analyselockdownd

lockdownd  时间:2021-02-20  阅读:()
Investigationnumérique&terminauxAppleiOSAcquisitiondedonnées1MathieuRENARDANSSI/LAMmathieu.
renard[à]ssi.
gouv.
fr2Constat#Démocratisationdel'usageterminauxmobileenentreprise–Stockaged'informationsprofessionnelles–Sécurité,managementdesterminauxmalounonmaitrisé#Menaces–Accèsillégitimesaudonnéesprofessionnelles/réseaudel'entité–Usurpationd'identité–Atteinteàladisponibilitéduterminal#Risquesaccentuésparlecaractèremobiledesterminaux(perte,vol)#Lesterminauxmobilessontdesciblesdechoixpourlesattaquants3InvestigationnumériqueiOSOutils#FrameworkiPhoneDataProtection–Acquisitionphysique(iPhone4etinférieur)#iPhoneBackupanalyzer2–AnalysedessauvegardesiOS#CelebriteUFED–Solutioncommerciale–Acquisitionphysique(iPhone4etinférieur)–AcquisitionLogique(backup&AFC)4Investigationnumérique&terminauxAppleiOS#Lalisted'outilsd'investigationnumériquepouriOSestlimitée#Aucunoutilnepermetd'infirmerouconfirmerunecompromission#Nécessitédedévelopperdesméthodesetoutils5iPhoneArchitectureetsécuritéhttp://iphoneroot.
com/ipad-mini-gets-x-rayed-photo/#more-187116BCM43342Wi-FiSoCSKHynixH2JTDG8UD3MBR16GBNANDAppleA7APL0698SoCQualcommMDM9615MLTEModem(BaseBand)QualcommWTR1605LLTE/HSPA+/CDMA2K/TDSCDMA/EDGE/GPS(Tranceiver)NXPLPC1800M7Motioncoprocessor(CortexM3)ArchitecturematérielleLet'sopentheboxhttp://www.
chipworks.
com/en/technical-competitive-analysis/resources/blog/inside-the-iphone-5s/7A7LTEModemQualcommMDM9615M1GBDDR21GBDDSDRAMBCM43342Wi-FiSoC16/32/64GBeMMC/NANDQualcommWTR1605LLTE/HSPA+/CDMA2K/TDSCDMA/EDGE/GPSCapteurs&ContrleurLCDEcranLCD4''CamerasCMOSFrontendRadio128MBSDRAMARM64GPUUSBCoprocesseurCryptoArchitecturematérielle(Simplifiée)iPhone5S8MécanismesdesécuritéiOSEn30secondes…SecureBootApplicationsSandboxSignaturedecodeExploitmitigationiPhoneDataProtectionENTERCODE9Investigationnumérique&terminauxAppleiOSAcquisitionphysique10VulnérabilitésBootROM#ExécutiondecodevialemodeDFU(devicefirmwareupdate)–LeBootROMestenlectureseule–Fonctionnequelquesoitlaversiond'iOSinstallée–Permetdechargerlenoyauet/ouramdiskalternatifnonsignésTechniquesimilaireaubootsurunliveCD/liveUSB–AccèsenlectureaucontenusdelaNAND(APIdebasniveau)#Exploitspublics–Pwnage2:iPhone2G,iPhone3G–Steaks4uce:iPodTouch2G–Limera1n:iPhone3GS,iPad1,iPhone411RAMBootROMLLBiBootAppsRedsnow/opensnowiBECpersonnaliséNoyauetRamdiskpersonnalisésNoyauRamdiskpersonnalisésshdiBSSiBECusbmuxdsshServicesNoyauMémoireFlashExploitationetTéléchargementiBSSpersonnaliséLimera1netanalyseforensicsAcquisitiond'uneimagedelaflashNANDMODEDFUMODENORMALUSBPipe12AcquisitionphysiquededonnéesConclusion#LecturedirectedelaNAND–Acquisitiondusystèmedefichiercomplet–Récupérationdefichierseffacés#FrameworkiPhoneDataProtection–MaintenuparJeanSigvald(Sogeti)–Acquisitiond'uneimagedelaflashNAND–MontageVFL/FTLpouraccéderàl'étatactueldelapartitiondedonnées–Constructiond'unelistedetouteslesversionsdisponiblesdechaquebloclogique#PossibleuniquementsuriPhonelockdowndDemandededémarrageduserviceAFCPairingrequestServiceAFCClientAFCUSBMuxdlibmobiledevicePairingOKXMLPlist/USBpipeServiceAFCEnécoutesurleport:XXXCommandesAFCRésultatsCommuniqueravecuniPhoneServicesiTunesTerminal16InvestigationnumériqueetservicesiTunesConfiguration&userdatabasescom.
apple.
mobile.
file_relayDebugging&Instrumentationcom.
apple.
pcapdcom.
apple.
syslog_relayBackupscom.
apple.
mobilebackupcom.
apple.
mobilebackup2Fichiers&Mediascom.
apple.
afccom.
apple.
mobile.
house_arresthttps://docs.
google.
com/file/d/0B0Va1DwwuHR-TmhQcEpHR1lpT1k/editpli=117Whats0nDEMO:Démonstrationd'acquisitionLogique18AcquisitionlogiquededonnéesConclusion#RequiertL'autorisationdel'utilisateur–Déverrouillageduterminal–Extractionetutilisationdesfichiersgénéréslorsdel'appairage#Récupérationdesdonnéesstockéessurleterminal#Récupérationdefichierseffacésimpossible#Acquisitiondusystèmedefichiercompletimpossible19Investigationnumérique&terminauxAppleiOSAcquisitionLogiqueIntrusive.
/p0sixspwn20ADVISORYSECURITYINSECURITYAHEAD21JailbreakAvertissement#Cecin'estpasuneincitationàl'exploitationouauJailbreak#Jailbreak–Désactivationdesfonctionnalitésdesécuritédesterminaux–Augmentationdelasurfaced'attaque–Augmentationdurisquedecompromission#L'ANSSIincitesystématiquementleséditeursàcorrigertoutesvulnérabilitésidentifiées,danslesplusbrefsdélais#Lesutilisateurssontinvitésàappliquerlescorrectifsdèsleurspublications22JailbreakAvertissement#Cecin'estpasuneincitationàl'exploitationouauJailbreak#Jailbreak–Désactivationdesfonctionnalitésdesécuritédesterminaux–Augmentationdelasurfaced'attaque–Augmentationdurisquedecompromission#L'ANSSIincitesystématiquementleséditeursàcorrigertoutesvulnérabilitésidentifiées,danslesplusbrefsdélais#Lesutilisateurssontinvitésàappliquerlescorrectifsdèsleurspublications23#InvestigationNumérique–Collecteetidentificationdepreuve–Traabilitédesactionsréalisées–Reproductibilitédel'analyse#Jailbreak–Désactivationdesfonctionnalitésdesécurité–Modificationspersistantes–Absencededocumentationdesmodifications#Incompatiblesaveclesobjectifsdel'investigation–ConservationdelapreuveInvestigationnumériqueetJailbreakJailbreak24AnalysedesJailbreaksevasi0n7etp0sixpwn#Identificationdesmodificationsréaliséessurlesystème#Identificationdetechniquesutilisablesdanslecontexteforensique#ApplicationdestechniquesdeJailbreakàl'analyseforensique–Réductiondel'impactsurlesystème–Maitriseettraabilitédesmodifications#Activationtemporaired'unecopiedéverrouilléeduservice–Permetd'acquérirl'intégralitédesfichiers–Impactsurlesystèmevariableenfonctiondelaversiond'iOS–Impactmatrisé25DébridageduserviceAFCiOS6.
x.
x-MobileStorageMounter#com.
apple.
mobile_image_mounter–ServiceutilisépourmonterdesimagesDMGsignées–Montagedesoutilsdedéveloppement–MontagedesoutilsdemiseàjourOTAiOS6#RaceconditiondansMobileStorageMounter–VulnérabilitéidentifiéeparComex–Leakducoded'exploitation(2013)–Réutilisationducodepar.
/p0sixspwn(2013)–Autoriselemontaged'uneimageDMGnonsignée26DébridageduserviceAFCiOS6.
x.
x:Racecondition&MobileStorageMounter#Montaged'uneimageDMG–Téléchargementdel'imagedans/var/mobile/Media–Calculdel'empreinte–Vérificationdelasignature–Déplacementl'imagedansunezonenonaccessible–Montagedel'image#Absencedeverrouentrelecalculdel'empreinteetlemontage–Possibilitéderemplacerl'imageaprèsvérification27DébridageduserviceAFCiOS6.
x.
x.
/p0sixSpwnstyle#Créationd'uneimagepersonnalisée–Fichierdeconfigurationd'unserviceAFCpersonnaliséExécutiondepuislerépertoireracine(option-d/)Autorisationd'accèsauxfichiersspéciaux(option-S)#Téléchargementdel'imagesignéeetdel'imagepersonnalisée#Remplacementdel'imagesingéparuneimagepersonnalisée#DemandededémarrageduserviceAFCdébridé28ShareUnl0ckDEMO:AcquisitionLogiqueintrusiveiOS6.
x.
x29DébridageduserviceAFCLecasd'iOS7.
0.
x-Elémentsdecontexte#com.
apple.
afc–Servicedetransfertdefichiers–Servicegérépar/usr/libexec/afcd–UtilisépariTuneslorsdesphasesdesynchronisation–Accèslimitéauxcontenusdurépertoire/var/mobile/Media–Possibilitéd'accèsauxcontenusdesapplicationstierces#Activationtemporaired'unecopiedéverrouilléeduservice–DémarrageduserviceAFCàl'aidedelockdowndimpossible–VulnérabilitésutiliséesparlesJailbreaksprécédantcorrigées–Systèmedefichierenlectureseul–Impossibledecréerunexécutabledansunrépertoirecontrléparl'utilisateur–AfcdInitialisesapropresandboxlorsdudémarrage/usr/lib/system/libsystem_sandbox.
dylib30DébridageduserviceAFCiOS7.
0.
x–Notyetanotherevasi0n…Créationd'unfichierRWXShareUnl0ckModificationdufichierRWXRemplacementdeShareUnl0ckparunshebang#!
/usr/libexec/afcdContournementdelasandboxafcdCréationd'unebibliothèque:ShareUnl0ck.
dylibChargementdeShareUnl0ck.
dylibaudémarragedeShareUnl0ckModificationdecom.
apple.
mobile.
installation.
plisthttp://geohot.
com/e7writeup.
htmlhttp://evasi0n.
com/ExécutiondeShareUnl0ckDébridagedeafcd31DébridageduserviceAFCObtentiond'unfichierdisposantdesdroitsRWX#installd–Serviceenchargedel'installationdesapplications#Directorytraversaldansinstalld–Requiertl'utilisationd'uneapplicationsignéeparApple–Extractiondel'application–Téléchargementducontenudupaquetdel'applicationsurleterminal/var/mobile/Media/–Modificationduchemindel'exécutabledanslefichierinfo.
plistCFBundleExecutablevar/mobile/Media/myapp.
app/myapp–Reconstructiondupaquetdel'applicationCustomApp.
ipa–Installationdel'applicationmodifiéeInstalld=>chmod+xvar/mobile/Media/myapp.
app/myapphttp://geohot.
com/e7writeup.
htmlhttp://evasi0n.
com/32DébridageduserviceAFCConfigurationduserviceAFC#Modificationdufichierexécutabledéployédans/var/mobile/media#Acestade,leserviceAFCesttoujourssoumis–Alapolitiqued'isolationdusystème#Leserviceafcdinitialisesapropresandbox–/usr/lib/system/libsystem_sandbox.
dylib#Possibilitéd'interposerunebibliothèquespécialementconuepourinterdirel'initialisationdelasandbox#!
/usr/libexec/afcd-S-d/-p8888http://geohot.
com/e7writeup.
htmlhttp://evasi0n.
com/33DébridageduserviceAFCContournementdelaSandbox#Re-exportationdesfonctionsàl'aidedeLazyBindings–Techniqueintroduitedansevasi0n(iOS6)–PrésentationdétailléesurleblogdeQuarksLab#Contournementdelasignaturedecode–S_ATTR_LOC_RELOCdéfinispourtouteslessectionsexécutables–+xretirédechaquesectionexécutables:AprèsvérificationduheaderMaisavantlemappageenmémoirepourvérificationdelasignaturehttp://blog.
quarkslab.
com/evasi0n-jailbreak-precisions-on-stage-3.
htmlhttp://geohot.
com/e7writeup.
htmlMACH-OKungFu34DébridageduserviceAFCModificationdesvariablesd'environnement#Chargementdelabibliothèquenonsignée–Utilisationdelavariabled'environnementDYLD_INSERT_LIBRARY–Lectureducontenudufichiercom.
apple.
installation.
plist/private/var/mobile/Library/Cache/com.
apple.
mobile.
installation.
plistContientlesparamètresdelancementdesapplicationsTéléchargeablevialeservice:com.
apple.
mobile.
file_relay#Modificationducontenudufichiercom.
apple.
installtion.
plistImpossibleenfonctionnementnominalhttp://geohot.
com/e7writeup.
htmlhttp://evasi0n.
com/35DébridageduserviceAFCModificationdesvariablesd'environnement#installd–Serviceenchargedel'installationdesapplicationsAppleiOSsignées–Nonsoumisauxrèglesd'isolationimposéesparlasandbox#Raceconditiondansinstalld–Extractionducontenud'unfichierzipsurlesystème–L'extractionducontenudelachargeactivedanslerépertoire:var/mobile/Library/Caches/–Permetd'actualisercom.
apple.
mobile.
installation.
plist–Requiertunaccèsaurépertoire/tmphttp://geohot.
com/e7writeup.
htmlhttp://evasi0n.
com/36DébridageduserviceAFCChargementdelabibliothèquenonsignée#com.
apple.
afc–Servicegérépar/usr/libexec/afcd–UtilisépariTuneslorsdesphasesdesynchronisation–Accèslimitéauxcontenusdurépertoire/var/mobile/Media–Possibilitéd'accèsauxcontenusdesapplicationstierces–Intègredesfonctionsencharged'interdireledirectorytraversal#Directorytraversal&afcd–Lorsdelacréationd'unliensymboliqueafcdcomptelenombrede.
.
/–Interdictiond'accèsauxfichierssituésàl'extérieurdurépertoireracine–Ledéplacementduliendansunrépertoiredeniveauinférieurpermetdecontournercemécanismedeprotectionhttp://geohot.
com/e7writeup.
htmlhttp://evasi0n.
com/37DébridageduserviceAFCMiseàjourducacheetdémarrageduservice#Rechargementdescaches–com.
apple.
mobile.
installation.
plist,…–Utilisationduservicecom.
apple.
diagnostique_relay–Redémarragelesystème#LancementduserviceAFCdébridé–Lancementdel'applicationmodifiéeparl'analysteShareUnl0ckhttp://geohot.
com/e7writeup.
htmlhttp://evasi0n.
com/38ShareUnl0ckDEMO:AcquisitionLogiqueintrusiveiOS7.
0.
x39AcquisitionlogiqueintrusiveConclusion#RequiertL'autorisationdel'utilisateur–Déverrouillageduterminal–Extractionetutilisationdesfichiersgénéréslorsdel'appairage#Récupérationdesdonnéesstockéessurleterminal#Acquisitiondusystèmedefichiercomplet#Récupérationdefichierseffacésimpossible40iOSForensicsRésultats41Analysedifférentield'unsystèmeJailbraké#Acquisitiond'uneimagederéférence–Apartird'unfirmwareApple–Apartird'unterminalApple#Comparaisondesimages–Identificationdesfichiersconnus(Listeblanche/Listenoire)–ContextTriggeredPiecewiseHashing(CTPH)InitialementdéveloppéparAndrewTridgell:détectiondespamTransposéaumondeduforensicsparJesseKornblumOutils:ssdeep,binwally42CTPHIdentificationdesmodificationssurunterminalJailbreaké25differsetc/fstab25differsprivate/etc/fstab>>>uniquetarget/var/mobile/Media/.
evasi0n7_installed>>>uniquetarget/var/mobile/Media/jailbreak.
log>>>uniquetarget/private/var/tmp/evasi0n-started[.
.
]>>>uniquetarget/System/Library/LaunchDaemons/com.
evad3rs.
evasi0n7.
untether.
plist>>>uniquetarget/System/Library/LaunchDaemons/com.
saurik.
Cydia.
Startup.
plist>>>uniquetarget/System/Library/Caches/com.
apple.
xpcd/xpcd_cache.
dylib>>>uniquetarget/System/Library/Caches/com.
apple.
dyld/enable-dylibs-to-override-cache[.
.
]>>>uniquetarget/tmp/evasi0n-started>>>uniquetarget/pri/vate/var/mobile/Media/.
evasi0n7_installed>>>uniquetarget/private/var/mobile/Media/jailbreak.
log>>>uniquetarget/evasi0n7>>>uniquetarget/evasi0n7-installed43CTPHLimites#L'analysedespériphériquesn'estpaspriseencharge–Réalisationd'uneanalysemanuelle–Identificationdedeuxpériphériquessuspects#L'imagedunoyaun'estpasmodifiée–Evasi0npatchlenoyaulorsdudémarrage/dev/hax-ptsd/dev/hax-test100matchesSystem/Library/Caches/com.
apple.
kernelcaches/kernelcache44InvestigationnumériqueetiOSCompatibilité==45Compatibilitédesméthodesd'acquisitionsModèleAcquisitionphysique(sansjailbreak)AcquisitionlogiqueiPhone≤4OuiOui(Equipementdéverrouillé)iPhone≥4sNoniPad1OuiiPad≥2NoniPad≤2OuiVersionAcquisitionlogiquenonintrusiveAcquisitionlogiqueintrusiveiOS7.
0.
6Non46Conclusion47Conclusion1/2#Acquisitionphysiquedesdonnées–Méthodelapluspertinente–autoriselarécupérationducontenudecertainsfichierseffacés–S'affranchisdesAPIdusystème–Nes'appliquequ'auxterminauxutilisantleprocesseurAppleA4ouplus#Acquisitionlogiquenonintrusive–compatibleavectouteslesversionsdeterminauxencirculation–Inadaptéedanslecadredelarecherchedepreuvesdecompromissions48Conclusion2/2#Acquisitionlogiqueintrusive–Permetdecontournerleslimitesdelaméthodenonintrusive–S'appuiesurl'exploitationdevulnérabilité–UtiliselesAPIdusystème–Entrainedesmodifications–Extractiondusystèmedefichierspossible#Limites–Acquisitionetl'analysedelamémoireRAMimpossible–AcquisitionducodeexécutéparleBasebandimpossible–Analysedesapplicationsprovenantdel'AppStoreimpossible–ReposesurlesAPIdusystème49MercidevotreattentionQuestions

ZJI:香港物理服务器,2*E5-2630L/32G/480G SSD/30Mbps/2IP/香港BGP,月付520元

zji怎么样?zji是一家老牌国人主机商家,公司开办在香港,这个平台主要销售独立服务器业务,和hostkvm是同一样,两个平台销售的产品类别不一平,商家的技术非常不错,机器非常稳定。昨天收到商家的优惠推送,目前针对香港邦联四型推出了65折优惠BGP线路服务器,性价比非常不错,有需要香港独立服务器的朋友可以入手,非常适合做站。zji优惠码:月付/年付优惠码:zji 物理服务器/VDS/虚拟主机空间订...

香港站群多ip服务器多少钱?零途云香港站群云服务器怎么样?

香港站群多ip服务器多少钱?想做好站群的SEO优化,最好给每个网站都分配一个独立IP,这样每个网站之间才不会受到影响。对做站群的站长来说,租用一家性价比高且提供多IP的香港多ip站群服务器很有必要。零途云推出的香港多ip站群云服务器多达256个IP,可以满足站群的优化需求,而且性价比非常高。那么,香港多ip站群云服务器价格多少钱一个月?选择什么样的香港多IP站群云服务器比较好呢?今天,小编带大家一...

硅云香港CN2+BGP云主机仅188元/年起(香港云服务器专区)

硅云怎么样?硅云是一家专业的云服务商,硅云的主营产品包括域名和服务器,其中香港云服务器、香港云虚拟主机是非常受欢迎的产品。硅云香港可用区接入了中国电信CN2 GIA、中国联通直连、中国移动直连、HGC、NTT、COGENT、PCCW在内的数十家优质的全球顶级运营商,是为数不多的多线香港云服务商之一。目前,硅云香港云服务器,CN2+BGP线路,1核1G香港云主机仅188元/年起,域名无需备案,支持个...

lockdownd为你推荐
免费建站系统什么免费建站系统好?视频截图软件怎么在视频中剪切一张图片?用什么软件快递打印快递单可以自己打印吗淘宝收费淘宝交易收取的费用是多少什么是电子邮件 什么是电子邮件qq空间装扮QQ空间装扮天天酷跑刷金币天天酷跑怎么刷金币?xv播放器下载除了迅雷看看播放器还有什么播放器支持xv格式的视频?畅想中国淄博畅想中国消费怎么样人人逛街包公免费逛街打一成语
域名到期查询 泛域名解析 骨干网 唯品秀 siteground bluehost cdn服务器 godaddy支付宝 免费博客空间 gg广告 100m免费空间 智能骨干网 七夕快乐英文 129邮箱 泉州移动 能外链的相册 如何安装服务器系统 服务器硬件防火墙 电信托管 1元域名 更多