Configuração do Electra

• Faça jailbreak no seu dispositivo iOS 11.0 - 11.1.2 com Electra >= b7
• Copie o tarball do bfinject, https://github.com/BishopFox/bfinject/raw/master/bfinject.tar, para o seu dispositivo com jailbreak. Talvez seja necessário copiá-lo primeiro para o seu laptop porque o Github exige SSL, mas a versão do wget do Electra não suporta SSL.

Configuração do LiberiOS

• Faça jailbreak no seu dispositivo iOS 11.0 - 11.1.2 com LiberiOS >= 11.0.3
• Copie o tarball do bfinject, https://github.com/BishopFox/bfinject/raw/master/bfinject.tar, para o seu dispositivo com jailbreak. Talvez seja necessário copiá-lo primeiro para o seu laptop porque o Github exige SSL, mas a versão do wget do LiberiOS não suporta SSL.

Usando o bfinject

• Inicie o app de destino no qual você irá injetar sua biblioteca compartilhada
• Digite bash bfinject para obter ajuda
• NOTA: é importante preceder o comando com bash, caso contrário não funcionará. Sandbox, blá-blá-blá.

Um Teste Simples

Antes de fazer algo mais complexo, teste se funciona. O bfinject tem autotestes integrados. Aqui está um exemplo usando o app Reddit como alvo:

Na tela do dispositivo você deve ver isto:

Se não, algo está quebrado ;)

Descriptografar apps da App Store

Aqui está um exemplo de descriptografia do app Reddit em um iPhone com jailbreak via Electra:

Você verá esta tela no seu dispositivo:

Quando terminar, você verá um alerta de interface perguntando se deseja iniciar um serviço a partir do qual você pode baixar o IPA descriptografado:

Se você tocar em Yes, um serviço será iniciado na porta 31336 do seu dispositivo. Conecte-se a ele e você receberá uma cópia bruta do IPA, que pode ser baixada com netcat da seguinte forma:

Como alternativa, verifique o log do console do dispositivo; ele informará onde o IPA descriptografado está armazenado. Por exemplo:

Você também pode procurar o IPA no sistema de arquivos assim:

Para tirar o .ipa do dispositivo, você pode usar o netcat. No seu laptop, configure um serviço de escuta:

E no dispositivo com jailbreak:

O .ipa será um clone do .ipa original da App Store, exceto que o binário principal e todos os seus frameworks e bibliotecas compartilhadas acompanhantes serão descriptografados. O flag CRYPTID será 0 em cada arquivo anteriormente criptografado. Você pode pegar o .ipa, extrair o app, modificá-lo conforme necessário, reassiná-lo com seu próprio certificado de desenvolvedor e implantá-lo em dispositivos sem jailbreak conforme necessário.

Cycript

Um dos recursos do bfinject é incorporar ferramentas comuns de pentest, como o Cycript. Mais serão adicionadas com o tempo. Para usar o Cycript, você precisará do cliente de linha de comando do Cycript instalado no seu MacBook (http://www.cycript.org/). Depois, com o bfinject instalado no seu dispositivo de teste, faça algo como este exemplo, no qual injetamos o Cycript no app Reddit:

Depois que o Cycript for injetado, você verá a seguinte mensagem no seu dispositivo:

Você pode se conectar ao Cycript a partir do seu MacBook assim (supondo que você instalou o Cycript em ~/bin/):

Como funciona?

Em um nível alto, o bfinject4realz faz sideload de uma .dylib autoassinada em um app da App Store assinado pela Apple em execução.

O processo é feito em duas etapas.

1. Assinar a dylib a ser injetada

As verificações de codesigning no iOS envolvem serviços de userspace (amfid) e serviços de kernel (AppleMobileFileIntegrity). Tanto o LiberiOS quanto o Electra aplicam patch no processo userspace amfid para burlar as verificações de codesigning, mas ainda há verificações adicionais executadas pelo kernel.

No entanto, o Electra e o LiberiOS são KPPless, o que significa que eles não aplicam patch em nada no kernel; nem um único byte. Isso se deve à Kernel Patch Protection ("KPP"), uma tecnologia de segurança da Apple que faz introspecção sofisticada do kernel para detectar e impedir patches no kernel. Como resultado, as verificações de codesigning do kernel continuam intactas.

Felizmente para nós, parece que o kernel assume que o amfid já verificou a validade da assinatura criptográfica anexada aos entitlements de uma dylib. Como resultado, tudo o que precisamos fazer é autoassinar dois entitlements em uma dylib para que o kernel a aceite:

• O primeiro é o entitlement platform-application, que eu acredito indicar que a dylib é software da Apple.
• O segundo é o Team ID do certificado de assinatura usado para assinar o código no qual estamos injetando. Por exemplo, o app Reddit é assinado pelo Team ID 2TDUX39LX8. Portanto, para injetar uma dylib no app Reddit, precisamos assinar a dylib com o mesmo Team ID: 2TDUX39LX8.

O bfinject cuida de todas essas manhas de assinatura para você, o que é ótimo.

2. Injetar a dylib corretamente assinada no processo de destino

• Usando task_for_pid(), obtenha uma porta mach para o processo de destino
• Use a porta para manipular threads e segmentos de memória não executáveis no processo de destino
  • Nota: sem patches no kernel, não é possível modificar código executável em um processo.
  • Por causa disso, temos que usar truques de ROP para executar o código que escolhermos.
• Aloque algumas páginas de memória no processo remoto para uma nova pilha temporária
• Coloque a string "/path/to/my.dylib" em um local conhecido na pilha
• Use alguns truques para localizar o endereço de dlopen() no processo remoto
• Encontre um gadget ROP simples de RET em uma página executável (RET = "\xc0\x03\x5f\xd6" no arm64)
• Crie uma nova thread no processo de destino
• Defina os registradores da CPU para a thread:
  • $pc = Endereço de dlopen()
  • $x0 = Parâmetro 1 do dlopen: endereço da string "/path/to/dylib" na pilha temporária
  • $x1 = Parâmetro 2 do dlopen: o valor RTLD_LAZY | RTLD_GLOBAL
  • $sp = Meio da pilha temporária
  • $fp = Um quarto do caminho na pilha temporária
  • $lr = Endereço do gadget ROP
• Retome a thread. O seguinte acontecerá:
  • _pthread_set_self é chamado para configurar o threading para o dlopen()
  • dlopen() é chamado para injetar nossa biblioteca compartilhada maliciosa
  • dlopen() fará RET para o valor no registrador $lr, que é outra instrução RET
  • RET retornará para RET, retornará para RET... ad infinitum
• Consulte periodicamente os registradores da thread para verificar se $pc == endereço do gadget ROP (a instrução RET)
• Quando o gadget for atingido, encerre a thread, libere a memória, trabalho concluído.

Para uma descrição de baixo nível, consulte o código-fonte.

Problemas conhecidos

Observe que no Electra, a versão do jtool (multiferramenta de codesigning do @morpheus) não suporta entitlements de binário de plataforma, então o bfinject fornece o jtool do LiberiOS e o usa em seu lugar. O bfinject não usa o inject_criticald do Electra.

Créditos

• Stefan Esser (10n1c) pelas ideias e código originais por trás do dumpdecrypted (https://github.com/stefanesser/dumpdecrypted/blob/master/dumpdecrypted.c)
• Dmitry Rodionov pelo lorgnette (https://github.com/rodionovd/liblorgnette/)
• Jonathan Levin pelo jailbreak LiberiOS (http://newosxbook.com/liberios/)
• Ian Beer pelo exploit async_wake (https://bugs.chromium.org/p/project-zero/issues/detail?id=1417)
• Apple por um ótimo sistema operacional móvel