iOS 内核堆利用技术点之 mach_msg ool

预览

说明

在内核堆利用中，mach_msg 主要用来填充内核堆、读内核堆。这个技术点无法单独使用，需要配合内核堆信息泄露、堆整理技术（比如：堆风水），即：首先要使堆可控。

关于 mach_msg ool

详细的信息大家可以参考《Mac OS X and iOS Internals: to Apple’s Core》的第十章、《Mac OS X Internals：A Systems Approach》的第九章。简单来说当发送一个包含 ool descriptor 的  msg 时，内核会将指定的数据从用户空间复制内核空间，并且内核会一直保持这部分数据，直到目标 task 处理了消息。同样，当目标进程接收一个包含 ool descriptor 的消息时，内核会将数据从内核空间复制到用户空间（不一定是真正的复制）。因此可以利用这个技术点向内核堆中写入数据或者从内核读取数据。

xnu 中相关数据结构与函数

vm_map_copy_t、vm_map_copyin、vm_map_copyout、kalloc、kfree。

注意事项

为了完全控制消息的发送、接收，在利用时一般向当前进程发送消息、从当前进程接收消息。