🏴‍☠️ Coruna iOS 漏洞利用工具包：CVE-2024-23222 研究

📌 概述

本仓库包含对 Coruna iOS 漏洞利用工具包 的全面技术分析和去混淆研究。该研究重点记录了漏洞利用链如何针对 CVE-2024-23222——WebKit 的 JavaScriptCore (JSC) 引擎中的一个高危类型混淆漏洞——以实现远程代码执行 (RCE)。

🔗 参考与致谢

• 漏洞来源：Sploitus - CVE-2024-23222 漏洞利用详情
• 原始研究者：34306 的 Coruna 分析

---

🏗️ 漏洞利用链架构

执行流程分为多个复杂阶段：

• 平台检测：通过 platform_module.js 识别 iOS 版本、检查锁定模式及模拟器状态。
• 阶段1：WASM 内存原语：利用基于 WASM 的内存损坏构建 addrof 和 fakeobj 原语。
• 阶段2：PAC 绕过：损坏 Intl.Segmenter 迭代器的虚函数表，通过 ARM64 小工具重定向虚方法调用以绕过 PAC 签名。
• 阶段3：沙箱逃逸：统筹 Mach-O 解析和符号解析以逃逸 WebKit 沙箱。
• 阶段4-6：载荷投递：最终投递加密的二进制数据块和 PLASMAGRID 暂存器。

---

📂 仓库结构

文件	描述
exploit_trigger.js	用于统筹漏洞利用链的入口点。
utility_module.js	低级类型转换和 Int64 运算的核心框架。
stage1_wasm_primitives.js	基于 WASM 的内存读/写原语的实现。
stage2_pac_bypass.js	指针验证码 (PAC) 绕过的逻辑。
stage3_sandbox_escape.js	Mach-O 载荷构建器和沙箱逃逸统筹。
fingerprint.js	遥测和 IP 检测模块。

---

📊 MITRE ATT&CK® 映射

• 初始访问：T1190 - 利用面向公众的应用程序
• 执行：T1059 - 命令和脚本解释器 (JavaScript)
• 权限提升：T1068 - 利用漏洞进行权限提升
• 防御规避：T1574.001 - 劫持执行流：代码缓存投毒

---

🧪 去混淆方法论

分析涉及逆向应用于原始源代码的多层混淆：

• XOR 编码字符串：映射字符代码以绕过静态分析。
• SHA1 密钥模块系统：通过 SHA256 文件名哈希识别异步模块。
• XOR 掩码常量：解码通过按位 XOR 操作隐藏的数值。

---

⚠️ 免责声明

本研究仅用于 教育和防御安全目的。严禁在第三方设备上进行未经授权的测试，这可能违法。