macOS IOKit
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
El I/O Kit es un framework de controladores de dispositivos de código abierto y orientado a objetos en el núcleo XNU, que maneja controladores de dispositivos cargados dinámicamente. Permite que se agregue código modular al núcleo sobre la marcha, soportando hardware diverso.
Los controladores de IOKit básicamente exportan funciones del núcleo. Los tipos de parámetros de estas funciones son predefinidos y son verificados. Además, similar a XPC, IOKit es solo otra capa sobre los mensajes Mach.
El código del núcleo IOKit XNU es de código abierto por Apple en https://github.com/apple-oss-distributions/xnu/tree/main/iokit. Además, los componentes de IOKit en el espacio de usuario también son de código abierto https://github.com/opensource-apple/IOKitUser.
Sin embargo, ningún controlador de IOKit es de código abierto. De todos modos, de vez en cuando, un lanzamiento de un controlador puede venir con símbolos que facilitan su depuración. Consulta cómo obtener las extensiones del controlador del firmware aquí.
Está escrito en C++. Puedes obtener símbolos C++ demangled con:
Las funciones expuestas de IOKit podrían realizar verificaciones de seguridad adicionales cuando un cliente intenta llamar a una función, pero ten en cuenta que las aplicaciones suelen estar limitadas por el sandbox con el que pueden interactuar las funciones de IOKit.
En macOS se encuentran en:
/System/Library/Extensions
Archivos KEXT integrados en el sistema operativo OS X.
/Library/Extensions
Archivos KEXT instalados por software de terceros
En iOS se encuentran en:
/System/Library/Extensions
Hasta el número 9, los controladores listados están cargados en la dirección 0. Esto significa que no son controladores reales, sino parte del núcleo y no se pueden descargar.
Para encontrar extensiones específicas, puedes usar:
Para cargar y descargar extensiones del kernel, haz lo siguiente:
El IORegistry es una parte crucial del marco IOKit en macOS e iOS que sirve como una base de datos para representar la configuración y el estado del hardware del sistema. Es una colección jerárquica de objetos que representan todo el hardware y los controladores cargados en el sistema, y sus relaciones entre sí.
Puedes obtener el IORegistry usando la cli ioreg para inspeccionarlo desde la consola (especialmente útil para iOS).
Podrías descargar IORegistryExplorer de Xcode Additional Tools desde https://developer.apple.com/download/all/ e inspeccionar el macOS IORegistry a través de una interfaz gráfica.
En IORegistryExplorer, se utilizan "planos" para organizar y mostrar las relaciones entre diferentes objetos en el IORegistry. Cada plano representa un tipo específico de relación o una vista particular de la configuración de hardware y controladores del sistema. Aquí hay algunos de los planos comunes que podrías encontrar en IORegistryExplorer:
IOService Plane: Este es el plano más general, que muestra los objetos de servicio que representan controladores y nubs (canales de comunicación entre controladores). Muestra las relaciones proveedor-cliente entre estos objetos.
IODeviceTree Plane: Este plano representa las conexiones físicas entre dispositivos a medida que están conectados al sistema. A menudo se utiliza para visualizar la jerarquía de dispositivos conectados a través de buses como USB o PCI.
IOPower Plane: Muestra objetos y sus relaciones en términos de gestión de energía. Puede mostrar qué objetos están afectando el estado de energía de otros, útil para depurar problemas relacionados con la energía.
IOUSB Plane: Enfocado específicamente en dispositivos USB y sus relaciones, mostrando la jerarquía de hubs USB y dispositivos conectados.
IOAudio Plane: Este plano es para representar dispositivos de audio y sus relaciones dentro del sistema.
...
El siguiente código se conecta al servicio IOKit "YourServiceNameHere" y llama a la función dentro del selector 0. Para ello:
primero llama a IOServiceMatching y IOServiceGetMatchingServices para obtener el servicio.
Luego establece una conexión llamando a IOServiceOpen.
Y finalmente llama a una función con IOConnectCallScalarMethod indicando el selector 0 (el selector es el número que se le ha asignado a la función que deseas llamar).
Hay otras funciones que se pueden usar para llamar a funciones de IOKit además de IOConnectCallScalarMethod como IOConnectCallMethod, IOConnectCallStructMethod...
Podrías obtener estos, por ejemplo, de una imagen de firmware (ipsw). Luego, cárgalo en tu desensamblador favorito.
Podrías comenzar a desensamblar la función externalMethod ya que esta es la función del controlador que recibirá la llamada y llamará a la función correcta:
Esa horrible llamada desmanglada significa:
Nota cómo en la definición anterior falta el parámetro self, la buena definición sería:
En realidad, puedes encontrar la definición real en https://github.com/apple-oss-distributions/xnu/blob/1031c584a5e37aff177559b9f69dbd3c8c3fd30a/iokit/Kernel/IOUserClient.cpp#L6388:
Con esta información puedes reescribir Ctrl+Right -> Edit function signature y establecer los tipos conocidos:
El nuevo código decompilado se verá así:
Para el siguiente paso necesitamos tener definida la estructura IOExternalMethodDispatch2022. Es de código abierto en https://github.com/apple-oss-distributions/xnu/blob/1031c584a5e37aff177559b9f69dbd3c8c3fd30a/iokit/IOKit/IOUserClient.h#L168-L176, podrías definirla:
Ahora, siguiendo el (IOExternalMethodDispatch2022 *)&sIOExternalMethodArray puedes ver muchos datos:
Cambia el tipo de dato a IOExternalMethodDispatch2022:
después del cambio:
Y como ahora sabemos que hay un array de 7 elementos (verifica el código decompilado final), haz clic para crear un array de 7 elementos:
Después de que se crea el array, puedes ver todas las funciones exportadas:
Si recuerdas, para llamar a una función exportada desde el espacio de usuario no necesitamos llamar al nombre de la función, sino al número de selector. Aquí puedes ver que el selector 0 es la función initializeDecoder, el selector 1 es startDecoder, el selector 2 initializeEncoder...
Aprende y practica AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
