hacktricks/mobile-pentesting/ios-pentesting/ios-basics.md

<details>

<summary><strong>从零开始学习AWS黑客技术，成为专家</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS红队专家）</strong></a><strong>！</strong></summary>

支持HackTricks的其他方式：

* 如果您想看到您的**公司在HackTricks中做广告**或**下载PDF格式的HackTricks**，请查看[**订阅计划**](https://github.com/sponsors/carlospolop)!
* 获取[**官方PEASS & HackTricks周边产品**](https://peass.creator-spring.com)
* 探索[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们独家的[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品
* **加入** 💬 [**Discord群**](https://discord.gg/hRep4RUj7f) 或 [**电报群**](https://t.me/peass) 或 **关注**我们的**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
* 通过向[**HackTricks**](https://github.com/carlospolop/hacktricks)和[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github仓库提交PR来分享您的黑客技巧。

</details>

# 权限分离和沙盒

在iOS中，用户可访问的应用程序和系统核心进程之间存在权限区别。应用程序在**`mobile`**用户标识下运行，而关键的系统进程则以**`root`**身份运行。这种分离由沙盒机制增强，该机制对应用程序可以执行的操作施加严格限制。例如，即使应用程序共享相同的用户标识，它们也被禁止访问或修改彼此的数据。

应用程序安装在特定目录（`private/var/mobile/Applications/{随机ID}`）中，并且对某些系统区域和功能的读取访问受到限制，例如短信和电话呼叫。对受保护区域的访问会触发用户权限请求弹出窗口。

# 数据保护

iOS提供了建立在安全区域处理器（SEP）之上的**数据保护API**，安全区域处理器是专用的协处理器，用于加密操作和密钥管理。SEP通过嵌入其中的设备特定密钥——设备UID来确保数据保护的完整性。

在文件创建时，会生成一个唯一的256位AES加密密钥，用于加密文件内容。然后，将此加密密钥与类别ID一起使用类别密钥加密，并存储在文件的元数据中。解密文件涉及使用系统密钥访问元数据，检索带有类别ID的类别密钥，然后解密文件的唯一加密密钥。

iOS为数据安全定义了**四种保护类别**，确定何时以及如何访问数据：

- **完全保护（NSFileProtectionComplete）**：在使用用户密码解锁设备之前，数据是不可访问的。
- **除非打开保护（NSFileProtectionCompleteUnlessOpen）**：允许在设备锁定后访问文件，前提是在设备解锁时已打开文件。
- **直到首次用户身份验证前保护（NSFileProtectionCompleteUntilFirstUserAuthentication）**：在首次用户解锁后，数据可访问，即使设备再次锁定也保持可访问。
- **无保护（NSFileProtectionNone）**：数据仅由设备UID保护，便于快速远程数据擦除。

除了`NSFileProtectionNone`，所有类别的加密都涉及从设备UID和用户密码派生的密钥，确保只能在具有正确密码的设备上解密。从iOS 7开始，默认保护类别为“直到首次用户身份验证前”。

开发人员可以使用[**FileDP**](https://github.com/abjurato/FileDp-Source)，这是一个用于检查iPhone上文件数据保护类别的工具。
```python
# Example code to use FileDP for checking file protection class
# Note: Ensure your device is jailbroken and has Python installed to use FileDP.
# Installation and usage of FileDP:
git clone https://github.com/abjurato/FileDp-Source
cd FileDp-Source
python filedp.py /path/to/check
```
## **钥匙串**

在iOS中，**钥匙串**充当一个安全的**加密容器**，用于存储**敏感信息**，只能被存储它的应用程序或明确授权的应用程序访问。这种加密由iOS生成的唯一**密码**加固，该密码本身使用**AES**加密。这种加密过程利用了一个**PBKDF2函数**，将用户的密码与从设备的**UID**派生的盐结合起来，这是只有**安全区芯片组**才能访问的组件。因此，即使用户的密码已知，钥匙串内容在除了最初加密它们的设备之外的任何设备上都是无法访问的。

对钥匙串数据的**管理和访问**由**`securityd`守护程序**处理，基于特定的应用程序权限，如`Keychain-access-groups`和`application-identifier`。

### **钥匙串API操作**

钥匙串API在[苹果的钥匙串服务文档](https://developer.apple.com/library/content/documentation/Security/Conceptual/keychainServConcepts/02concepts/concepts.html)中详细介绍了安全存储管理的基本功能：

- **`SecItemAdd`**：向钥匙串添加新项目。
- **`SecItemUpdate`**：更新钥匙串中的现有项目。
- **`SecItemCopyMatching`**：从钥匙串检索项目。
- **`SecItemDelete`**：从钥匙串中删除项目。

对钥匙串密码进行暴力破解涉及直接攻击加密密钥或尝试猜测设备本身的密码，受到安全区强制执行的失败尝试之间延迟的显著阻碍。

### **配置钥匙串项目数据保护**

在创建或更新项目时，使用`kSecAttrAccessible`属性设置钥匙串项目的数据保护级别。这些级别，[由苹果指定](https://developer.apple.com/documentation/security/keychain_services/keychain_items/item_attribute_keys_and_values#1679100)，确定何时以及如何访问钥匙串项目：

- **`kSecAttrAccessibleAlways`**：无论设备锁定状态如何，都可以随时访问。
- **`kSecAttrAccessibleAlwaysThisDeviceOnly`**：始终可访问，但不包含在备份中。
- **`kSecAttrAccessibleAfterFirstUnlock`**：在重新启动后第一次解锁后可访问。
- **`kSecAttrAccessibleAfterFirstUnlockThisDeviceOnly`**：与上述相同，但不能转移到新设备。
- **`kSecAttrAccessibleWhenUnlocked`**：只有在设备解锁时才能访问。
- **`kSecAttrAccessibleWhenUnlockedThisDeviceOnly`**：解锁时可访问，不包含在备份中。
- **`kSecAttrAccessibleWhenPasscodeSetThisDeviceOnly`**：需要设备密码，不包含在备份中。

**`AccessControlFlags`**进一步细化访问方法，允许使用生物识别身份验证或密码。

### **越狱设备警告**

{% hint style="warning" %}
在**越狱设备**上，钥匙串的保护措施受到损害，构成重大安全风险。
{% endhint %}

### **钥匙串数据的持久性**

与应用程序卸载时删除的特定于应用程序的数据不同，**钥匙串数据在设备上持久存在**。这一特性可能使二手设备的新所有者通过简单地重新安装应用程序来访问上一个所有者的应用程序数据。建议开发人员在应用程序安装时或在注销时主动清除钥匙串数据以减轻这一风险。以下是一个Swift代码示例，演示如何在第一次启动应用程序时清除钥匙串数据：
```swift
let userDefaults = UserDefaults.standard

if userDefaults.bool(forKey: "hasRunBefore") == false {
// Remove Keychain items here

// Update the flag indicator
userDefaults.set(true, forKey: "hasRunBefore")
userDefaults.synchronize() // Forces the app to update UserDefaults
}
```
# **应用程序功能**

在应用程序开发领域，**沙盒**在增强安全性方面发挥着关键作用。该过程确保每个应用程序在其自己独特的主目录中运行，从而防止其访问系统文件或其他应用程序的数据。这些限制的执行是通过沙盒策略来实现的，这些策略是**受信任的BSD（MAC）强制访问控制框架**的一部分。

开发人员可以为他们的应用程序配置某些**功能或权限**，例如**数据保护**或**钥匙串共享**。这些权限在应用程序安装后立即应用。然而，为了访问某些受保护的资源，应用程序必须在首次尝试时获得用户的明确同意。这是通过使用_目的字符串_或_用途描述字符串_来实现的，这些字符串会显示在权限请求警报中供用户查看。

对于那些可以访问源代码的人，可以通过以下步骤验证`Info.plist`文件中包含的权限：

1. 在Xcode中打开项目。
2. 定位并打开`Info.plist`文件。
3. 搜索以`"Privacy -"`为前缀的键，可以选择查看原始键/值以获得更清晰的视图。

处理IPA文件时，可以按照以下步骤操作：

1. 解压IPA文件。
2. 在`Payload/<appname>.app/`中找到`Info.plist`文件。
3. 必要时将文件转换为XML格式，以便更轻松地检查。

例如，`Info.plist`文件中的目的字符串可能如下所示：
```xml
<plist version="1.0">
<dict>
<key>NSLocationWhenInUseUsageDescription</key>
<string>Your location is used to provide turn-by-turn directions to your destination.</string>
```
## 设备功能
应用程序的 `Info.plist` 文件指定了帮助App Store筛选设备兼容性的**设备功能**。这些功能在 **`UIRequiredDeviceCapabilities`** 键下定义。例如：
```xml
<key>UIRequiredDeviceCapabilities</key>
<array>
<string>armv7</string>
</array>
```
## 权限

**权限** 是 iOS 应用开发的另一个关键方面，它们是键值对，授予应用执行某些操作的权限，超出运行时检查。例如，在应用中启用 **数据保护** 需要在 Xcode 项目中添加特定的权限，然后在应用的权限文件或 IPAs 的嵌入式移动配置文件中反映出来。

# 参考资料
* [https://mas.owasp.org/MASTG/iOS/0x06d-Testing-Data-Storage](https://mas.owasp.org/MASTG/iOS/0x06d-Testing-Data-Storage)
* [https://github.com/OWASP/owasp-mastg/blob/master/Document/0x06h-Testing-Platform-Interaction.md](https://github.com/OWASP/owasp-mastg/blob/master/Document/0x06h-Testing-Platform-Interaction.md)
* [https://mas.owasp.org/MASTG/tests/ios/MASVS-PLATFORM/MASTG-TEST-0069/](https://mas.owasp.org/MASTG/tests/ios/MASVS-PLATFORM/MASTG-TEST-0069/)
* [https://mas.owasp.org/MASTG/iOS/0x06h-Testing-Platform-Interaction/](https://mas.owasp.org/MASTG/iOS/0x06h-Testing-Platform-Interaction/)

<details>

<summary><strong>从零开始学习 AWS 黑客技术，成为专家</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>

支持 HackTricks 的其他方式：

* 如果您想看到您的 **公司在 HackTricks 中做广告** 或 **下载 PDF 版本的 HackTricks**，请查看 [**订阅计划**](https://github.com/sponsors/carlospolop)!
* 获取 [**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
* 探索 [**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们的独家 [**NFTs**](https://opensea.io/collection/the-peass-family)
* **加入** 💬 [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**电报群组**](https://t.me/peass) 或 **关注** 我们的 **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**。**
* 通过向 [**HackTricks**](https://github.com/carlospolop/hacktricks) 和 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github 仓库提交 PR 来分享您的黑客技巧。

</details>