analyselockdownd

lockdownd  时间:2021-02-20  阅读:()
Investigationnumérique&terminauxAppleiOSAcquisitiondedonnées1MathieuRENARDANSSI/LAMmathieu.
renard[à]ssi.
gouv.
fr2Constat#Démocratisationdel'usageterminauxmobileenentreprise–Stockaged'informationsprofessionnelles–Sécurité,managementdesterminauxmalounonmaitrisé#Menaces–Accèsillégitimesaudonnéesprofessionnelles/réseaudel'entité–Usurpationd'identité–Atteinteàladisponibilitéduterminal#Risquesaccentuésparlecaractèremobiledesterminaux(perte,vol)#Lesterminauxmobilessontdesciblesdechoixpourlesattaquants3InvestigationnumériqueiOSOutils#FrameworkiPhoneDataProtection–Acquisitionphysique(iPhone4etinférieur)#iPhoneBackupanalyzer2–AnalysedessauvegardesiOS#CelebriteUFED–Solutioncommerciale–Acquisitionphysique(iPhone4etinférieur)–AcquisitionLogique(backup&AFC)4Investigationnumérique&terminauxAppleiOS#Lalisted'outilsd'investigationnumériquepouriOSestlimitée#Aucunoutilnepermetd'infirmerouconfirmerunecompromission#Nécessitédedévelopperdesméthodesetoutils5iPhoneArchitectureetsécuritéhttp://iphoneroot.
com/ipad-mini-gets-x-rayed-photo/#more-187116BCM43342Wi-FiSoCSKHynixH2JTDG8UD3MBR16GBNANDAppleA7APL0698SoCQualcommMDM9615MLTEModem(BaseBand)QualcommWTR1605LLTE/HSPA+/CDMA2K/TDSCDMA/EDGE/GPS(Tranceiver)NXPLPC1800M7Motioncoprocessor(CortexM3)ArchitecturematérielleLet'sopentheboxhttp://www.
chipworks.
com/en/technical-competitive-analysis/resources/blog/inside-the-iphone-5s/7A7LTEModemQualcommMDM9615M1GBDDR21GBDDSDRAMBCM43342Wi-FiSoC16/32/64GBeMMC/NANDQualcommWTR1605LLTE/HSPA+/CDMA2K/TDSCDMA/EDGE/GPSCapteurs&ContrleurLCDEcranLCD4''CamerasCMOSFrontendRadio128MBSDRAMARM64GPUUSBCoprocesseurCryptoArchitecturematérielle(Simplifiée)iPhone5S8MécanismesdesécuritéiOSEn30secondes…SecureBootApplicationsSandboxSignaturedecodeExploitmitigationiPhoneDataProtectionENTERCODE9Investigationnumérique&terminauxAppleiOSAcquisitionphysique10VulnérabilitésBootROM#ExécutiondecodevialemodeDFU(devicefirmwareupdate)–LeBootROMestenlectureseule–Fonctionnequelquesoitlaversiond'iOSinstallée–Permetdechargerlenoyauet/ouramdiskalternatifnonsignésTechniquesimilaireaubootsurunliveCD/liveUSB–AccèsenlectureaucontenusdelaNAND(APIdebasniveau)#Exploitspublics–Pwnage2:iPhone2G,iPhone3G–Steaks4uce:iPodTouch2G–Limera1n:iPhone3GS,iPad1,iPhone411RAMBootROMLLBiBootAppsRedsnow/opensnowiBECpersonnaliséNoyauetRamdiskpersonnalisésNoyauRamdiskpersonnalisésshdiBSSiBECusbmuxdsshServicesNoyauMémoireFlashExploitationetTéléchargementiBSSpersonnaliséLimera1netanalyseforensicsAcquisitiond'uneimagedelaflashNANDMODEDFUMODENORMALUSBPipe12AcquisitionphysiquededonnéesConclusion#LecturedirectedelaNAND–Acquisitiondusystèmedefichiercomplet–Récupérationdefichierseffacés#FrameworkiPhoneDataProtection–MaintenuparJeanSigvald(Sogeti)–Acquisitiond'uneimagedelaflashNAND–MontageVFL/FTLpouraccéderàl'étatactueldelapartitiondedonnées–Constructiond'unelistedetouteslesversionsdisponiblesdechaquebloclogique#PossibleuniquementsuriPhonelockdowndDemandededémarrageduserviceAFCPairingrequestServiceAFCClientAFCUSBMuxdlibmobiledevicePairingOKXMLPlist/USBpipeServiceAFCEnécoutesurleport:XXXCommandesAFCRésultatsCommuniqueravecuniPhoneServicesiTunesTerminal16InvestigationnumériqueetservicesiTunesConfiguration&userdatabasescom.
apple.
mobile.
file_relayDebugging&Instrumentationcom.
apple.
pcapdcom.
apple.
syslog_relayBackupscom.
apple.
mobilebackupcom.
apple.
mobilebackup2Fichiers&Mediascom.
apple.
afccom.
apple.
mobile.
house_arresthttps://docs.
google.
com/file/d/0B0Va1DwwuHR-TmhQcEpHR1lpT1k/editpli=117Whats0nDEMO:Démonstrationd'acquisitionLogique18AcquisitionlogiquededonnéesConclusion#RequiertL'autorisationdel'utilisateur–Déverrouillageduterminal–Extractionetutilisationdesfichiersgénéréslorsdel'appairage#Récupérationdesdonnéesstockéessurleterminal#Récupérationdefichierseffacésimpossible#Acquisitiondusystèmedefichiercompletimpossible19Investigationnumérique&terminauxAppleiOSAcquisitionLogiqueIntrusive.
/p0sixspwn20ADVISORYSECURITYINSECURITYAHEAD21JailbreakAvertissement#Cecin'estpasuneincitationàl'exploitationouauJailbreak#Jailbreak–Désactivationdesfonctionnalitésdesécuritédesterminaux–Augmentationdelasurfaced'attaque–Augmentationdurisquedecompromission#L'ANSSIincitesystématiquementleséditeursàcorrigertoutesvulnérabilitésidentifiées,danslesplusbrefsdélais#Lesutilisateurssontinvitésàappliquerlescorrectifsdèsleurspublications22JailbreakAvertissement#Cecin'estpasuneincitationàl'exploitationouauJailbreak#Jailbreak–Désactivationdesfonctionnalitésdesécuritédesterminaux–Augmentationdelasurfaced'attaque–Augmentationdurisquedecompromission#L'ANSSIincitesystématiquementleséditeursàcorrigertoutesvulnérabilitésidentifiées,danslesplusbrefsdélais#Lesutilisateurssontinvitésàappliquerlescorrectifsdèsleurspublications23#InvestigationNumérique–Collecteetidentificationdepreuve–Traabilitédesactionsréalisées–Reproductibilitédel'analyse#Jailbreak–Désactivationdesfonctionnalitésdesécurité–Modificationspersistantes–Absencededocumentationdesmodifications#Incompatiblesaveclesobjectifsdel'investigation–ConservationdelapreuveInvestigationnumériqueetJailbreakJailbreak24AnalysedesJailbreaksevasi0n7etp0sixpwn#Identificationdesmodificationsréaliséessurlesystème#Identificationdetechniquesutilisablesdanslecontexteforensique#ApplicationdestechniquesdeJailbreakàl'analyseforensique–Réductiondel'impactsurlesystème–Maitriseettraabilitédesmodifications#Activationtemporaired'unecopiedéverrouilléeduservice–Permetd'acquérirl'intégralitédesfichiers–Impactsurlesystèmevariableenfonctiondelaversiond'iOS–Impactmatrisé25DébridageduserviceAFCiOS6.
x.
x-MobileStorageMounter#com.
apple.
mobile_image_mounter–ServiceutilisépourmonterdesimagesDMGsignées–Montagedesoutilsdedéveloppement–MontagedesoutilsdemiseàjourOTAiOS6#RaceconditiondansMobileStorageMounter–VulnérabilitéidentifiéeparComex–Leakducoded'exploitation(2013)–Réutilisationducodepar.
/p0sixspwn(2013)–Autoriselemontaged'uneimageDMGnonsignée26DébridageduserviceAFCiOS6.
x.
x:Racecondition&MobileStorageMounter#Montaged'uneimageDMG–Téléchargementdel'imagedans/var/mobile/Media–Calculdel'empreinte–Vérificationdelasignature–Déplacementl'imagedansunezonenonaccessible–Montagedel'image#Absencedeverrouentrelecalculdel'empreinteetlemontage–Possibilitéderemplacerl'imageaprèsvérification27DébridageduserviceAFCiOS6.
x.
x.
/p0sixSpwnstyle#Créationd'uneimagepersonnalisée–Fichierdeconfigurationd'unserviceAFCpersonnaliséExécutiondepuislerépertoireracine(option-d/)Autorisationd'accèsauxfichiersspéciaux(option-S)#Téléchargementdel'imagesignéeetdel'imagepersonnalisée#Remplacementdel'imagesingéparuneimagepersonnalisée#DemandededémarrageduserviceAFCdébridé28ShareUnl0ckDEMO:AcquisitionLogiqueintrusiveiOS6.
x.
x29DébridageduserviceAFCLecasd'iOS7.
0.
x-Elémentsdecontexte#com.
apple.
afc–Servicedetransfertdefichiers–Servicegérépar/usr/libexec/afcd–UtilisépariTuneslorsdesphasesdesynchronisation–Accèslimitéauxcontenusdurépertoire/var/mobile/Media–Possibilitéd'accèsauxcontenusdesapplicationstierces#Activationtemporaired'unecopiedéverrouilléeduservice–DémarrageduserviceAFCàl'aidedelockdowndimpossible–VulnérabilitésutiliséesparlesJailbreaksprécédantcorrigées–Systèmedefichierenlectureseul–Impossibledecréerunexécutabledansunrépertoirecontrléparl'utilisateur–AfcdInitialisesapropresandboxlorsdudémarrage/usr/lib/system/libsystem_sandbox.
dylib30DébridageduserviceAFCiOS7.
0.
x–Notyetanotherevasi0n…Créationd'unfichierRWXShareUnl0ckModificationdufichierRWXRemplacementdeShareUnl0ckparunshebang#!
/usr/libexec/afcdContournementdelasandboxafcdCréationd'unebibliothèque:ShareUnl0ck.
dylibChargementdeShareUnl0ck.
dylibaudémarragedeShareUnl0ckModificationdecom.
apple.
mobile.
installation.
plisthttp://geohot.
com/e7writeup.
htmlhttp://evasi0n.
com/ExécutiondeShareUnl0ckDébridagedeafcd31DébridageduserviceAFCObtentiond'unfichierdisposantdesdroitsRWX#installd–Serviceenchargedel'installationdesapplications#Directorytraversaldansinstalld–Requiertl'utilisationd'uneapplicationsignéeparApple–Extractiondel'application–Téléchargementducontenudupaquetdel'applicationsurleterminal/var/mobile/Media/–Modificationduchemindel'exécutabledanslefichierinfo.
plistCFBundleExecutablevar/mobile/Media/myapp.
app/myapp–Reconstructiondupaquetdel'applicationCustomApp.
ipa–Installationdel'applicationmodifiéeInstalld=>chmod+xvar/mobile/Media/myapp.
app/myapphttp://geohot.
com/e7writeup.
htmlhttp://evasi0n.
com/32DébridageduserviceAFCConfigurationduserviceAFC#Modificationdufichierexécutabledéployédans/var/mobile/media#Acestade,leserviceAFCesttoujourssoumis–Alapolitiqued'isolationdusystème#Leserviceafcdinitialisesapropresandbox–/usr/lib/system/libsystem_sandbox.
dylib#Possibilitéd'interposerunebibliothèquespécialementconuepourinterdirel'initialisationdelasandbox#!
/usr/libexec/afcd-S-d/-p8888http://geohot.
com/e7writeup.
htmlhttp://evasi0n.
com/33DébridageduserviceAFCContournementdelaSandbox#Re-exportationdesfonctionsàl'aidedeLazyBindings–Techniqueintroduitedansevasi0n(iOS6)–PrésentationdétailléesurleblogdeQuarksLab#Contournementdelasignaturedecode–S_ATTR_LOC_RELOCdéfinispourtouteslessectionsexécutables–+xretirédechaquesectionexécutables:AprèsvérificationduheaderMaisavantlemappageenmémoirepourvérificationdelasignaturehttp://blog.
quarkslab.
com/evasi0n-jailbreak-precisions-on-stage-3.
htmlhttp://geohot.
com/e7writeup.
htmlMACH-OKungFu34DébridageduserviceAFCModificationdesvariablesd'environnement#Chargementdelabibliothèquenonsignée–Utilisationdelavariabled'environnementDYLD_INSERT_LIBRARY–Lectureducontenudufichiercom.
apple.
installation.
plist/private/var/mobile/Library/Cache/com.
apple.
mobile.
installation.
plistContientlesparamètresdelancementdesapplicationsTéléchargeablevialeservice:com.
apple.
mobile.
file_relay#Modificationducontenudufichiercom.
apple.
installtion.
plistImpossibleenfonctionnementnominalhttp://geohot.
com/e7writeup.
htmlhttp://evasi0n.
com/35DébridageduserviceAFCModificationdesvariablesd'environnement#installd–Serviceenchargedel'installationdesapplicationsAppleiOSsignées–Nonsoumisauxrèglesd'isolationimposéesparlasandbox#Raceconditiondansinstalld–Extractionducontenud'unfichierzipsurlesystème–L'extractionducontenudelachargeactivedanslerépertoire:var/mobile/Library/Caches/–Permetd'actualisercom.
apple.
mobile.
installation.
plist–Requiertunaccèsaurépertoire/tmphttp://geohot.
com/e7writeup.
htmlhttp://evasi0n.
com/36DébridageduserviceAFCChargementdelabibliothèquenonsignée#com.
apple.
afc–Servicegérépar/usr/libexec/afcd–UtilisépariTuneslorsdesphasesdesynchronisation–Accèslimitéauxcontenusdurépertoire/var/mobile/Media–Possibilitéd'accèsauxcontenusdesapplicationstierces–Intègredesfonctionsencharged'interdireledirectorytraversal#Directorytraversal&afcd–Lorsdelacréationd'unliensymboliqueafcdcomptelenombrede.
.
/–Interdictiond'accèsauxfichierssituésàl'extérieurdurépertoireracine–Ledéplacementduliendansunrépertoiredeniveauinférieurpermetdecontournercemécanismedeprotectionhttp://geohot.
com/e7writeup.
htmlhttp://evasi0n.
com/37DébridageduserviceAFCMiseàjourducacheetdémarrageduservice#Rechargementdescaches–com.
apple.
mobile.
installation.
plist,…–Utilisationduservicecom.
apple.
diagnostique_relay–Redémarragelesystème#LancementduserviceAFCdébridé–Lancementdel'applicationmodifiéeparl'analysteShareUnl0ckhttp://geohot.
com/e7writeup.
htmlhttp://evasi0n.
com/38ShareUnl0ckDEMO:AcquisitionLogiqueintrusiveiOS7.
0.
x39AcquisitionlogiqueintrusiveConclusion#RequiertL'autorisationdel'utilisateur–Déverrouillageduterminal–Extractionetutilisationdesfichiersgénéréslorsdel'appairage#Récupérationdesdonnéesstockéessurleterminal#Acquisitiondusystèmedefichiercomplet#Récupérationdefichierseffacésimpossible40iOSForensicsRésultats41Analysedifférentield'unsystèmeJailbraké#Acquisitiond'uneimagederéférence–Apartird'unfirmwareApple–Apartird'unterminalApple#Comparaisondesimages–Identificationdesfichiersconnus(Listeblanche/Listenoire)–ContextTriggeredPiecewiseHashing(CTPH)InitialementdéveloppéparAndrewTridgell:détectiondespamTransposéaumondeduforensicsparJesseKornblumOutils:ssdeep,binwally42CTPHIdentificationdesmodificationssurunterminalJailbreaké25differsetc/fstab25differsprivate/etc/fstab>>>uniquetarget/var/mobile/Media/.
evasi0n7_installed>>>uniquetarget/var/mobile/Media/jailbreak.
log>>>uniquetarget/private/var/tmp/evasi0n-started[.
.
]>>>uniquetarget/System/Library/LaunchDaemons/com.
evad3rs.
evasi0n7.
untether.
plist>>>uniquetarget/System/Library/LaunchDaemons/com.
saurik.
Cydia.
Startup.
plist>>>uniquetarget/System/Library/Caches/com.
apple.
xpcd/xpcd_cache.
dylib>>>uniquetarget/System/Library/Caches/com.
apple.
dyld/enable-dylibs-to-override-cache[.
.
]>>>uniquetarget/tmp/evasi0n-started>>>uniquetarget/pri/vate/var/mobile/Media/.
evasi0n7_installed>>>uniquetarget/private/var/mobile/Media/jailbreak.
log>>>uniquetarget/evasi0n7>>>uniquetarget/evasi0n7-installed43CTPHLimites#L'analysedespériphériquesn'estpaspriseencharge–Réalisationd'uneanalysemanuelle–Identificationdedeuxpériphériquessuspects#L'imagedunoyaun'estpasmodifiée–Evasi0npatchlenoyaulorsdudémarrage/dev/hax-ptsd/dev/hax-test100matchesSystem/Library/Caches/com.
apple.
kernelcaches/kernelcache44InvestigationnumériqueetiOSCompatibilité==45Compatibilitédesméthodesd'acquisitionsModèleAcquisitionphysique(sansjailbreak)AcquisitionlogiqueiPhone≤4OuiOui(Equipementdéverrouillé)iPhone≥4sNoniPad1OuiiPad≥2NoniPad≤2OuiVersionAcquisitionlogiquenonintrusiveAcquisitionlogiqueintrusiveiOS7.
0.
6Non46Conclusion47Conclusion1/2#Acquisitionphysiquedesdonnées–Méthodelapluspertinente–autoriselarécupérationducontenudecertainsfichierseffacés–S'affranchisdesAPIdusystème–Nes'appliquequ'auxterminauxutilisantleprocesseurAppleA4ouplus#Acquisitionlogiquenonintrusive–compatibleavectouteslesversionsdeterminauxencirculation–Inadaptéedanslecadredelarecherchedepreuvesdecompromissions48Conclusion2/2#Acquisitionlogiqueintrusive–Permetdecontournerleslimitesdelaméthodenonintrusive–S'appuiesurl'exploitationdevulnérabilité–UtiliselesAPIdusystème–Entrainedesmodifications–Extractiondusystèmedefichierspossible#Limites–Acquisitionetl'analysedelamémoireRAMimpossible–AcquisitionducodeexécutéparleBasebandimpossible–Analysedesapplicationsprovenantdel'AppStoreimpossible–ReposesurlesAPIdusystème49MercidevotreattentionQuestions

RAKsmart裸机云/云服务器/VPS全场7折,独立服务器限量秒杀$30/月起

适逢中国农历新年,RAKsmart也发布了2月促销活动,裸机云、云服务器、VPS主机全场7折优惠,新用户注册送10美元,独立服务器每天限量秒杀最低30.62美元/月起,美国洛杉矶/圣何塞、日本、香港站群服务器大量补货,1-10Gbps大带宽、高IO等特色服务器抄底价格,机器可选大陆优化、国际BGP、精品网及CN2等线路,感兴趣的朋友可以持续关注下。裸机云新品7折,秒杀产品5台/天优惠码:Bare-...

1C2G5M轻量服务器48元/年,2C4G8M三年仅198元,COM域名首年1元起

腾讯云双十一活动已于今天正式开启了,多重优惠享不停,首购服务器低至0.4折,比如1C2G5M轻量应用服务器仅48元/年起,2C4G8M也仅70元/年起;个人及企业用户还可以一键领取3500-7000元满减券,用于支付新购、续费、升级等各项账单;企业用户还可以以首年1年的价格注册.COM域名。活动页面:https://cloud.tencent.com/act/double11我们分享的信息仍然以秒...

wordpress外贸企业主题 wordpress高级全行业大气外贸主题

wordpress高级全行业大气外贸主题,wordpress通用全行业高级外贸企业在线询单自适应主题建站程序,完善的外贸企业建站功能模块 + 高效通用的后台自定义设置,更实用的移动设备特色功能模块 + 更适于欧美国外用户操作体验 大气简洁的网站风格设计 + 高效优化的网站程序结构,更利于Goolge等SEO搜索优化和站点收录排名。点击进入:wordpress高级全行业大气外贸主题主题价格:¥398...

lockdownd为你推荐
百度k站百度k站的原因是什么推广方法现在最常用的推广方式有哪几种iphone5解锁iphone5密码忘了怎么解锁最新qq空间代码qq空间都是有哪些免费代码!(要全部)ps抠图技巧ps抠图多种技巧,越详细越好,急~~~~~~~安卓应用平台哪个手机应用平台的软件比较正版,安全?vbscript教程请教一下高手们,这个VBS脚本难不难啊,我想学学这个,但是又不知道该从哪入手,希望高手指点指点??xp系统停止服务XP系统停止服务后电脑怎么办?人人逛街为什么女人都喜欢逛街?谢谢了,大神帮忙啊lockdowndios8.1怎么激活内置卡贴
虚拟空间租用 全能虚拟主机 网站空间申请 虚拟主机提供商 备案域名 免费域名注册 免费注册网站域名 wordpress主机 日本软银 duniu vultr美国与日本 windows主机 免备案空间 suspended 好看的桌面背景大图 debian6 云图标 国内php空间 蜗牛魔方 193邮箱 更多