-स्तर, AMFI सेवा से स्वतंत्र)

flatpak-spawn --host python3 -m pymobiledevice3 mounter query-developer-mode-status   # → true
flatpak-spawn --host python3 -m pymobiledevice3 mounter list                           # → IsMounted: true, /System/Developer
flatpak-spawn --host python3 -m pymobiledevice3 mounter auto-mount                    # → DeveloperDiskImage mounted successfully

प्रोटोकॉल सारांश

action	अर्थ	प्रभाव
0	reveal	Settings में Developer Mode टॉगल दिखाता है
1	enable	फ़्लैग सेट करता है, डिवाइस को रीबूट करता है
2	accept	पुनः-प्रारंभ पुष्टि, फिर से रीबूट करता है

⚠️ pymobiledevice3 शॉर्ट-सर्किट करता है: यदि स्थिति पहले से true है, enable-developer-mode बस "Developer mode is already enabled" लॉग करता है और कुछ नहीं भेजता। दो रीबूट Apple प्रोटोकॉल का हिस्सा हैं, आकस्मिक नहीं।

---

त्वरित शुरुआत (Linux → iPhone 4 मिनट में)

पूर्वापेक्षाएँ (CachyOS / Arch)

sudo pacman -S clang lld zip          # compiler + Mach-O linker
yay -S ldid                           # entitlement injector (AUR)
# iOS SDK:
mkdir -p poc/SDK
git clone https://github.com/theos/sdks poc/tmp && mv poc/tmp/iPhoneOS*.sdk poc/SDK/iPhoneOS.sdk

बिल्ड

cd poc
IOS_SDK=/path/to/iPhoneOS.sdk ./build_ipa.sh
# Output: EnableAMFIDevMode.ipa

iPhone पर इंस्टॉल करें

# Via ideviceinstaller (libimobiledevice):
ideviceinstaller --install EnableAMFIDevMode.ipa

# Via TrollStore (if jailbroken/CT-bypass device):
# → TrollStore app → "+" → pick EnableAMFIDevMode.ipa

# Via SideStore/AltStore:
# → Add to SideStore → sign with your Apple ID

चलाएँ

# On device (SSH / NewTerm):
./EnableAMFIDevMode 1
cat /tmp/amfi_devmode_poc.log
# Then REBOOT to activate Developer Mode

विकल्प: Linux से CoreDevice / DVT लॉन्च (run_dvt.sh)

एक दूसरा, IPA-मुक्त मार्ग मौजूद है: Linux पर स्टैंडअलोन IOKit बाइनरी को क्रॉस-कंपाइल करें और इसे iOS 17+ CoreDevice / RSD टनल के माध्यम से डिवाइस पर पुश करें, फिर इसे DVT प्रोसेस-कंट्रोल सेवा के साथ चलाएँ (App Sandbox के बाहर — कोई installd नहीं, कोई फ्री-साइन IPA नहीं)।

./run_dvt.sh enable      # build (clang + ld64.lld) → deploy → `dvt launch --stream`

run_dvt.sh पूरी श्रृंखला को स्वचालित करता है:

1. usbmuxd शुरू/सत्यापित करता है, ideviceinfo (libimobiledevice) से डिवाइस की जाँच करता है;
2. poc/poc.c को बेयर arm64 Mach-O में क्रॉस-कंपाइल करता है (कोई Apple टूलचेन नहीं): clang -c → ld64.lld -platform_version ios … -syslibroot … -undefined dynamic_lookup; SDK संस्करण बाइनरी SDKSettings.plist से plistlib के माध्यम से पढ़ा जाता है;
3. एक userspace RSD टनल (pymobiledevice3) खोलता है और dvt launch --stream को आमंत्रित करता है।

स्थिति: Linux क्रॉस-कंपाइल काम करता है (एक वास्तविक arm64 Mach-O उत्पन्न होता है)। ऑन-डिवाइस डिप्लॉय चरण अभी भी WIP है — HANDOFF.md «Сессия 12» देखें। यह भी ध्यान दें कि PoC का IOKit पथ (AppleMobileFileIntegrity selector 11) को प्लेटफ़ॉर्म-प्रतिबंधित entitlement com.apple.private.amfi.developer-mode-control की आवश्यकता है, इसलिए गैर-Apple-हस्ताक्षरित बाइनरी को userclient द्वारा अस्वीकार कर दिया जाएगा, भले ही DVT के माध्यम से लॉन्च किया गया हो — डेवलपर मोड सक्षम करने का समर्थित तरीका ऊपर प्रलेखित lockdown प्रोटोकॉल है।

---

यह कैसे काम करता है

प्रति आर्किटेक्चर स्लाइस दो साफ़ चरण (जब ld64.lld को सौंपते समय clang ड्राइवर द्वारा -arch/-platform_version निगलने से बचाता है):

1. clang -c — Mach-O ऑब्जेक्ट, कोई लिंकिंग नहीं
2. ld64.lld — स्पष्ट -arch arm64 -platform_version ios <min> <sdk> के साथ निष्पादन योग्य

स्वतः-पहचान clang-20...15, ld64.lld/lld, llvm-lipo, ldid। सुगम फ़ॉलबैक: यदि टूलचेन में ptrauth समर्थन नहीं है तो arm64e → arm64।

---

रेपो लेआउट