bl_sbx

itunesstored 与 bookassetd 沙盒逃逸

本仓库包含一个概念验证，演示了如何利用恶意构造的 downloads.28.sqlitedb 和 BLDatabaseManager.sqlite 数据库，在 iOS 上逃逸 itunesstored 和 bookassetd 的沙盒。通过滥用它们的下载机制，该 POC 能够将任意 mobile 用户拥有的文件写入 /private/var/ 下的受限位置，包括 MobileGestalt 缓存文件——从而实现设备修改，例如伪造设备类型。

关键点

• 兼容 iOS 26.2b1 及以下版本（已在 iPhone 12、iOS 26.0.1 上测试）。
• 阶段 1（itunesstored）： 将构造的 BLDatabaseManager.sqlite 投递到可写容器中。
• 阶段 2（bookassetd）： 将攻击者控制的 EPUB 负载下载到任意文件路径。
• 可写路径包括：
  • /private/var/containers/Shared/SystemGroup/.../Library/Caches/
  • /private/var/mobile/Library/FairPlay/
  • /private/var/mobile/Media/
• 演示修改 com.apple.MobileGestalt.plist 以验证利用成功。

结果

iOS 未能阻止构造的下载任务，允许未经授权的文件写入，除非目标路径需要 root 所有权（或者文件所有者不是 mobile）。

查看博客文章了解更多信息

免责声明

本项目仅供教育目的使用。
请勿将其用于非法活动。
Apple 可能随时修补此行为。