29、iOS越狱：内核补丁技术解析

iOS越狱：内核补丁技术解析

1. 权限提升与内核补丁概述

在越狱过程中，为了提升拥有进程的身份权限，可以将位于偏移量 0x0c 的 cr_uid 字段设置为 0。这是因为 TAILQ_ENTRY 宽度为 8 字节，所以偏移量是 0x0c 而非 0x08。一旦 uid 被设置为 0，用户空间进程就可以使用系统调用来更改其权限。

内核补丁是越狱过程中非常重要的部分，其主要目的是对内核代码和数据应用补丁，从而禁用安全功能，使得未签名的代码能够执行，实现设备越狱。多年来，不同的越狱团队都开发了自己的补丁集，因此大多数越狱所使用的内核补丁各不相同，这有时会导致不同的越狱功能。其中，comex 开发的一组内核补丁最为流行，可在他的 github 仓库 datautils0（https://github.com/comex/datautils0）中找到。这组补丁不仅被 comex 自己的 http://jailbreakme.com 使用，也被许多研究 iOS 内核的人作为参考。不过，由于 comex 去苹果公司实习，很可能签署了相关合同，限制他继续从事未来 iPhone 的越狱工作，因此这个特定 GitHub 仓库中的补丁不太可能被移植到未来的内核版本。

下面将详细介绍一些常见的内核补丁及其背后的原理，帮助你为未来版本的 iOS 生成自己的内核补丁。

2. 常见内核补丁解析

2.1 security.mac.proc_enforce

sysctl 变量 security.mac.proc_enforce 控制着是否对进程操作执行 MAC 策略。当该变量被禁用时，各种进程策略检查和限制将被关闭。例如，fork()、setpr