WDBFontOverwrite

使用 CVE-2022-46689 在 iOS 上覆盖字体的概念验证应用。

适用于 iOS 16.1.2 及更早版本（已在 iOS 16.1 上测试），可在未越狱设备上运行。

IPA 可在 Releases 部分获取。

包含的字体：

• DejaVu Sans Condensed
• DejaVu Serif
• DejaVu Sans Mono
• Go Regular
• Go Mono
• Fira Sans
• Segoe UI
• Comic Sans MS
• Choco Cooky

您还可以导入为 iOS 移植的自定义字体。

屏幕截图

DejaVu Sans Condensed | DejaVu Serif | DejaVu Sans Mono | Choco Cooky

Go Regular | Go Mono | Segoe UI | Comic Sans MS

Hanna Soft + JoyPixels | Bronkoh | Noto Serif SC | Fira Sans

屏幕截图致谢：@ev_ynw 提供的移植 Hanna Soft 和 Bronkoh 字体，JoyPixels 提供的 emoji 字体

在哪里可以找到移植字体

• @ev_ynw
• @PoomSmart

已知问题

• 内置字体没有正确移植（我不知道如何移植字体）。为了获得最佳效果，请使用自定义字体。
  • 使用内置字体时：
  • 只有常规文本会使用更改后的字体：细体/中等/粗体文本会回退到 Helvetica。
  • 如果字体完全没有显示，请在辅助功能设置中关闭"粗体文本"。
• 应用中的文件选择器将无法打开，并显示错误"显示文档时出现问题。"
  • 如果您替换了 emoji 字体，或安装了多字重的字体，就会发生这种情况。
  • 尝试使用"Import custom with fix for .ttc"来应用实验性的 .ttc 修复。
• 已越狱或曾经越狱过的 iOS 14.x 设备将无法还原为原始字体。
  • 解决方法：如果您使用 iOS 14.x 且曾经越狱过，请不要使用此应用。相反，直接越狱并以正常方式替换字体。

字体转换

据我所知，CVE-2022-46689 问题只允许您覆盖每 16384 个字节中的 16383 个字节：页面的最后一个字节无法写入。

（我可能是错的）

为了解决这个问题，我使用 WOFF2 webfont 格式打包字体，该格式受 iOS 支持。WOFF2 使用 Brotli 进行压缩，这让我可以插入填充以跳过最后一个字节。

有关详细信息，请参阅 repackfonts/make_woff2src.sh：此脚本：

• 按照这个回答，使用 TTX 将字体重命名为 .SFUI-Regular
• 将字体重建为 .woff2
• 运行 repackfonts/BrotliPadding.swift 解压 WOFF2 文件并插入填充，以跳过第 16384 个字节

致谢

• 感谢 Project Zero 的 Ian Beer 发现 CVE-2022-46689。
• 感谢 Apple 提供测试用例和补丁。（我没有做任何更改：我只是将测试用例封装在一个库中。）
• 感谢 Twitter 上所有帮助并试验 CVE-2022-46689 的人，尤其是 @dedbedbedbed、@AppleDry05 和 @haxi0sm 探索了可以利用此问题做什么..
• Google 的 WOFF2 压缩器
• LIJI32 的 ttcpad
• Fontforge stripttc
• DejaVu 字体根据其许可证分发。
• Go 字体根据其许可证分发。
• Fira Sans 字体由 @jonpalmisc 转换 - 谢谢！
• Segoe UI 和 Comic Sans MS 是 Microsoft 的财产。
• Choco Cooky 是 Samsung 的财产。
• 我没有重新分发这些字体的任何权利，但我还是发布了它们，因为 #yolo。