苹果越狱不好搞,但他们居然两个月内针对三个最新版系统“越”了三次,这就很神奇了。
“他们”就是阿里巴巴的潘多拉实验室。
潘多拉实验室于 2017 年成立,此前仅在阿里先知创新大会上露过一次面,其安全研究员用视频演示了安卓8.0 的 Root 提权和 iOS 11.1 的完美越狱。
12 月 13 日,阿里安全潘多拉实验室称,已经完美越狱苹果 iOS 11.2。一天后,在苹果发布了 iOS 11.2.1之后的数小时内,他们又演示了针对该版本的完美越狱。
“完美越狱”是有技术含金量的。“非完美越狱”后的手机一旦重启,你就得重新手动操作一遍越狱流程,有点像“一次性”越狱。而完美越狱可在重启手机后,还能自动执行越狱代码,在重启前完成越狱。
人前厉害、风光,人后的苦可能只有研究者自己知道。
潘多拉实验室 iOS 11.2 的越狱作者龙磊对宅客频道表示, 2015 年初步研究苹果越狱时,十分孤独。有意思的是,上一个对宅客频道表达这种忧思的是腾讯科恩越狱了 iOS 11.1. 1 系统的著名黑客陈良。“越狱期间我买了一个小酒壶,郁闷时候喝两口,偶尔还能激发别的思路。”陈良说。
龙磊经历思路受阻,睡不着觉时,会喝两口意式浓缩,看看越狱和咖啡,到底哪一种更苦。
从“越狱生态”到“越狱苹果”
龙磊不是一开始就选择研究苹果越狱的。确切来说,一开始他想专职研究苹果系统越狱,但没敢。
“不敢”是有原因的。
2011 年,龙磊加入了腾讯手机卫士团队。当时,他在腾讯做的是越狱环境下的应用。。比如,苹果手机越狱后可以在非官方店下载第三方应用,他做的就是与第三方应用和生态相关的事情。2014 年 6 月,龙磊从腾讯离开时,中国还没有人成功实现苹果手机越狱。
在此之前,要去探索一座国人尚未涉猎过的高峰,不知道前方能否有所收获,可能需要积累勇气。不过,这并不妨碍他在工作之余自学越狱技术。
环境推了龙磊一把。
从友盟发布的数据看,越狱 iPhone 在手机总数中所占的比例从 2013 年第一季度时的 35% 下降到了当年年底时的 12% 。从 2013 年年底开始,越狱 iPhone 所占的比例稳定在了 10%-15% 之间。
“越狱的生态越来越萎缩,苹果生态研究变得没有那么有市场,感觉掉转方向的时机可能到了。”龙磊说。
2014 年 6 月,龙磊决定离开,去探寻可能可以追逐最初梦想的机会。
不料,6 月 24 日,中国有个叫做“盘古”的越狱团队与知名的第三方市场 PP 助手联合发布了国内首款 iOS7.1.1 完美越狱工具“盘古”。
龙磊看到这则新闻时,感到又惊喜又紧迫。
此时,他已经打算进入阿里巴巴的移动安全团队,准备探索 iOS 系统的不足——这个看上去离原来的兴趣更近一点了。但他依然没敢“正大光明”地宣告自己要越狱,还在积累技术。直到 2014 年底,龙磊觉得自己的技术“差不多了”,他所在的部门也很支持这件事。他觉得“越狱”这件事可以搞了。
选择研究“工具”还是“系统”
不过,事情没有那么顺利。
2015 年,龙磊陆续向苹果提交了一些漏洞,并带着自己关于构建通用漏洞挖掘工具的思路《Optimized fuzzing IOKIT in iOS》在世界著名黑客大会 Blackhat 2015 上进行了分享。台下,他还与苹果公司的工作人员聊了很多关于苹果系统机制的问题。
看上去顺风顺水。但是,一个念头闪了过来,龙磊突然觉得自己可能走岔了路。
龙认为,自己在通用的漏洞挖掘工具上投入了太多精力,却忽略了对苹果安全机制本身的研究。
2017年 12 月 18 日,龙磊和潘多拉实验室负责人宋杨坐在宅客频道面前时,是这样反思的——“对于苹果安全机制的研究恰恰是最重要的。”宋说,龙磊在以前阿里内部的经验分享上,还着重介绍了苹果越狱的两个技术流派:“气宗”和“剑宗”。
其实,这就是安全圈挖掘漏洞的两种主流的方式。第一种,开放通用的漏洞挖掘工具。第二种,完全不用工具,靠研究人员去做分析、看代码。
龙说,不能说哪种方法更好。如果面对是成熟度比较低的代码,使用漏洞挖掘的工具效率可能会更高,但如果面对的是 iOS 内核级的漏洞,它的代码过了很多年以及无数安全研究员的检验,代码发展已经变得非常稳定,这种情况下,通过深入分析和工具,效果会更好。
显然,龙磊认为,工具并不是自己朝苹果越狱前进最重要的东西,理解 iOS 系统,研究它的安全机制,才是验证苹果系统是否有“缺口”的关键所在。
这也是后来潘多拉实验室一直没有发布越狱工具的原因之一,宋杨认为,发布工具不是他们的目的,他们的初衷还是检测苹果系统是否“足够安全”,从攻击视角提升移动生态安全的水位。
挑战最难的模块,恰恰是最快的路
2016 年是龙磊最“痛苦”的一年。
及时调整方向后,原来的老搭档也来到了阿里,龙磊与他一起全身心地投入了苹果系统的深入研究与分析,并尝试用新思路来做这件事。
很快,他们完成了第一次越狱。但是,龙磊等人的喜悦并没有维持多久,苹果就进行了一次安全升级,这次的越狱马上失效了,龙磊等人研究出来的“越狱有效时间”只有 3 个月。“当时,我感受到了很强的挫败感,自己投入了很长时间研究的东西,苹果发布一个安全修补升级后,我们的努力一下子从100分降到了0分。”龙磊说。
随后的一年里,他们都在找漏洞—完成越狱—漏洞被苹果修补这三种状态间来回切换,龙磊等人与苹果玩着“猫捉老鼠”的游戏,一时间无法找到稳定的越狱方法,十分焦虑。
直到 2017 年,随着其研究的深入和经验的积累,龙磊等人才可以做到比较快速地应对苹果的安全升级,并且保持越狱的能力。
龙磊没有透露此次越 iOS 11.2 的手法。但宅客频道了解到, iOS 11.1 包含有存在缺陷的、可以被绕过的 SMAP 机制。苹果在 iOS 11.2 中修复了这个漏洞,迫使研究人员寻找其他绕过 SMAP 的方法。此次越狱 iOS 11.2 则利用了一个内存缓冲区溢出漏洞,触发内核错误。
龙磊告诉宅客频道,如果没有意外,他们走出来的“这条大道”在接下来苹果要发布的新版本中,大概率还能走得通。
他总结了一个经验:“以前出过安全问题的一些模块更有可能产生安全问题。但是业界对这些模块的关注度是一阵一阵的。比如,有人这一年关注这个模块,下一年关注另外一个模块,但我可能会选择回退好几年,去看大家曾经关注过的模块,那些看上去成熟度已经非常高的模块一旦找到漏洞,或者安全机制上的问题,就不那么容易被修补。”
不追热点,能回头反思,找成熟度最高的模块下手,挑战看上去最不可能的路,对龙磊而言,恰恰是走得最快的那条路。
本文转载自雷锋网,原标题为《“黑客”龙磊:越狱 iOS 11.2,我选了一条最难走的路》