一行代码逃逸 Safari 沙箱

一行代码逃逸 Safari 沙箱

​​简述

这个 CoreFoundation 中的漏洞影响直到 macOS High Sierra 10.13.6 (17G65)，在 Mojave 中无意中被重构代码“修复”掉了。

复现只要一行。在 10.13.6 的系统中先关闭 SIP 以便调试 Safari 进程，然后附加到 com.apple.WebKit.WebContent.xpc 并输入如下命令：

po CFPreferencesSetAppValue(@"Label", @"You know what should be put here", [(id)NSHomeDirectory() stringByAppendingPathComponent:@"Library/LaunchAgents/evil.plist"])

虽然进程有沙箱，但奇怪的是代码被成功​执行，在 ~/Library/LaunchAgents 里添加了一个 plist。不仅可以实现沙箱外执行任意代码，连持久化都做了。

原理

CFPreferences 系列函数对于 App 开发者并不陌生，虽然绝大多数情况下使用的是 NSUserDefaults。这系列函数可以根据指定 domain 来读写 plist 的键值对信息。默认情况下会保存在 ~/Library（root 权限的进程是 /Library 下）的 Preferences 目录。给 domain 传入绝对路径也是支持的。

https://developer.apple.com/documentation/corefoundation/1515528-cfpreferencessetappvalue?language=objc

XPC 的服务端实现在 CoreFoundation 当中。由于操作跨进程，在服务端自然有沙箱检测判断：

sandbox_check 这个函数使用 pid 作为参数，可能会受到 pid reuse 的攻击。​但在这里有一个更明显更暴力的 bug，就是 CoreFoundation 在处理请求的时候，在第一次 sandbox_check 对方进程是否有沙箱，如果不是，就会给当前会话记录一个标志位。此后每一次 CFPreferences 相关的操作都会先检查这个标志位，然后再做判断。

这样就存在一个 TOCTOU 的问题，如果一个进程在没有沙箱的情况下访问了 CFPreferences，之后即使进程有了沙箱，cfprefsd 仍然会错误地认为这是一个普通进程，而放行操作。

很不巧 Safari 的沙箱进程默认就满足这一条件。

渲染器的沙箱配置默认禁止创建新进程（process-exec），WebKit 无法在设置沙箱之后再启动渲染器。因此 renderer 在初始化时其实是没有沙箱的，而在之后调用 ChildProcess::initializeSandbox 进入沙箱状态，再载入网页等内容。

由于 renderer 在初始化期间通过 +[NSApplication initialize] 内部方法，“不小心”有了 CFPreferences 的访问记录：

frame #17: 0x00007fff454e015a CoreFoundation` _CFPreferencesCopyAppValueWithContainerAndConfiguration  + 107
    frame #18: 0x00007fff47868b94 Foundation` -[NSUserDefaults(NSUserDefaults) init]  + 1423
    frame #19: 0x00007fff47870c3a Foundation` +[NSUserDefaults(NSUserDefaults) standardUserDefaults]  + 78
    frame #20: 0x00007fff42a3ba4e AppKit` +[NSApplication initialize]  + 90
    frame #21: 0x00007fff71678248 libobjc.A.dylib` CALLING_SOME_+initialize_METHOD  + 19
    frame #22: 0x00007fff7166800c libobjc.A.dylib` _class_initialize  + 282
    frame #23: 0x00007fff71667a19 libobjc.A.dylib` lookUpImpOrForward  + 238
    frame #24: 0x00007fff71667494 libobjc.A.dylib` _objc_msgSend_uncached  + 68
    frame #25: 0x0000000100001627 com.apple.WebKit.WebContent` ___lldb_unnamed_symbol1$$com.apple.WebKit.WebContent  + 519
    frame #26: 0x00007fff72743ed9 libdyld.dylib` start  + 1

此后即使浏览器添加了 sandbox，仍然会畅通无阻。

利用

使用绝对路径读写 plist 已经可以实现持久化，但是仍然需要注销或重启等操作触发启动项。笔者使用了另一个有趣的 feature 实现了立刻逃逸执行代码，并向受害者发出精神污染。