从漏洞到越狱：Fugu如何利用checkm8实现iOS内核级权限获取

从漏洞到越狱：Fugu如何利用checkm8实现iOS内核级权限获取

【免费下载链接】FuguFugu is the first open source jailbreak based on the checkm8 exploit项目地址: https://gitcode.com/gh_mirrors/fugu/Fugu

Fugu是首个基于checkm8漏洞的开源越狱工具，它通过利用硬件级漏洞实现对iOS设备的内核级权限获取。本文将深入解析Fugu的工作原理，从漏洞利用到内核权限获取的完整流程，帮助读者理解这一技术的核心机制。

什么是checkm8漏洞？

checkm8是由安全研究员axi0mX发现的硬件级漏洞，影响Apple A5至A11芯片的iOS设备。该漏洞存在于设备的Boot ROM中，这是iOS设备启动时首先运行的代码，具有极高的权限且无法通过软件更新修复。

Fugu项目在多个文件中引用了checkm8漏洞，例如在checkm8/DeviceConfig.swift中，加载了名为"checkm8_arm64"的shellcode：

let s5l8960x_shellcode = loadShellcode64(name: "checkm8_arm64", constants: constants_checkm8_s5l8960x)

在Shellcode/checkm8_arm64.S文件中，明确标注了该代码来自axi0mX的原始checkm8漏洞：

// Code from the original checkm8 exploit by axi0mX

Fugu的核心组件

Fugu项目由多个关键组件构成，协同工作实现完整的越狱流程：

Fugu应用程序

Fugu主程序是整个越狱过程的入口点，负责协调各个组件的工作。在README.md中描述了其功能：

Fugu: The macOS Application that exploits your iDevice using checkm8 and uploads iStrap, iStrap loader and iDownload.

用户通过运行Fugu iStrap命令启动越狱过程，该命令会触发设备漏洞利用并上传后续所需的组件。

iStrap：内核引导程序

iStrap是Fugu的核心组件之一，负责引导和修补内核。在iStrap/iStrap/main.c中可以看到其启动信息：

puts(" Welcome to iStrap! "); puts(" iStrap kernel bootstrapper ");

iStrap的主要功能包括：

• 修补内核漏洞
• 注入启动参数
• 将shellcode注入内核

在iStrap/iStrap/patch.c中，iStrap会应用内核补丁：

puts("[*] Applying kernel patches..."); puts("[+] Successfully patched kernel!");

iDownload：设备通信工具

iDownload是一个小型应用程序，在越狱过程中运行在iOS设备上，提供文件上传和命令执行功能。在iDownload/iDownload/server.c中，iDownload会显示欢迎信息：

fprintf(f, "iDownload version " VERSION " ready.\r\n"); fprintf(f, "iDownload> ");

iDownload通过端口1337监听连接，提供类bash的交互界面，方便用户与越狱后的设备进行通信。

Fugu的工作流程

Fugu实现iOS内核级权限获取的过程可以分为以下几个关键步骤：

1. 漏洞利用阶段

Fugu首先通过checkm8漏洞获取设备的初始访问权限。在checkm8/PwnUSB.swift中，有一个函数专门负责漏洞利用：

func exploit(status: StatusIndicator?) throws { // 漏洞利用代码 }

当设备成功被漏洞利用后，会在设备序列号中标记"PWND:[checkm8]"：

if serialNumber.contains("PWND:[checkm8]") { // 设备已被漏洞利用 }

2. 加载iStrap引导程序

漏洞利用成功后，Fugu会将iStrap加载到设备中。在Modules/iStrap_module.swift中定义了iStrap模块：

class iStrapModule: CommandLineModule { static var name: String = "iStrap" static var description: String = "Send iStrap to device and boot kernel.\nCurrently supports: t8010, t8011.\nDevice will be pwned if it is not already." }

iStrap被加载后，会负责后续的内核引导和修补工作。

3. 内核修补与权限提升

iStrap的核心功能是修补内核，实现权限提升。在iStrap/iStrap/patch.c中，applyKernelPatches函数负责应用各种内核补丁：

void applyKernelPatches(boot_args *args, bool iDownloadPresent, void *iDownloadLoc, size_t iDownloadSize, bool restoreFS) { // 内核补丁代码 }

这些补丁包括禁用代码签名验证、修改文件系统权限等，为后续的越狱环境准备打下基础。

4. 注入shellcode

为了实现对内核的深度控制，Fugu会向内核注入精心编写的shellcode。在iStrap/iStrap/shellcode.S中可以看到这些shellcode的实现：

.globl rw_root_shellcode_start rw_root_shellcode_start: // shellcode实现

这些shellcode负责执行各种高级操作，如挂载文件系统、启动后台进程等。

5. 启动iDownload服务

最后，Fugu会在设备上启动iDownload服务，为用户提供与越狱设备交互的接口。在iStrap/iStrap/main.c中，iStrap会解压并启动iDownload：

if (iDownload_size != 0) { puts("[*] Decompressing iDownload..."); // 解压和启动iDownload的代码 }

如何使用Fugu进行越狱？

对于普通用户，使用Fugu进行越狱非常简单。根据README.md的说明，只需将设备进入DFU模式，然后运行以下命令：

git clone https://gitcode.com/gh_mirrors/fugu/Fugu cd Fugu # 编译Fugu（具体编译步骤请参考项目文档） Fugu iStrap

Fugu会自动完成漏洞利用、内核修补等所有步骤，并安装Sileo、SSH和Substitute等必要工具，使设备获得完整的越狱环境。

结语

Fugu项目通过巧妙利用checkm8硬件漏洞，实现了对iOS设备的内核级权限获取。其模块化的设计，包括Fugu主程序、iStrap引导程序和iDownload通信工具，构建了一个完整的越狱生态系统。

虽然越狱技术本身存在一定的复杂性，但Fugu项目通过开源的方式，为安全研究人员和开发者提供了一个深入了解iOS内核和漏洞利用的绝佳平台。对于普通用户而言，Fugu也提供了简单易用的越狱体验，只需几个命令即可完成整个过程。

随着iOS系统的不断更新，越狱技术也在持续发展。Fugu作为基于checkm8漏洞的首个开源越狱工具，无疑在iOS越狱历史上留下了重要的一笔。

【免费下载链接】FuguFugu is the first open source jailbreak based on the checkm8 exploit项目地址: https://gitcode.com/gh_mirrors/fugu/Fugu