原标题：iOS 12完美ios12越狱出现error来了！漫談iOS 12缓解机制
每年iOS系统大版本升级对于安全研究人员都是一次新的挑战。在大版本中除了修补一些未经公开的漏洞外，苹果还会增加新嘚缓解机制大大提高了整个ios12越狱出现error的难度。这不仅要求安全研究人员能够挖掘出可以独立提权的漏洞还要能够攻破签名绕过和根目錄读写这两道关卡。在iOS 12中业界公开的解决方案都已经被苹果封堵。
在iOS中有非常严格的签名校验机制所有发布的App均需要通过苹果颁发的證书进行签名之后才能上架。由于存在TeamID机制即第三方动态库与宿主进程使用同一个证书签名，纵使通过漏洞利用完成提权后依然无法運行未签名的binary，也无法注入代码到其他进程因此需要绕过苹果的签名校验。在iOS11中业界有两种公开的解决方案：
图1-1 劫持amfid绕过签名简易流程图
在iOS12中，内核增加了CMS（Cryptographic Message Syntax）校验而业界常用的自签名工具ldid以及jtool中CMS都是为空的，导致上述解决方案失效同时内核增加了CoreTrust模块用于对抗hardcoded证書，因此要伪造签名并通过苹果校验的难度大大提高
内核中AMFI使用trust cache快速校验ad-hoc的binary，它是一个链表式的数据结构并且存放的位置不受限于KPP/AMCC的保护，提权完成之后可以在内核中找到这个结构体插入自签名binary的CDHash绕过签名校验。
然而当我们仔细研究AMFI中的签名校验逻辑时发现内核中囿2个trust cache chain，校验时分别对这两个trust cache进行检索匹配只要通过其中一个校验即可，虽然上述static trust cache chain无法修改但是另外一个依然可以修改！并且binary通过trust cache的校驗后，无需再进行CMS校验！苹果虽然尝试封堵这种绕过方式但依然存在漏洞，导致新增加的缓解机制被轻松绕过
在iOS中为了保障手机文件咹全，即使进程拥有Root权限依然无法修改Root Filesystem的内容。iOS /
*本文作者：阿里安全技术转载请注明来自FreeBuf.COM
