作者:CodeColorist
微博:https://weibo.com/ttarticle/p/show?id=2309404354112320866984#_0

10.13.6 和更早版本的 mac 存在一个低级 bug,只要一行代码即可完成 Safari 沙箱逃逸

简述

这个 CoreFoundation 中的漏洞影响直到 macOS High Sierra 10.13.6 (17G65),在 Mojave 中无意中被重构代码“修复”掉了。

复现只要一行。在 10.13.6 的系统中先关闭 SIP 以便调试 Safari 进程,然后附加到 com.apple.WebKit.WebContent.xpc 并输入如下命令:

po CFPreferencesSetAppValue(@"Label", @"You know what should be put here", [(id)NSHomeDirectory() stringByAppendingPathComponent:@"Library/LaunchAgents/evil.plist"])

写都可以,读自然不是问题

虽然进程有沙箱,但奇怪的是代码被成功执行,在 ~/Library/LaunchAgents 里添加了一个 plist。不仅可以实现沙箱外执行任意代码,连持久化都做了。

原理

CFPreferences 系列函数对于 App 开发者并不陌生,虽然绝大多数情况下使用的是 NSUserDefaults。这系列函数可以根据指定 domain 来读写 plist 的键值对信息。默认情况下会保存在 ~/Library(root 权限的进程是 /Library 下)的 Preferences 目录。给 domain 传入绝对路径也是支持的。

https://developer.apple.com/documentation/corefoundation/1515528-cfpreferencessetappvalue?language=objc

XPC 的服务端实现在 CoreFoundation 当中。由于操作跨进程,在服务端自然有沙箱检测判断:

cfprefsd 使用 sandbox_check 确保对方具有权限

sandbox_check 这个函数使用 pid 作为参数,可能会受到 pid reuse 的攻击。但在这里有一个更明显更暴力的 bug,就是 CoreFoundation 在处理请求的时候,在第一次 sandbox_check 对方进程是否有沙箱,如果不是,就会给当前会话记录一个标志位。此后每一次 CFPreferences 相关的操作都会先检查这个标志位,然后再做判断。

这样就存在一个 TOCTOU 的问题,如果一个进程在没有沙箱的情况下访问了 CFPreferences,之后即使进程有了沙箱,cfprefsd 仍然会错误地认为这是一个普通进程,而放行操作。

TOCTOU

很不巧 Safari 的沙箱进程默认就满足这一条件。

渲染器的沙箱配置默认禁止创建新进程(process-exec),WebKit 无法在设置沙箱之后再启动渲染器。因此 renderer 在初始化时其实是没有沙箱的,而在之后调用 ChildProcess::initializeSandbox 进入沙箱状态,再载入网页等内容。

手动进入沙箱

由于 renderer 在初始化期间通过 +[NSApplication initialize] 内部方法,“不小心”有了 CFPreferences 的访问记录:

frame #17: 0x00007fff454e015a CoreFoundation` _CFPreferencesCopyAppValueWithContainerAndConfiguration + 107
frame #18: 0x00007fff47868b94 Foundation` -[NSUserDefaults(NSUserDefaults) init] + 1423
frame #19: 0x00007fff47870c3a Foundation` +[NSUserDefaults(NSUserDefaults) standardUserDefaults] + 78
frame #20: 0x00007fff42a3ba4e AppKit` +[NSApplication initialize] + 90
frame #21: 0x00007fff71678248 libobjc.A.dylib` CALLING_SOME_+initialize_METHOD + 19
frame #22: 0x00007fff7166800c libobjc.A.dylib` _class_initialize + 282
frame #23: 0x00007fff71667a19 libobjc.A.dylib` lookUpImpOrForward + 238
frame #24: 0x00007fff71667494 libobjc.A.dylib` _objc_msgSend_uncached + 68
frame #25: 0x0000000100001627 com.apple.WebKit.WebContent` ___lldb_unnamed_symbol1$$com.apple.WebKit.WebContent + 519
frame #26: 0x00007fff72743ed9 libdyld.dylib` start + 1

此后即使浏览器添加了 sandbox,仍然会畅通无阻。

利用

使用绝对路径读写 plist 已经可以实现持久化,但是仍然需要注销或重启等操作触发启动项。笔者使用了另一个有趣的 feature 实现了立刻逃逸执行代码,并向受害者发出精神污染,完全抛弃“不弹不闪不卡”。


Paper 本文由 Seebug Paper 发布,如需转载请注明来源。本文地址:https://paper.seebug.org/868/