¿Por qué la gente hace Jailbreak?#

Las personas pueden optar por realizar el jailbreak de sus dispositivos para realizar acciones que no estén permitidas por Apple. Dos casos de uso pueden ser:

1. Realizar pruebas de seguridad informática
2. Agregar “Tweaks” (ajustes, personalizaciones) a su iPhone

Tipos de Jailbreak#

• rootful
  • Da acceso completo al sistema, también al sistema raíz ”/”. Te da privilegios de root
• rootless
  • No tienes acceso completo al sistema, no puedes acceder a raíz ”/”, pero sí a otros directorios. También tienes privilegios de root.

Tipos de persistencia#

• Tethered
  • 📱 🔄 📵 💻 ✅
  • Requiere la conexión a una computadora cada vez que se reinica. Sin esto el teléfono no iniciará de manera correcta.
• Untethered
  • 📱 🔄 ✅
  • El teléfono puede apagarse y reiniciarse sin perder funcionalidades ni su estado de jailbreak. Sin embargo, este tipo de jailbreak comenzó a desaparecer con iOS 9
• Semi-tethered
  • 📱 🔄 📱🔒 💻 ✅
  • Si el teléfono se apaga o reinicia, el teléfono podrá seguir utilizandose pero perderá su estado de jailbreak. Este puede volver a activarse mediante el mismo proceso que le hizo jailbreak en un inicio.
  • Actualmente, este es el jailbreak más utilizado.
• Semi-Untethered Jailbreak
  • 📱 🔄 📱🔒 📲 ✅
  • Si el teléfono se apaga o reinicia, el teléfono podrá seguir utilizandose pero perderá su estado de jailbreak. A diferencia del “semi-tethered” este puede volver a activarse mediante una aplicación que devuelva el estado de jailbreak.

Dispositivos probados y versión de iOS - ¿Cómo entrar al modo DFU?#

• iOS 15.6.1 probado con Iphone 8 - jailbreak con palera1n (live usb)
  • Entrar al modo DFU
    • UP, DOWN, SIDE-hasta-apagar, SOLTAR_TODO, SIDE+DOWN-5segundos, DOWN-5segundos (o hasta que se comience el proceso)
    • PRESION_RAPIDA, PRESION_RAPIDA, SOSTENER, SOLTAR_TODO, PRESIONAR_AMBOS_SOSTENER, SOLTAR_SOLO_SIDE_BUTTON
• iOS 14.7.1 probado con Iphone 7 - jailbreak con checkra1n (Debian app)
  • Entrar al modo DFU
    • SIDE+DOWN-10segundos, DOWN-10segundos (o hasta que se comience el proceso)
    • PRESIONAR_AMBOS, SOLTAR_SOLO_SIDE_BUTTON

Consideraciones generales para el Jailbreak#

• Otorgarle privilegios de root (Jailbreak) a tu celular requiere un celular físico
• Rootful
  1. Nota: Cada dispositivo y versión de S.O. tiene su propio método, pero a grandes rasgos se debe hacer lo siguiente
  2. Quitar FaceID, passcode, TouchID, desactivar Find Iphone * Vease en un tutorial propio de la herramienta utilizada
  3. Tener espacio disponible en el celuar (10GB) * Vease en un tutorial propio de la herramienta utilizada
  4. Usar palera1n o checkra1n (según sea el caso)
     • Debes entrar al modo DFU * Vease en un tutorial propio del disposito
     • Instalar Cydia, Sileo, Zebra * Vease en un tutorial propio de la herramienta utilizada

Notas#

• Requieres 10GB libres de almacenamiento
• Dale a Trust cuando lo conectes a la computadora

Proceso#

• Crear USB Booteable
• Iniciar con el ISO
• Seleccionar Palera1n
• Si es primera vez configurar las siguientes opciones
  • 1 Create FakeFS
  • 3 Verbose
  • 7 Debug
  • Arguments: -f -c -V -v
• Conectar tu celular y ponerlo en modo DFU
• Dejar que trabaje y, una vez terminado podás notar que tienes 10Gb menos en tu almacenamiento
• Iniciar con el ISO
• Seleccionar Palera1n
• Seleccionar las siguientes opciones
  • 3 Verbose
  • 7 Debug
  • Arguments: -f -V -v
• Conectar tu celular y ponerlo en modo DFU
• Dejar que trabaje y, una vez terminado podás notar que tienes 10Gb menos en tu almacenamiento

Problemas y soluciones#

• Reiniciar el programa
  • CTRL +C
  • exit

Dependencias#

Administración de IPAs#

Intercepción de tráfico#

Pruebas dinámicas#

1
# Instalar pipx
2
sudo apt install pipx
3

4
# Instalar frida-tools
5
pipx install frida-tools
6

7
# Solamente si no lo detecta el PATH
8
pipx ensurepath
9
  # Note: '/home/user/.local/bin' is not on your PATH environment variable. These apps will not be globally accessible until your PATH is updated. Run `pipx ensurepath` to automatically add it, or manually
10

11
# Obtener la versión de Frida
12
 frida --version
13
  # 16.7.13
14

15
# Actualizar Frida
16
pipx upgrade frida-tools
17
  # 17.2.11
18

19
# Quitar Frida
20
pipx uninstall frida-tools

1
# Show devices
2
frida-ls-devices
3

4
# Connect Frida to an iPad over USB and list running processes
5
frida-ps -U
6

7
# List running applications
8
frida-ps -Ua
9

10
# List installed applications
11
frida-ps -Uai
12

13
# Connect Frida to the specific device
14
frida-ps -D 0216027d1d6d3a03

1
# Corroborar que el servicio usbmuxd este activo
2
sudo systemctl status usbmuxd
3

4
# En caso de que no este activo, iniciarlo
5
sudo systemctl start usbmuxd

1
# Instalar pipx
2
sudo apt install pipx
3

4
# Instalar Objection
5
pipx install objection
6

7
# Actualizar objection
8
pipx upgrade objection
9

10
# Quitar objection
11
pipx uninstall objection

1
# Show devices
2
frida-ls-devices
3

4
# Indentify installed apps
5
frida-ps -Uai
6

7
# Start Objection and Attach to a Process
8
objection -g com.app.name explore
9

10
##################################################3
11
# Obtener información
12

13
# obtain some binary infos about the app
14
ios info binary
15

16
# dump the iOS key chain
17
ios keychain dump
18

19
# list the app's bundled files
20
ls
21

22
# inspect an app's bundle file
23
file cat <filename.extension>
24

25
# dump iOS shared credentials cache
26
ios nsurlcredentialstorage dump
27

28
# inspect NSUserDefaults class
29
ios nsuserdefaults get
30

31
# dump stored cookies
32
ios cookies get

Encontrar aplicaciones dentro de iOS a través de una conexión ssh#

1
find . 2>/dev/null | grep "app_name"

Extracción de IPA#

1
# Te conectas al Iphone
2
ssh root@<iPhone_IP>
3

4
# Entras al directorio de aplicaciones
5
cd /var/containers/Bundle/Application/
6

7
# Encuentras el UUID Folder de tu aplicación
8
find | grep "<APP_NAME>" | cut -d "/" -f2 | sort -u
9

10
# Entras UUID-Folder
11
cd <UUID_Folder>
12

13
# Creas una carpeta para almacenar tu app
14
mkdir Payload
15

16
# Copia la app a la carpeta temporal
17
cp -r <APP_NAME>.app/ Payload/
18

19
# Crear tu archivo .ipa
20
zip -r /var/root/<NAME_TO_EXTRACT_IPA>.ipa Payload/
21

22
# Descargas la aplicación
23
sftp root@<iPhone-IP>
24
get -r /var/root/<NAME_TO_EXTRACT_IPA>.ipa

Notas:

1
Why “Payload”? The name ‘Payload’ is part of the standard iOS app bundle structure required for the iOS operating system to correctly recognize and install the app. In the .ipa file format, the app bundle must be placed inside a ‘Payload’ folder containing the .app directory. Failure to follow this structure may prevent the app from being recognized or executed.
2

3
Capital letter is important: "Payload" not "payload"

Fuente:

• https://awesome.hackpuntes.com/ios/how-to-extract-ipa-from-ios-device
• https://medium.com/haktrak-cybersecurity-squad/bypassing-ios-jailbreak-detection-by-patching-the-binary-with-ghidra-write-up-of-no-escape-lab-02b417b3a235

Extracción de IPA automatizada#

• Este script se debe correr con bash, no con zsh

1
# Te conectas al Iphone
2
ssh root@<iPhone_IP>
3

4
# Instala zip, solamente es necesario correrlo la primera vez
5
apt install zip
6

7
# Indentifica el nombre de tu app. Este debe ser único
8
find /var/containers/Bundle/Application/ -iname "*.app" | cut -d "/" -f7 | sort
9

10
# Script Automatizado, reemplaza el valor de APPNAME
11
APPNAME="NAME"; cd /var/containers/Bundle/Application/; if [ $(find | grep $APPNAME | cut -d "/" -f2 | sort -u | wc -l) == "1" ]; then echo "Comenzando respaldo" && UUID_Folder=$(find | grep $APPNAME | cut -d "/" -f2 | sort -u); cd $UUID_Folder; rm -rf Payload; mkdir Payload; ls | grep .app; NAME_TO_EXTRACT_IPA=$(ls | grep .app); cp -r $NAME_TO_EXTRACT_IPA Payload/; IPA_FINAL=$(printf '%s' $(cut -d. -f1 <<< $NAME_TO_EXTRACT_IPA)).ipa; zip -r /var/root/$IPA_FINAL Payload && echo "Guardado como:"; ls /var/root/ | grep "ipa"; echo -e "Para descargar:\n"; echo "scp root@IP:/var/root/$IPA_FINAL ."; sleep 5; exit; else echo "Too many apps with that name"; fi;
12

13
# Para descargar el IPA se te mostrará el comando que debes introducir. Similar a
14
scp root@IP:/var/root/$IPA_FINAL

Mobile-Security-Framework-MobSF#

By Docker install

1
# To run for first time
2
sudo docker run -it --name mobsf -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest
3

4
# Visit your localhost or IP on 8000 port
5
localhost:8000
6
## Default user and password
7
mobsf:mobsf
8

9
# To stop container
10
sudo docker stop mobsf
11

12
# To start again the container
13
sudo docker start mobsf
14

15
# More info
16

17
## To lists all containers
18
sudo docker ps -a
19

20
## To lists active containers
21
sudo docker ps
22

23
## To remove container
24
docker rm <id_contenedor>
25

26
## To remove container image
27
sudo docker rmi <id_imagen>

Tipos de detección de jailbreak#

1. File-based Detection
   • /Applications/Cydia.app
   • /bin/bash, /usr/sbin/sshd
   • Dynamic libraries like Substrate
2. Process-based Detection
   • frida-server
3. Directory Permissions Detection
4. URI Schemes Detection
   • cydia://

Teoría#

Penetration testing in rootless

• https://blog.lrvt.de/rootful-or-rootless-jailbreaks-for-pentesting/
  • jo-ya

Para hacer jailbreak#

Acceder a modo DFU#

DFU Iphone 8

• https://www.wikihow.com/Exit-Dfu-Mode-on-iPhone-8

Herramientas útiles para realizar pruebas de seguridad#

Instalar Filza#

• https://www.youtube.com/watch?v=5m25eM8tAW0
• https://www.ios-repo-updates.com/share/tigisoftware/

CA BurpSuite#

• https://portswigger.net/burp/documentation/desktop/mobile/config-ios-device?ref=blog.lrvt.de

SSL Kill Switch 2#

• https://github.com/nabla-c0d3/ssl-kill-switch2

SSL Kill Switch 3#

• https://github.com/NyaMisty/ssl-kill-switch3
• https://github.com/NyaMisty/ssl-kill-switch3/releases/download/v1.4/moe.misty.sslkillswitch3_1.4+rootful_iphoneos-arm.deb

ElleKit#

• https://ellekit.space/

AppSync Unified#

• https://github.com/akemin-dayo/AppSync

Frida#

• https://frida.re/docs/ios/
• https://github.com/frida/frida

Objection#

• https://www.virtuesecurity.com/kb/ios-frida-objection-pentesting-cheat-sheet/
  • jo-ya

Extraer IPA#

• https://awesome.hackpuntes.com/ios/how-to-extract-ipa-from-ios-device

Labs#

• https://www.mobilehackinglab.com/course/lab-no-escape
• https://www.mobilehackinglab.com/free-mobile-hacking-labs

Frida#

• https://www.vaadata.com/blog/frida-the-tool-dedicated-to-mobile-application-security/

Objection#

• https://medium.com/@SecureWithMohit/exploring-ios-applications-with-frida-and-objection-basic-commands-for-pentesting-4c637dbeb9fd

Info general#

• https://ios.cfw.guide/blocking-jailbreak-detection/
• https://theapplewiki.com/wiki/Jailbreak
• https://ios.cfw.guide/installing-trollstore/