bl_sbx

Обход песочницы itunesstored и bookassetd

Этот репозиторий содержит доказательство концепции, демонстрирующее, как специально созданные базы данных downloads.28.sqlitedb и BLDatabaseManager.sqlite позволяют обойти песочницу itunesstored и bookassetd на iOS. Злоупотребляя их механизмами загрузки, POC позволяет записывать произвольные файлы, принадлежащие пользователю mobile, в ограниченные расположения внутри /private/var/, включая файлы кэша MobileGestalt—что позволяет вносить изменения в устройство, например подделывать тип устройства.

Ключевые моменты

• Совместимо с iOS 26.2b1 и ниже (протестировано на iPhone 12, iOS 26.0.1).
• Этап 1 (itunesstored): Доставляет специально созданный BLDatabaseManager.sqlite в доступный для записи контейнер.
• Этап 2 (bookassetd): Загружает управляемые атакующим EPUB-нагрузки в произвольные пути файлов.
• Пути для записи включают:
  • /private/var/containers/Shared/SystemGroup/.../Library/Caches/
  • /private/var/mobile/Library/FairPlay/
  • /private/var/mobile/Media/
• Демонстрирует изменение com.apple.MobileGestalt.plist для подтверждения успешной эксплуатации.

Результат

iOS не блокирует специально созданные задачи загрузки, что позволяет выполнять несанкционированную запись файлов, если только целевой путь не требует прав root (или владелец файла не является mobile).

Подробнее см. в блоге

Отказ от ответственности

Этот проект предназначен только для образовательных целей.
Не используйте его для незаконных действий.
Apple может устранить это поведение в любой момент.