欧陆奇葩历险记

分享今天非常莫名其妙、略带惊悚的经历。也是想听听评论区有没有什么合理的解释。说来我在这几年遇到的奇葩事也够多了，干脆给自己整个艺名叫传奇哥吧。Fish Legend。

大伙或多或少有看到欧洲这几天的热浪导致空调危机大爆发的新闻。虽然互联网短视频难免夸大其词，但确实真有这么回事。博主虽然没有首当其冲在 40 度区，但也是受害者之一。

更令人破防的是空调实际上已经到货了，愣是排不上师傅预约安装。这几晚干脆出去住酒店——大学生行为。这样一来当然得选预算便宜点的。酒店比较偏，离市中心大约 3 公里，公交和共享滑板车都能到。那边全是工业区和做各种产业的老中，治安不太好倒也不至于很夸张。

今天我吃完早饭找共享单车回市中心，突然有人背后喊我帮忙。一看是个移民，不是本地人也不是亚洲人。在这里只是为了提供更多上下文，不要过多渲染种族的意味。

由于在这边经历过一些事情，去年甚至和路怒症路人大打出手进了局子，对方没占到便宜破防叫我滚回我的国家。所以现在我挺冷血的，陌生人无论是求助还是乞讨我能躲就躲。冤有头债有主，没钱吃饭可以找布鲁塞尔要救济拨款。

光天化日的，我还是下意识攥紧了手机。他先问我火车站在哪，我就给他指了公交车的路线。一番解释之后他掏出手机给我看说要去一个地方，他还特地说是个老中的商店。

手机界面是 WhatsApp 的聊天记录，有人发了个定位。我一点开那个定位 Google 地图就弹出来了，45 公里之外。

首先有地图 app 为什么要问路，目的地还那么远？前后不一致的说辞，还专门提老中套近乎。就差脸上写着坏人了。这时候他又提出了一个请求把我吓坏了，说能不能带我上车给他带路。

我当然直接拒绝，跟他说那个定位压根就不在这个城市，然后赶紧溜了。他说声谢谢然后好像有点失望地走了。

我没想明白这个到底是骗局的开头还是什么噶腰子的剧情？一般人不会天真到随便上陌生人的车吧？

问了 AI 说欧洲曾经有一种骗术是，陌生人带你到车旁边，说有走私的货物便宜点卖给你，当然都是 A 货。

想看看大家怎么说……

跳转微信打开

rtDesc

跳转微信打开

IDA Pro 9.4 beta 测试初体验；iOS 27 给链接器又上了什么黑魔法？

6 月 11 日 IDA Pro 9.4 放出了 beta 测试版。这一版相比上一版加入了非常多的功能，然而我就不丢给 AI 自动洗稿了，请参阅原文。

https://docs.hex-rays.com/release-notes/9_4beta

在这里提两个新功能的痛点。

一个是 PathFinder，顾名思义就是找调用链。可以给出 source 和 sink，然后帮你遍历路径，也就是之前需要外接一个图数据库才能做的。想象一下接上 llm，简直了。

在一个就是查找二进制序列。之前只能做逐字节匹配，例如：AA BB CC；现在可以用通配符了：AA B? C? DD。

值得一提的是这一版的 dyld_shared_cache 工作流改善后非常之好用，从从交互到速度和各种 bug 修复都让人印象深刻。

https://docs.hex-rays.com/9.4/core/disassembler/concepts/dsc-workflow

我上个月写过一篇文章，由于现有的反编译器 loader 对 DSC 支持仅仅聊胜于无，我干脆写了个提取单个 dylib 的工具：2026 年了，还在折腾 dyld_shared_cache

才过去一个月这篇文章就过时了，现在的方案是：闭着眼用 9.4 就好。

和之前每次载入 dylib 都要点开几层菜单，然后在对话框里选择路径不同，IDA Pro 把 DSC 支持提升到了一等公民，直接在工作区右边添加了一个新的侧边栏。

体验很顺滑，载入模块的体感快了很多。当然我没有严格对比掐过秒表，也可能是心理作用。毕竟现在数码评测要资质，还是别测了。

在二进制视图中的未知地址不再显示红色数字，而是会提示其所在的库，可以选择性载入内容。

一个显著修复的 bug 就是 __objc_methlist 节的解析。9.3 下红字（错误的偏移量）：

9.4 正确识别：

当然这个例子有点鸡蛋里挑骨头，大多数人可能都不会注意到。

这个节的信息对 class-dump 很有用，用以关联 Objective-C 方法名的 selector 和具体函数，以及方法类型签名。

但说回来直接在 dyld_shared_cache 上做 class-dump，静态的有 ipsw 工具内置支持，动态的话则只需要调用 objc/runtime.h 里的 API 就可以，完全不需要管具体的结构。

目前试用下来个人给出绝对好评。哪怕是周一刚出炉的 iOS 27 beta 的 dyld_shared_cache 也做到了开箱即用。

下面是博主被打脸时间。

前面提到并链接了我之前解包单个链接库的思路，里面用到了一些作弊的技巧。

此前版本的 dyld 优化会讲一些跨文件的函数调用（__auth_stub）从模块中提取出来，统一合并成全局共享 stub island 和 global offset table（GOT）。这一过程处理完之后，原本 dylib 里的 __auth_stub 和 __auth_got 节实质上就已经没有用了，只是二进制优化这一步没有去掉。

类似的还有一些 Objective-C runtime 需要的数据，例如 selector 字符串池（__objc_methname 和 __objc_classname 等），会统一合并到 libobjc.A.dylib 的 __OBJC_RO 段。

原始库当中的副本实质上没有交叉引用，依旧保留到最终的 DSC 文件。我的工具利用这个特点省去了很多符号恢复和区段重建的工作。

但是！来看周一 WWDC 刚发的 KeyNote：

iOS 27 大刀阔斧地开始性能优化。

具体怎么做没说，但分析 DSC 就能看到一些端倪。

前文提到这些 section 在 iOS 26 还保留副本在 dylib，但是没有被实际用到。这次直接被优化掉了，可能是到了 35 岁了吧。

现在如果闲得慌还想实现单个文件提取，就得从零重建好几个 section，而且这些 section 都是第一个 segment (__TEXT），这就导致整个二进制文件需要重排。

于是我的工具炸了，一时半会修不好。笔者奉行实用主义，既然 IDA 已经足够好用，就不必炫技了——反正也是丢给 AI 写的。太不给面子了，公众号才发出来一个月呐。

下面再节选几个点分析 iOS 27 二进制层面做的一些优化。

在 iOS 26 上，大部分调用 objc_msgSend 的代码会被 outline 处理，放进 __objc_stubs 当中，一共有 6 行指令实现（觉得我数错的请面壁并回去复习 ARM 伪指令）：

Foundation:__objc_stubs:00000001815DD580
_objc_msgSend$HTTPBody                  ; CODE XREF: URLRequest.httpBody.getter+24↑p
ADRP            X1, #selRef_HTTPBody@PAGE
LDR             X1, [X1,#selRef_HTTPBody@PAGEOFF] ; "HTTPBody" ...
ADRL            X17, _objc_msgSend_ptr
LDR             X16, [X17] ; _objc_msgSend
BRAA            X16, X17 ; _objc_msgSend

到了 iOS 27 这个 __objc_stubs 不见了，和 stub island 一样被移出了框架，到了一个不属于任何一个 dylib 的区域，而且缩减成了 3 行指令：

ADRL            X1, selRef_HTTPBody
B               objc_msgSend ; /usr/lib/objc/libobjcMsgSend.dylib

这时候有些读者就要问了，branch 指令的跳转范围是有限制的，这一整个 cache 肯定超了。怎么做到所有的 objc_msgSend 调用都直接用标签而不用 GOT？

解析这个 DSC 的文件列表会发现 iOS 专门为 Objective-C 消息转发生成了一堆同样的 dylib：

/usr/lib/objc/libobjcMsgSend.dylib
/usr/lib/objc/libobjcMsgSend1.dylib
/usr/lib/objc/libobjcMsgSend2.dylib
...
/usr/lib/objc/libobjcMsgSend33.dylib

多机智……每隔一段距离就插入一份代码副本，你就说要不要担心跳转长度吧。

而对于跨 dylib 的函数调用，在 iOS 26 上 stub island 是这样的：

ADRL            X17, _dlsym_ptr ; GOT 里的函数指针
LDR             X16, [X17]
BRAA            X16, X17

到了 iOS 27 仍然可以看到这样的代码，但是多出了另外两种类型。

ADRL            X16, _open
BR              X16

另一种让人第一眼非常困惑：

dyld_shared_cache_arm64e.02:__stubs:0000000188138000
_objc_retainBlock_0                     ; CODE XREF: _objc_retainBlock↑j
ADR             X16, loc_18803CC2C
MOV             X17, #0x9B7
ADD             X16, X16, X17,LSL#21
BR              X16

其实就是用一个加法移位计算出 x16 的值，也就是目标函数的地址，然后跳转过去。

  X16 = 0x18803CC2C + (0x9B7 << 21)
      = 0x18803CC2C + 0x136E00000
      = 0x2BEE3CC2C ; libsystem_block.dylib!__Block_copy

第一个 ADR 用的是 PC 相对地址，这是合法的位置无关代码。

但乍一看这个写法指令数也没少啊？

之前的代码需要从 GOT 里载入一个目标函数的指针。这个指针在程序启动（或者页面第一次被访问）的时候进行重定位，arm64e 下还要处理 PAC 加签。

现在少了 GOT，首先省去了启动时的指针 rebase 操作，第二执行时也不需要 load 内存，连 cache 都不用考虑。而且 PAC 指令的跳转还要校验指针合法性，相比无条件的 BR 也有额外开销。

我去，这也行。

虽然对 IDA 一阵猛夸，还是看到了一处可以优化的点。

这堆代码有点莫名其妙。因为 IDA 暂时不认识新版 __objc_stub 的跳转逻辑，BL 的标签没有一个有效的名字：

但这个问题可以手动修复。如下例子：

Foundation:__text:0000000180C8657C
__NSBundle_load_
MOV             X2, #0
B               unk_1880035F0

BOOL __cdecl -[NSBundle load](NSBundle *self, SEL a2)
{
  BOOL result; // w0


  unk_1880035F0();
  return result;
}

双击 unk_1880035F0 跳转到目标地址，按一下 c 标记成代码：

dyld_shared_cache_arm64e.01:GAP:00000001880035F0
loc_1880035F0
ADRL            X1, sel_loadAndReturnError_ ; "loadAndReturnError:"
B               ⇗ /usr/lib/objc/libobjcMsgSend.dylib:_objc_msgSend

这时候真正的 selector 就出来了。在 ADRL 上按 n 重命名地址，根据具体的 selector，如上的例子为 _objc_msgSend$loadAndReturnError:

IDA Pro 允许函数命名包含冒号，提交之后会显示成下划线。

如果 IDA 没有自动识别出参数个数，最好按 y 手动定义一下。再返回调用方，F5 就好多了：

BOOL __cdecl -[NSBundle load](NSBundle *self, SEL a2)
{
  BOOL result; // w0


  objc_msgSend_loadAndReturnError_(a1: self, (void *)a2, a3: nullptr);
  return result;
}

已经反馈给官方了 

觉得这篇笔记有意思的话给个打赏呗 

跳转微信打开

#include<stdio.h>
#include<stdint.h>
#include<dlfcn.h>


intmain(void){
    uint64_t (*os_security_config_get)(void) =
        (uint64_t (*)(void))dlsym(RTLD_DEFAULT, "os_security_config_get");


    if (!os_security_config_get) {
        fprintf(stderr, "system too old\n");
        return 1;
    }


    uint64_t cfg = os_security_config_get();
    printf("os_security_config_get() = 0x%llx  | SCRIPT_RESTRICTIONS(0x40)=%s"
            "  HARDENED_HEAP(0x1)=%s TPRO(0x2)=%s GUARD_OBJECTS(0x100)=%s\n",
            (unsigned long long)cfg,
            (cfg & 0x40)  ? "ON"  : "off",
            (cfg & 0x1)   ? "on"  : "off",
            (cfg & 0x2)   ? "on"  : "off",
            (cfg & 0x100) ? "on"  : "off");


    void *jsc = dlopen("/System/Library/Frameworks/JavaScriptCore.framework/JavaScriptCore", RTLD_NOW);
    if (!jsc) { printf("dlopen(JavaScriptCore) FAILED: %s\n", dlerror()); return 2; }


    void* (*JSGlobalContextCreate)(void*)               = dlsym(jsc, "JSGlobalContextCreate");
    void* (*JSStringCreateWithUTF8CString)(const char*) = dlsym(jsc, "JSStringCreateWithUTF8CString");
    void* (*JSEvaluateScript)(void*,void*,void*,void*,int,void**) = dlsym(jsc, "JSEvaluateScript");
    double (*JSValueToNumber)(void*,void*,void**)       = dlsym(jsc, "JSValueToNumber");
    printf("dlopen JSC=%p  JSGlobalContextCreate=%p\n", jsc, (void*)JSGlobalContextCreate);


    void *ctx = JSGlobalContextCreate(NULL);            // <- traps here under restrictions
    printf("JSGlobalContextCreate -> %p\n", ctx);
    void *src = JSStringCreateWithUTF8CString("40 + 2");
    void *exc = NULL;
    void *res = JSEvaluateScript(ctx, src, NULL, NULL, 0, &exc);
    double out = JSValueToNumber(ctx, res, NULL);
    printf("40 + 2 = %g\n", out);
    return 0;
}

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plistPUBLIC"-//Apple//DTD PLIST 1.0//EN""http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plistversion="1.0">
<dict>
    <key>com.apple.security.script-restrictions</key>
    <true/>
</dict>
</plist>

cc test_jsc.c -o test_jsc
codesign -s - --entitlements ent.plist --force test_jsc

➜  jsc_test lldb test_jsc
(lldb) target create "test_jsc"
Current executable set to '/Users/cc/Projects/phrack/jsc_test/test_jsc' (arm64).
(lldb) r
Process 49313 launched: '/Users/cc/Projects/phrack/jsc_test/test_jsc' (arm64)
os_security_config_get() = 0x40  | SCRIPT_RESTRICTIONS(0x40)=ON  HARDENED_HEAP(0x1)=off TPRO(0x2)=off GUARD_OBJECTS(0x100)=off
dlopen JSC=0x365fa85a0  JSGlobalContextCreate=0x1a786a9bc
Process 49313 stopped
* thread #1, queue = 'com.apple.main-thread', stop reason = EXC_BREAKPOINT (code=1, subcode=0x1a7ac6854)
    frame #0: 0x00000001a7ac6854 JavaScriptCore`WTF::makePagesFreezable(void*, unsigned long) + 304
JavaScriptCore`WTF::makePagesFreezable:
->  0x1a7ac6854 <+304>: brk    #0xc471
    0x1a7ac6858 <+308>: brk    #0x1
    0x1a7ac685c <+312>: adrp   x1, 5970
    0x1a7ac6860 <+316>: add    x1, x1, #0xb44 ; "/AppleInternal/Library/BuildRoots/4~CN9QugCEa5fya5kkZXSbadtTe9oVa3sO3gsEwzc/Library/Caches/com.apple.xbs/TemporaryDirectory.sbZNe3/Sources/WTF/Source/WTF/wtf/PageBlock.cpp"
Target 0: (test_jsc) stopped.

/*!
 * @enum os_security_config_t
 *
 * @discussion
 * Supported security configurations that a process/task can have.
 * This is a bitmask type, allowing multiple configurations to be active.
 *
 * @constant OS_SECURITY_CONFIG_NONE
 * No security config flags set.
 *
 * @constant OS_SECURITY_CONFIG_HARDENED_HEAP
 * Indicates that the Hardened Heap configuration is enabled for the process/task.
 * This implies security-critical settings for the system memory allocator.
 *
 * @constant OS_SECURITY_CONFIG_TPRO
 * Indicates that Trusted Path Read-Only (TPRO) is enabled for the process/task.
 *
 * @constant OS_SECURITY_CONFIG_SCRIPT_RESTRICTIONS
 * Indicates Script Restrictions are enabled for the process/task.
 *
 * @constant OS_SECURITY_CONFIG_GUARD_OBJECTS
 * Indicates that the Guard Objects configuration is enabled for the process/task.
 */
__API_AVAILABLE(macos(26.0), ios(26.0), tvos(26.0), watchos(26.0), visionos(26.0), driverkit(25.0))
OS_OPTIONS(os_security_config, uint64_t,
  OS_SECURITY_CONFIG_NONE = 0x0,
  OS_SECURITY_CONFIG_HARDENED_HEAP OS_SWIFT_NAME(hardenedHeap) = 0x1,
  OS_SECURITY_CONFIG_TPRO OS_SWIFT_NAME(trustedPathReadOnly) = 0x2,
  OS_SECURITY_CONFIG_MTE OS_SWIFT_NAME(memoryTaggingExtension) = 0x4,


  OS_SECURITY_CONFIG_SCRIPT_RESTRICTIONS OS_SWIFT_NAME(scriptRestrictions) = 0x40,
  OS_SECURITY_CONFIG_GUARD_OBJECTS OS_SWIFT_NAME(guardObjects) = 0x100,
);

struct task_security_config {
union {
struct {
uint16_t hardened_heap: 1,
			    tpro: 1,
#if HAS_MTE || HAS_MTE_EMULATION_SHIMS
			    sec: 1,
#else/* HAS_MTE || HAS_MTE_EMULATION_SHIMS */
			reserved: 1,
#endif
			platform_restrictions_version: 3,
			    script_restrictions: 1,
			    ipc_containment_vessel: 1,
			    guard_objects: 1;
uint8_t hardened_process_version;
		};
uint32_t value;
	};
};

uint64_t os_security_config_get()
{
  return __restrictions_config & 0x40 | __security_config & 0x107;
}

{
#define SECURITY_CONFIG_KEY "security_config="
char security_config_str[strlen(SECURITY_CONFIG_KEY) + HEX_STR_LEN + 1];


	snprintf(security_config_str, sizeof(security_config_str),
	    SECURITY_CONFIG_KEY "0x%x", task_get_security_config(task));


	error = exec_add_user_string(imgp, CAST_USER_ADDR_T(security_config_str), UIO_SYSSPACE, FALSE);
	imgp->ip_applec++;
}



#if HAS_MTE || HAS_MTE_EMULATION_SHIMS
if (task_has_sec(task)) {
const char *sec_transition_shims = "has_sec_transition=1";
		error = exec_add_user_string(imgp, CAST_USER_ADDR_T(sec_transition_shims), UIO_SYSSPACE, FALSE);
if (error) {
			printf("Failed to add security translation shims notification\n");
goto bad;
		}


		imgp->ip_applec++;


/* Push down MTE-specific configuration options that allocators may be interested into. */
#define SEC_TRANSITION_POLICY_KEY "sec_transition_policy="


char sec_transition_policy[strlen(SEC_TRANSITION_POLICY_KEY) + HEX_STR_LEN + 1];
		snprintf(sec_transition_policy, sizeof(sec_transition_policy),
		    SEC_TRANSITION_POLICY_KEY "0x%x", task_get_sec_policy(task));


		error = exec_add_user_string(imgp, CAST_USER_ADDR_T(sec_transition_policy), UIO_SYSSPACE, FALSE);
		imgp->ip_applec++;
	}
#endif/* HAS_MTE || HAS_MTE_EMULATION_SHIMS */

if (v7 & OS_SECURITY_CONFIG_GUARD_OBJECTS)
      __security_config |= OS_SECURITY_CONFIG_GUARD_OBJECTS;


if (v7 & OS_SECURITY_CONFIG_SCRIPT_RESTRICTIONS )
{
      address = (mach_vm_address_t)&os_script_config_storage;
      if ( mach_vm_map(mach_task_self_, &address,
                       0x4000, // 
                       0,                                 // mask
                       VM_FLAGS_OVERWRITE | VM_FLAGS_PERMANENT,
                       MEMORY_OBJECT_NULL, 0, FALSE,      // object / offset / copy
                       VM_PROT_NONE,                      // cur_protection
                       VM_PROT_NONE,                      // max_protection
                       VM_INHERIT_COPY) )                 // inheritance (== VM_INHERIT_DEFAULT)
          __os_security_config_init_cold_2();


      address = (mach_vm_address_t)&__restrictions_config;
      if ( mach_vm_map(mach_task_self_, &address,
                       0x4000, 0,
                       VM_FLAGS_OVERWRITE | VM_FLAGS_PERMANENT,
                       MEMORY_OBJECT_NULL, 0, FALSE,
                       VM_PROT_READ | VM_PROT_WRITE,      // cur_protection
                       VM_PROT_READ | VM_PROT_WRITE,      // max_protection
                       VM_INHERIT_COPY) )
          __os_security_config_init_cold_3();


      __restrictions_config = OS_SECURITY_CONFIG_SCRIPT_RESTRICTIONS;


      result = mach_vm_protect(mach_task_self_, address,
                               0x4000,
                               /*set_maximum=*/ TRUE,
                               VM_PROT_READ);
      if ( (kern_return_t)result )
          __os_security_config_init_cold_4();
  }

staticboolscriptingIsForbidden(){
    return processHasEntitlement("com.apple.security.script-restrictions"_s);
}


voidinitialize(){
    ...
    WTF::makePagesFreezable(&os_script_config_storage, OpcodeConfigSizeToProtect);


    if (g_jscConfig.vmEntryDisallowed || scriptingIsForbidden()) [[unlikely]] {
        g_jscConfig.vmEntryDisallowed = true;
        WTF::permanentlyFreezePages(&os_script_config_storage, OpcodeConfigSizeToProtect,
                                    WTF::FreezePagePermission::None);
        return;
    }
    WTF::compilerFence();
    ...
}

// Works together with permanentlyFreezePages().
voidmakePagesFreezable(void* base, size_t size)
{
    RELEASE_ASSERT(roundUpToMultipleOf(pageSize(), size) == size);


#if PLATFORM(COCOA)
    mach_vm_address_t addr = std::bit_cast<uintptr_t>(base);
    auto flags = VM_FLAGS_FIXED | VM_FLAGS_OVERWRITE | VM_FLAGS_PERMANENT;


    auto attemptVMMapping = [&] {
        auto result = mach_vm_map(mach_task_self(), &addr, size, pageSize() - 1, flags, MEMORY_OBJECT_NULL, 0, false, VM_PROT_READ | VM_PROT_WRITE, VM_PROT_READ | VM_PROT_WRITE, VM_INHERIT_DEFAULT);
        return result;
    };


    auto result = attemptVMMapping();
#if PLATFORM(IOS_FAMILY_SIMULATOR)
    if (result != KERN_SUCCESS) {
        flags &= ~VM_FLAGS_PERMANENT; // See rdar://75747788.
        result = attemptVMMapping();
    }
#endif
    RELEASE_ASSERT(result == KERN_SUCCESS);
#else
    UNUSED_PARAM(base);
    UNUSED_PARAM(size);
#endif
}

跳转微信打开

清理大而丑 app 的存储空间，偶然发现一张来自 2021 年九月的截图。当时著名程序员 Fabrice Bellard 在他的主页上线了 TextSynth——一个可以调用文本模型的网页工具。我就用 GPTJ-6B 围绕安全主题续写（瞎编）了一段文字。

可以看到刚开始还编得像那么回事，第二段就开始不太对劲了。好在初代的文本模型没有遍地的 emoji。

注意此 GPT 并不是 ChatGPT，而是本意 Generative Pre-trained Transformer。GPT-J-6B 是由开源研究团队 EleutherAI 在 2021 年推出的一款开源大语言模型。

短短数年，恍如隔世。

虽然 AI 幻觉依然无法消灭，在模型能力强化和各种工程化实践之后，都能找到很复杂的漏洞了。反过来看，在 2026 年的当下，如果还有谁不加验证复制粘贴 AI 生成的幻觉报告来浪费时间，那是真的很难评了。

跳转微信打开

2026 柏林 p2o 三天赛程结束，结果刚刚在 OffensiveCon 闭幕会上揭晓。DEVCORE 拿下 Master of Pwn，STARLabs SG 紧随其后。

今年比赛戏份很足。由于 AI 加成，报名火爆程度超出主办方预料，有不少队伍没报上名。有人干脆就先交给厂商了。赛前 FireFox 紧急发布补丁干掉了一个队伍的项目。Palo Alto Networks 有一个难度相当高的 Safari RCE，赛前在 M4 硬件上调试，临期才告知最终环境是 M5。不巧遇上法定假日商店都不开门，没有买到和比赛环境匹配的设备，最终只差了一个 bit 适配问题遗憾没有演示成功。

不少项目感觉都很有意思。个人最期待🍊神用纯逻辑漏洞链打下 Edge 浏览器的项目，坐等公开细节[666]

跳转微信打开

赶时髦：用 Rust 重写；叫 AI 用 Rust 重写。

今晚两个消息，Google Chrome VRP 大幅降低 bounty 价格，Claude 向企业用户开放 Claude Security 工具的 beta 测试。

装作没看见，依然写老掉牙的题材。虽然实在没劲，倒也是一直有人问。

iOS 的绝大多数用户态框架都在文件系统上找不到，而是预链接了几千个 dylib 作为一个巨大的共享缓存（dyld_shared_cache）。macOS 从 BigSur 开始也引入了这个机制。想反编译点代码还挺麻烦。

都已经 2026 年了，各大反编译工具如 IDA Pro / Binary Ninja /  Ghidra / Hooper / radare2 都内置了 dyld_shared_cache 的支持。

说是支持，体验起来还是难受。

毕竟文件体积摆在那里，你只想看一个库，还得载入很多不想干的文件。漫长等待、爆内存、xref 不能用……各种问题。

拆分成单个文件？系统自带了 dsc_extractor.bundle，但是拆出来的文件也不能用，反编译一看全是红色的地址。

dyld_shared_cache 里的每个文件都被 dyld 预处理过了。很多原本属于单个 Mach-O 的信息，被挪到了 cache 的全局区域；很多指针已经按共享缓存地址空间修正过；跨库的符号引用不再使用 bind，而是直接变成 dsc 里的重定向地址。

所以反编译器看到的是一个损坏的文件：指针指向文件外，符号表缺失，__LINKEDIT 不完整，GOT 和 stub 对不上，ObjC 元数据里到处是共享缓存地址。

等等，上面的这个对比图是怎么来的？当然是写了个工具搞定了。

我几年前就用 C++ 手写过一个版本，需要串联 dsc_extractor.bundle 的输出结果和原始 dsc 文件一起处理。大体能用，但限制也很明显：只支持 iOS 18 以后的 arm64e 缓存，而且实际用起来经常遇到样本处理不完整的问题，只能哪里坏了补哪里。

现在当然要随波逐流：用 Rust 重写；叫 AI 用 Rust 重写。

这算是我用 vibe coding 做过的相对复杂的一个工作。当然，AI 不会一句话直接变出一个能用的方案，前提是我之前已经对 dyld 内部的不少机制比较熟悉，一开始能设计一个方案，并且解决不少性能和设计上的问题。

我不打算开源，所以这里简单介绍一下思路，哪位读者实在是需要，可以考虑自己复现。

这个工具的本质是恢复跨模块的链接信息：符号绑定和重定向。对应到现在的 dyld，主要就是恢复 chained fixups 结构信息，同时处理很多边角问题如二进制重排、Objective-C 运行时信息恢复，以及 ARM64 指令里那些已经被 dyld 重定位过的地址引用。

第一步当然是复刻 dsc_extractor.bundle 的行为。最简单的办法，是直接动态链接 Xcode 里自带的实现。

而 dyld 本身是开源的，都 2026 年了，当然也可以让 AI 参考 dyld 的实现，把相关逻辑移植到 Rust。然后提供几个不同版本的 iOS dyld_shared_cache 样本和 macOS 样本，让它在真实文件上自行修复、迭代。

macOS 系统和 LLVM 工具链本身就提供了很多检查 Mach-O 的工具，比如 nm、otool、dyld_info、objdump。这些工具可以作为 harness 的一部分，用来检查导出的 Mach-O 是否结构正常；同时明确要求 segment 地址、顺序、大小等关键布局尽量和原始输出保持一致，作为回归指标。

于是现在有了一个跨平台的 dsc_extractor，甚至可以部署在 NAS 上。还有一个好处是原版的并不让用户控制有选择地解压个别路径，现在可以只提取一两个库，即使是全量解压也比原版快很多。

接下来这个文件到底坏在哪里？

主要有这么些症状：

1. 分支跳转指令指向共享的 stub island 或者直接跳转到另一个库的 __TEXT 段

2. 数据区里的指针已经被 dyld 预先重定位过，指向文件外。比如 GOT、Objective-C class refs、selector refs、常量区里的函数指针，本来应该通过 bind 绑定外部符号，或使用 rebase 指向同一文件内部地址

3. Objective-C 元数据指向 __OBJC_RO 和 __OBJC_RW 段，不在文件内

4. GOT 被清零，间接绑定的 stub 地址对不上

5. arm64e 架构的文件还能看到指针被编码，混有 PAC 相关信息、diversity、key、next 等字段。对 dyld 来说这些是 chained fixups 的一部分；对单独拆出来的文件来说，就会变成一堆不像地址也不像符号的数值

dyld_shared_cache 里有 slide info，描述哪些页面、哪些位置存在需要重定位的指针。系统加载 cache 时，dyld 会沿着这些信息把指针修到正确的共享地址空间里。

关键就是逆向这个行为，找出当前 dylib 里有哪些指针需要恢复到 chained fixups 里。

目前的 dsc 依然大发慈悲保留了 exports trie 结构，虽然链接器本身已经不再使用。我们可以通过这个解析某个 dylib 所有导出的符号和地址，再反过来用地址去匹配符号。

slide info 结构迭代了五个版本。读者可以自行古法查找源代码，或者让 AI 代劳找出来。遍历 slide info 信息获取指针的所在地址和目标地址，如果目标地址在当前 dylib 范围内，生成一个 rebase；反之则反查符号索引，生成一个 bind。

当然实际情况会脏很多。地址可能带 Swift 或 arm64e 的额外 bit；目标可能落在符号中间，需要记录 addend；有些地址指向的不是函数，而是 ObjC 的 class、selector、protocol 或常量数据；还要递归处理 re-export 的情况。

在程序中会遇到大量“获取某个地址上 rebase 之后的数据”的操作。而 dsc 的 slide info 是以内存页为单位，用链表保存重定位信息。

dyld 在这里做了一个很有意思的设计：链表本身就保存在相应的地址上。重定位指针的时候，原来的指针值会被编码成一种特殊格式，其中一部分 bit 表示目标地址，另一部分 bit 表示到下一个 fixup 的距离。

页面里没有额外放一张“重定位表”。每个需要 fixup 的指针 slot 自己就是链表节点。dyld 处理某个页面时，只需要从 page start 指定的位置开始，读取这个 slot 上的 encoded pointer，解码出当前指针应该变成什么值，同时得到下一个节点距离当前位置多远。然后跳到下一个 slot，继续重复这个过程，直到 next == 0。

但对我们这种离线恢复工具来说，它有一个副作用：如果想知道某个随机地址是不是 fixup，不能只看一眼 metadata 就结束。你得找到它所在页面的 fixup 链，从 page start 一路走过去，才能知道这个地址在不在链上，以及它被 dyld rebase 之后应该是什么值。

实际运行会产生大量随机访问，重复解析多次产生严重的性能问题。

解决方法很简单，把文件以 copy on write 方式映射到内存，直接照着 dyld 的行为原地重定向即可。再简单加一层按需访问缓存，用 bitmap 标记状态，如果没有 rebase 过就走一遍。

所有地方都走同一个读取接口，只要页面被访问过，里面的指针就已经是“dyld 处理过”的状态。对于 Objective-C 元数据遍历、GOT 分析、ARM64 地址追踪这类会大量随机读指针的逻辑，性能会稳定很多。如果需要读取原始文件内容，再 mmap 一个只读副本就好了。

class 列表的修复

CFString 的修复

最后一步是最麻烦的，如何修复指令当中对地址的无效引用。

需要处理如下情况：

1. B/BL 目标地址是 stub island，需要替换成当前 dylib 的 __auth_stub 当中的动态绑定符号

2. ADRP 的处理，一般会遇到 ADRP 和 ADD（如字符串、selector 的引用）或者 ADRP 和 LDR 的组合

所以工具会做一层很轻量的指令扫描，不追求完整反编译，只识别几种模式。

第一种最明显的分支跳转，如果是共享的 stub island，就在当前 dylib 里找一个合适的 stub/GOT 位置，把这条分支改成跳到本文件内的 stub。

第二种是 ADRP + ADD，最常见就是 selector 和 class 的引用。替换成本地的 __objc_methname 或者外部绑定地址。

第三种是 ADRP + LDR，一般是 GOT、指针、ObjC 引用等。

以上两种 ADRP 都可以做一个快速路径处理，在识别到 ADRP 的时候，不需要解析后续的 ADD 或者 LDR，已经能获取到内存页的基地址，就能快速判断是不是外部的引用。ADRP 在 arm64 程序当中出现频次非常高，如果不加优化会导致运行极其缓慢。

这里还藏着一些坑。dyld 合并之后的 cache 有时候会出现同一个内存页包含两个 dylib 的结束和起始地址的情况……而这还不是最大的问题。

默认 ADRP 紧跟 ADD 或 LDR 当然最容易处理，但真实代码当中编译器经常会把它们隔开几条指令，中间穿插一些寄存器移动，甚至条件分支指令。

所以这里实现了一个简单的状态追踪，并不是真正的数据流分析。遇到类似如下指令

ADRP Xn, page

就记录一个状态，接下来线性扫描分支跳转指令简单记录控制流，如果遇到接下来匹配的操作就计算最终地址。只要发现 Xn 被其他指令覆盖，就清掉这个寄存器的状态。再结合 LC_FUNCTION_STARTS 限制函数边界，实际测试扫描的窗口不会很夸张。

在具体交给 agent 实现的时候，一开始我给的文档提到了主要思路和踩过的坑。但是生成的版本非常不满意，主要原因还是缺少回归测试的标准。

直到我偶然提到了一次 IDA，agent 给我加了一个判定的方法。生成新的 dylib 之后调用 idat 生成 .asm 文件，grep 有没有类似的无效地址引用：

0x1FAC66B18@PAGEOFF

再检查其他 Objective-C 的区段是不是正确地还原成了符号，而不是地址。代码里面每次遇到不合理的条件就直接输出日志作为反馈。这样测试覆盖率突然就上去了，挂机一晚自主解决了不少 bug。反正我手工验收，还没发现有问题的样本。

先这样吧，反正也不开源 

跳转微信打开

好奇心杀死猫

2026 年 3 月 27 日，“The White House”官方移动应用程序上线了。上线不久就有两位手痒的研究员发布了分析报告，分别针对 Android 和 iOS：

外网链接咱就不贴了，很容易搜索到。由于这个 app 本质上是 expo（基于 React Native）框架开发，所以两篇文章大同小异。

We downloaded the app, unzipped it, and took a look at what’s inside. No hacking, no traffic interception, no DRM bypassing. Just standard macOS tools (strings, nm, plutil) pointed at a free app anyone can download from the App Store.

Security Analysis of the Official White House iOS App

研究人员反编译发现，应用每隔数分钟采集一次 GPS 定位，数据同步至第三方服务器；在 WebView 注入 js 代码绕过网站付费墙（paywall）和隐私提示，违反欧盟 GDPR 法规；部分代码依赖的仓库是个人开发者，存在被篡改风险。

下面进入正题。

之前有发文章宣传过我写了个图形界面工具来方便 iOS 和 Android 两大主流平台的 app 分析。其中包括 React Native 运行时分析：

手欠的我当然是试了一把。理论上 React Native 的界面逻辑，通过注入 js 做原型链的钩子就能实现很多修改，暂时还没精力深入开发这块。

但别人的分析都集中在 React Native 反编译上。我这时候意识到我的程序里面集成的 hermes 反编译还不够用，而正好前两天 push 了一下 radare2 开发者，给 r2hermes 工具加上了缺失的交叉引用功能。

在这里补充一下上下文。radare2 最近上了 hermes 字节码反编译的插件。radare2 虽然反编译效果算不上怎么样，但胜在免费开源集成方便。即使是 GPL，反正我不改代码不静态链接就好了。

于是今天搞了一下午，做了一个网页版的 radare2。

配置 llm 之后简直就是开挂，反编译出来的东西跟源码似的。

基本找到了几位研究员提到的相关代码，在字符串里还多处硬编码了……不予置评。咱们是技术博主，不是观点输出博主。

工具已经发布了 v1.1.0 到 npm，node 一键安装：

npm i -g igf

也可以去 GitHub 页面直接下载 exe，基于 bun 打包的单文件。由于没（经费去）代码签名，下载安装的方式需要自行去除来自 Internet 标记，否则将无法运行。同样由于没有代码签名，没法验证文件是不是官方（我）构建的，所以还请风险自负。

问题来了，反编译白宫的 app 会被定点……吗？

跳转微信打开

VSCode 插件市场直接搜索 frida 工作台安装。增强版 Java 和 ObjC 类型提示，可以补全类和方法。由于高度依赖注入进程的环境，需要配置 .vscode/frida.json，详见文档说明。此功能冷启动可能有几秒延迟；一键获取 AndroidManifest.xml 和 Info.plist；批量生成钩子模版代码；内存字符串搜索和一键转储；一键生成 Objective-C classdump 头文件。本插件和 frida 官方没有任何关系，倒是大胡子叔叔亲自转发了。

跳转微信打开

中欧抽象打卡之行

内容预警：本文为没有营养的旅游流水账，糅合一些电影和音乐的梗报菜名。不感兴趣现在可以划掉了。

斯洛伐克对亚洲游客来说并不是热门目的地，为什么我又来了？旅游主打的就是私人体验。照着某书攻略固然稳妥，倒是少了“开盲盒”的乐趣。所以最近迷上一些看上去不太靠谱，其实也没太大风险的坑爹目的地。

比如上次去各种博主口中“欧洲最穷”的摩尔多瓦，物超所值。这个号应该是安全博主里为数不多去过德涅斯特河左岸的？后来发现凯奇《战争之王》现实中的原型人物曾在此叱咤风云，整个地区就是干军火生意的——这勉强解释了为什么那里的街头有着极高出镜率的特斯拉。去这种地方旅游，玩的就是心跳。

相比之下，斯洛伐克只是冷门。平心而论，这里的自然风光相当能打，只是在邻国的衬托下显得有些低调。

2023 年第一次到 Bratislava（布拉迪斯拉发） 我就已经开启地域黑模式，疯狂引用电影《Hostel（中文译名：**客栈）》的烂梗。

当时我对这里一无所知，阅片量贫乏到只剩下重口味。这部其实在捷克取景的片子，20 年前凭一己之力差点掀翻了斯洛伐克的旅游业，气得人家国会议员直接破防，隔空喊话让导演亲自来看看。

捷克斯洛伐克曾经也是一家人，果然前任的恨才是最深的。

比如 Hostel 不是唯一一部美国拍摄、捷克取景，对斯洛伐克展开地域黑的电影。小时候只看过《美国派》，并不知道还有 《EuroTrip（欧洲派）》。还好来欧洲以前没看过，不然里面对欧洲各国的嘲讽还未必能看得懂。去年 2025 年教皇方济各离世，全球直播梵蒂冈换届的那阵，除了《Conclave（秘密会议）》接到流量之外，Eurotrip 里恶搞美国高中生意外“当选”教皇的桥段也在社交网络上再次被翻出来。而这部电影点名黑的另一个地方，又是斯洛伐克首都布拉迪斯拉发……

其中一段剧情是主角几个在高速公路上搭便车想去柏林，遇到不会说英文的怪蜀黍司机。双方鸡同鸭讲一番后上了车。老司机带带我，主角满心欢喜以为快到柏林了，结果车门一开——欢迎来到布拉迪斯拉发。

多的我就不做电影切片了，毕竟我也不是做视频号的。

这个桥段让我联想起当年在巴尔干坐穷鬼巴士 FlixBus 的阴影：凌晨四点被东欧司机扔到路边加油站。吓个半死却也有惊无险，也算攒了点谈资了。

除了老电影，最近又发现一些新梗可以整活，也是我这次来的主要目的。

某书暂时没有看到有博主推荐的名人同款机位——不过是臭名昭著的名。

随着爱泼斯坦案的文件进一步解密，虽然老美努力打码，但冰山一角已经足够让舆论哗然。美国的大人物们稳如泰山，欧洲倒是有几个政客引咎辞职了。

说明欧洲人还是要点脸的。

解密文件里有一张爱泼斯坦 2018 年在斯洛伐克的合影。照片背景正是布拉迪斯拉发老城区最著名的打卡点——“守望者（Čumil）”雕塑。

这个机位我熟。隔壁就是汉堡王，2024 年 DEFCON 闭幕那天，我和几个网友在那儿一边啃汉堡一边看直播，当时网上还在疯传 IDA Pro 9 Beta 的泄漏版。

作为一名一生要出片的老中，旧地重游自然要打卡阴阳怪气一番。

然而在抽象这条赛道上，我并不是孤身一人。

当时我正纠结找哪个路人帮忙摆拍，路遇一队美国游客。我刚一开口并给对方看样板，大家瞬间对上暗号——合着他们也是来 Cosplay 这个名场面的。他们不仅热心地帮我掌镜，还大方地加入群演。虽然动作不够还原，还多了一个人。不过打上黑框，有那味儿了没？

第二天一早，我动身前往北部的斯特尔布斯凯普莱索（Štrbské Pleso）。这里是塔特拉山脉著名的滑雪胜地，但我此行醉翁之意不在酒。

这张专辑封面是白俄罗斯乐队 Molchat Doma（寂静空屋）于 2018 年发行的第二张录音室专辑 Этажи，直译为“楼层”或“地板”。

即使你没听过这名字，这支乐队也绝不算小众。他们多次来华巡演，最近一次就在 2025 年底，网易云评论过万，搞不好你就在某个短视频的背景音乐里听过那段阴冷郁结的合成器旋律。

当然接下来不会写乐评这么高级的东西。

有没有想过这个造型夸张的建筑，现实当中居然是真实存在的？

这就是全景度假酒店（Hotel Panorama Resort）。它坐落在高塔特拉山国家公园内，以标志性的倒椎体设计闻名。

从首都开车过来要 3 个多小时，其实从邻国波兰的克拉科夫出发反而更近。

高塔特拉山（High Tatras）的名气虽不如阿尔卑斯，却是斯洛伐克与波兰的天然国界。酒店步行不远就是什特尔布斯凯湖，典型的冰川湖，清澈如镜。

冬天的湖面彻底封冻，许多人直接穿行而过。但我对前阵子贝加尔湖的冰面事故心有余悸，走了一段之后还是老老实实回到环湖道上绕行。

既然来到了高塔特拉山，如果不来尝试一下 Tatratea（塔特拉茶），这趟旅行就不算完整。

虽然名字叫“茶”，但千万别被它名字骗了。这玩意儿的本质是利口酒，更接近于长岛冰茶，度数不低。

少了长岛冰茶都市丽人属性，Tatratea 是斯洛伐克糙汉用来对抗物理严寒的功能饮料，最早源于塔特拉山民的一种民间偏方。为了抵御高海拔的严寒，他们会将草药、黑茶、酒精和蜂蜜混合在一起，煮成热腾腾的强效饮品。

有点微醺了，本期的流水账到此为止。

跳转微信打开

又来乱给别人开 js 控制台

动机和背景

我好像有个偏小众的恶趣味，就是给别人生产环境的应用开 js 控制台。虽然几年前发的那个某小程序的思路早就不能用了。

最近看到国外开发者 Pilfer 一直在社交网络上宣传他的新产品 Bytecode Studio，这是一款专门用于反编译和分析 React Native 字节码的工具。

https://bytecodestudio.com

他在两年前写过一篇博客 Reverse Engineering and Instrumenting React Native Apps：

https://pilfer.github.io/mobile-reverse-engineering/react-native/reverse-engineering-and-instrumenting-react-native-apps/

这篇文章介绍了在 Android 平台的 legacy 架构下动态向当前运行的 React Native 应用注入 JavaScript 代码的过程。通过 js 层的 hook，他可以实现拦截网络请求、JSON 序列化，以及无意中 dump 一些 UI 层级结构等功能。文章里的相关代码开源了：

https://github.com/Pilfer/heresy

他的 GitHub 主页还有一个基于 Rust 的 hermes 字节码反编译工具。有了这些技术积累，并不奇怪他会做 Bytecode Studio。

而数天前 React Native 发布了 0.74 版本，默认启用 Bridgeless 架构。请注意之前引用的文章只讲了 legacy 架构。

https://reactnative.dev/blog/2024/04/22/release-0.74

而还是这几天，radare2 发布了一款插件 r2hermes，专门用于分析 hermes 字节码。

https://github.com/radareorg/r2hermes

虽然笔者不做客户端，这一系列内容勾起了我的兴趣，也就有了今天这篇文章。

Legacy 和 Bridgeless 是什么鬼

React Native 有两套架构。

Legacy 架构下，JavaScript 运行在独立线程，通过 Bridge 与 Native 通信。Native 侧核心类在 iOS 是 RCTCxxBridge，Android 是 CatalystInstanceImpl。所有跨语言调用都要序列化成 JSON 经过 Bridge 传递。

0.74 版本默认启用的 Bridgeless 架构移除了这座"桥"，JavaScript 直接调用 Native 方法，性能更好。iOS 侧核心类变为 RCTInstance，Android 侧变为 ReactInstance。

向其中注入 JS 代码可以拦截网络请求、修改界面、调试业务逻辑等，静态反编译和动态修改运行时是软件逆向常见的手法。下面结合具体代码来说明实现思路。

脚本实现

我们一共要支持 4 种情况：Android 和 iOS 的 Legacy 和 Bridgeless 架构。

frida 里可以简单实用 ObjC.classes 和 Java.classes 来检查类是否存在。

拦截 JS Bundle 加载

React Native 的 JS 代码以 Bundle 的形式加载。如果应用版本很旧，可能用的是压缩混淆后的 js，分析很简单。不过目前多数情况都是 hemes 字节码，分析门槛比前者显著提高。

我们可以拦截以下方法拿到 js 或者字节码。

iOS legacy 架构：

-[RCTCxxBridge executeSourceCode:withSourceURL:sync:]-[RCTCxxBridge executeApplicationScript:url:async:]

iOS bridgeless 架构：

-[RCTInstance _loadJSBundle:]

Android legacy 架构：

CatalystInstanceImpl 的 loadScriptFromAssets 以及 loadScriptFromFile

Android bridgeless 架构：

com.facebook.react.runtime.ReactInstance 的 loadJSBundleFromFile 和 loadJSBundleFromAssets

主动注入 JS 代码

React Native 核心的逻辑使用 C++ 实现，用 frida 直接交互虽然不是不可能，但是构造参数非常麻烦，还得处理内存管理和偏移量适配等问题。

从 Java 层或者 Objective-C 层并没有提供可以传入字符串的接口，只能把 js 写入临时的 bundle 然后载入。

在文章开头提到的 Pilfer 的博客里，作者为了拿到当前运行的 CatalystInstanceImpl 实例，用了比较 hack 的方法，创建定时器等待 loadScriptFromAssets 被调用，然后在 hook 里把实例保存下来。

// This is the app identifier you're trying to hook
const package_name = 'com.foo.bar';
// Write the hermes-hook.js payload to file
const f = new File(`/data/data/${package_name}/files/hermes-hook.js`, 'w');
f.write(`console.log(Object.keys(this)); console.log('hello from React Native!');`);
f.close();
Java.perform(function () {
  // Lazily wait for the class to be available to us  
  var looper = setInterval(function () {
    try {
      const CatalystInstanceImpl = Java.use("com.facebook.react.bridge.CatalystInstanceImpl");
      CatalystInstanceImpl.loadScriptFromAssets.implementation = function (assetManager, assetURL, z) {
        // Load the original index.android.bundle
        this.loadScriptFromAssets(assetManager, assetURL, z);
        // Load custom JS into the global hermes context
        this.loadScriptFromFile(`/data/data/${package_name}/files/hermes-hook.js`, `/data/data/${package_name}/files/hermes-hook.js`, z);
      };
      clearInterval(looper);
    } catch (error) {
      console.log('failed');
    }
  }, 10);
});

其实 frida 本身的 Java.choose 和 ObjC.choose 就可以直接在内存里检索到实例。

以 iOS 的 legacy 架构为例：

const nsData = ObjC.classes.NSData.dataWithContentsOfFile_(path);
const nsURL = ObjC.classes.NSURL.fileURLWithPath_(path);
instance["- enqueueApplicationScript:url:onComplete:"](nsData, nsURL, NULL);

新架构注入 js bundle 用的是 RCTInstance 的 _loadJSBundle: 方法。但是没想到吧，还有惊喜。这个方法在三年前的提交改过名字，之前是没有下划线的

https://github.com/facebook/react-native/commit/0dcf81b4f19484a4e43

不过这个适配好做，直接 respondsToSelector: 判断一下就行。

获取返回值

在这里遇到了另一个问题，上层封装的加载 js 接口并不等待脚本执行完成，也没有提供获取执行结果的接口。虽然我们在 js 脚本里使用 console.log 可以在 iOS 的系统日志或者 Android 的 logcat 里看到输出，对手工测试的场景绰绰有余，但如果想开发自动化工具，到处 grep 就不太优雅。

很容易想到一个很糟糕的思路：js 里内置了 XMLHttpRequest，直接把执行的结果回传到一个本地监听的 http 服务器上。也不是不可以。

那么既然我们想到了 React Native 内置函数这一点，又有二进制级别的函数插桩，不妨直接用 alert 当作 callback 回传。这并不是笔者原创，多年以前就有人用这个思路实现 WebView 的 js 和 native 互传数据了。

先把待执行代码包装一下：

const wrapped = `
try {
  var r = (function() { return ${script} })();
  alert('frida-callback:${id}:' + JSON.stringify(r));
} catch(e) {
  alert('frida-callback:${id}:' + JSON.stringify({ error: e.message }));
}
`;

接着这个字符串 frida-callback:... 会被封装成字典格式传到 native 层。以 iOS 为例，就是一个 NSMutableDictionary，其中的 key 是 "message"。但这里有一个小坑。从 6 年前的一个提交到截止本文发布的版本，这个 native 方法接受的参数是一个 C++ 的对象，解引用第一个指针才是 NSMutableDictionary：

RCT_EXPORT_METHOD(alertWithArgs : (JS::NativeAlertManager::Args &)args callback : (RCTResponseSenderBlock)callback)

而 2019 年的这个 a5ad0bf12468fc831c2a 提交当中，函数原型曾经是直接传的：

RCT_EXPORT_METHOD(alertWithArgs:(NSDictionary *)args
                  callback:(RCTResponseSenderBlock)callback)

这就导致同样的代码会崩，还得特殊处理一下。不过都 7 年了，如果不是特别执着兼容性，直接按照新的函数原型来构造参数就好了。

  const { RCTAlertManager } = ObjC.classes;
  const method = RCTAlertManager["- alertWithArgs:callback:"];
  const original = method.implementation;
  method.implementation = ObjC.implement(
    method,
    function (
      handle: NativePointer,
      selector: NativePointer,
      args: NativePointer,
      callback: NativePointer,
    ) {
      const message = new ObjC.Object(args.readPointer()) // <- 注意 readPointer
        .objectForKey_("message")
        .toString();
      console.debug(`React Native alert(${message})`);
      return original(handle, selector, args, callback);
    },
  );
  console.log('replaced RCTAlertManager["- alertWithArgs:callback:"]');

这个 Module 看上去不受 bridgeless 架构的影响，都可以用同样的方式 hook。

最后看看效果，搞了个类似 F12 的东西：

阅读原文

跳转微信打开

Wireshark 抓包用得多了，有没有试过拿来打日志？依靠内置的 lua 脚本（dissector）可以实现自定义的解码和展示，理论上什么结构化数据都可以往里面塞。

各位榜上大哥刷🍎赏金必然要分析的一类组件就是 XPC 通信。这是之前想到的一个脑洞，用 hook 抓 iOS/mac 的进程间通信然后转存到 Wireshark 里，还能保存成 pcap。

直接输出 XPC 消息的服务名，消息内容和调用堆栈。如果是 NSXPC 还可以直接打参数出来。

写得很烂有 bug 一直没办法用，于是雪藏了很久。刚才突发奇想塞给 llm，很快把 bug 修掉了…

代码在 github/ChiChou/XpcScope/releases/tag/v1.0.0

跳转微信打开

js 应用打包成可执行文件

Bun 去年年底被 Anthropic 收购的新闻刷屏了一阵，在此之前我已经在个人项目玩了好久了。

简单来说 Bun 是 js 运行时里的新秀，和 Node.js 在开发语言和引擎上都走了不同的路线。Bun 使用 Zig 开发，脚本引擎用的 Safari 的 JavaScriptCore。

去年 Agent 开发话题颇为火热，TypeScript 是不少人首选的开发语言。各种终端界面工具的流行甚至有了一点文艺复兴的味道。最新版的 Node.js 支持通过 Type Stripping 开箱即用运行 ts 项目（无需特定 flag，但不支持部分特定语法），Bun 也类似。现在运行 ts 项目已经可以基本摆脱转译器。

下面开始正题。

两年前的外国贴吧上的一封帖子《我是 GitHub 新手，不吐不快》走红了。楼主飙脏话怒喷开源作者提供的安装构建步骤繁琐，对新手不友好。

而回到 TypeScript / Javascript 构建出来的命令行工具。包管理一条命令就能一键安装，然而在桌面操作系统环境上，打包成独立可执行文件直接让用户下载也不失为一种分发的途径。

当然提供可执行文件下载并不见得比包管理一条命令安装友好多少。首先主流桌面系统的安全机制（Windows 的 SmartScreen 和 macOS 的 GateKeeper）会阻止不带签名的可执行文件直接运行。想要丝滑体验还得去搞一个签名。

在我之前折腾这个环境的时候 Node.js 的 SEA 的构建步骤还不太友好。前两天 Node.js 25.5.0 发布，总算把构建命令简化了。对比起来，目前 Node.js 的 asset API 反而更合我需求一点。

首先还是 hello world 示例。

首先 cli.ts

console.log("Hello world!");

然后使用 bun 打包成可执行文件：

bun build ./cli.ts --compile --outfile mycli

接下来直接运行这个 ./mycli 就可以。默认只会生成当前环境的可执行文件。如果需要交叉构建，例如在 Linux 下生成可供 Windows 运行的 exe，则需要加上 --target 参数。可选的平台如下：

更多选项请参考官方文档，下面讲讲之前遇到的一些坑。

本公众号的老读者肯定一下就猜到我想用这个打包 frida，没错。

在 js 里导入了 frida 库之后，编译打包运行，得到类似如下错误：

2614 |         dir = process.cwd();
2615 |       }
2616 |       if (exists(join2(dir, "package.json")) || exists(join2(dir, "node_modules"))) {
2617 |         return dir;
2618 |       }
2619 |         throw new Error('Could not find module root given file: "' + file + '". Do you have a `package.json` file? ');
                     ^
error: Could not find module root given file: "/$bunfs/root/igf-darwin-arm64". Do you have a `package.json` file?
      at getRoot (/$bunfs/root/igf-darwin-arm64:2619:15)
      at bindings (/$bunfs/root/igf-darwin-arm64:2549:41)

光看这个错误是比较让人困惑，但大体可以猜到和二进制 npm 包有关。出错的上下文在 bindings 库尝试逐层目录查找 package.json 来定位根目录，然后拼接出需要 process.dlopen 的路径来载入二进制 npm 库。这里有一个对应的 issue：

https://github.com/oven-sh/bun/issues/10964

我一开始以为二进制库不会随着 bun 的构建过程打包，询问 ai 也没有搞出来解决方案。直到有天我关注到这个 issue 下出现了几条神回复，精准地指出了问题的关键。

由于 bun 打包之后会把文件系统路径转换成虚拟的 $bunfs 路径，bindings 按照目录搜索会失败。而 bun 有一个与 Node.js 不同的地方，就是除了 process.dlopen(.so) 之外，还可以直接用 require(.so)。

只要给 node_modules 下的库（在这里是 frida）打补丁，去掉 bindings 改成 require 就可以了。当然这样一来用 node 就会报错，但我们的目的是生成可执行文件，无所谓。

Bun 还内置了一个功能就是 patch，可以在 bun install 之后自动根据 package.json 里配置的 patchedDependencies，直接修改第三方 npm 包。

如下是能让 frida@17.5.1 正常打包运行的补丁：

diff --git a/build/src/frida.js b/build/src/frida.js
index 0b047472199e9151691c52f03ffd36a85952234c..ee9395ae0a8307d8e5a9a31f8663d5d612683b0e 100644
--- a/build/src/frida.js
+++ b/build/src/frida.js
@@ -1,15 +1,8 @@
-import bindings from "bindings";
+const binding = require('../../build/frida_binding.node');
 import util from "util";
 import { Minimatch } from "minimatch";
 import { Duplex } from "stream";
 const { inspect } = util;
-const binding = bindings({
-    bindings: "frida_binding",
-    try: [
-        ["module_root", "build", "bindings"],
-        [process.cwd(), "bindings"],
-    ]
-});
 var MessageTypeImpl;
 (function (MessageTypeImpl) {
     MessageTypeImpl["Send"] = "send";

下一步就是怎么蹭 GitHub 的持续集成自动构建多个平台的可执行文件。

bun compile 命令在没有制定 target 的情况下只会生成当前平台的文件。但加上 target 参数还没完，同样因为 frida 是一个二进制包，在安装的时候会调用 prebuild（也是一个 npm 包）来下载安装对应平台的 so。

因此在 GitHub Action 的构建脚本当中也需要针对性的，对每一个 target 参数都执行一次 prebuild 命令。

如果看到这有点摸不着头脑，实例代码我放 GitHub 了。

https://github.com/ChiChou/frida-node-portable/

反正现在大家都觉得多占点内存和存储多大点事，80M 还好吧（斜眼）

最后一个困扰我的坑就是如何打包一整个文件夹。

嵌入图片等非代码等资源文件，官方的示例是这样的：

import icon from "./icon.png" with { type: "file" };
import { file } from "bun";
// Get file contents as different types
const bytes = await file(icon).arrayBuffer(); // ArrayBuffer
const text = await file(icon).text(); // string (for text files)
const blob = file(icon); // Blob

因为我要打包一个 webui 进去，而前端用的构建工具并不是 bun。

这就导致我需要编写一个脚本遍历整个文件夹，针对每一个文件生成一个 import 语句。

官网确实给了一个打包目录的示例：

https://bun.com/docs/bundler/executables#embed-directories

但同样地，在引用具体文件的时候只能专门用一条 import 语句指定相对路径。而 import 函数还不能用动态的字符串，因为打包的过程需要确定 import 的路径，否则会导致缺失对应的资源文件。更无语的是别忘了 bun 本身就是一个 js 打包器。按照官网给的示例把 .js 路径传进去，bun 不会原样打包，而是会尝试将这个 js 作为一个入口点进行代码分析，对于前端工具已经生成好的生产代码自然报错满天飞。

所以如果我要打包一整个 assets 文件夹然后调用 serveStatic……不行。

折衷的方案就是用构建脚本把前端目录打成 tar 压缩包，这样只需要 import 一个确定的文件名，然后在主程序初始化过程动态解压出来。Node 的 SEA 似乎也没有简单处理这种场景的办法，而那边甚至没有内置的 tar 解压支持。

阅读原文

跳转微信打开

安卓人的苹果会议手记

会棍博主恢复营业。前几年的 Objective by the Sea 由于各种各样的奇葩理由都未能成行，今年第八届总算安排上了。

先简单介绍一下 OBTS 的背景，虽然以前可能写过了。Patrick Wardle 是 OS X 恶意软件对抗领域的专家，维护了多个 macOS 下的安全工具[1]，撰写的 Objective-See（谐音 Objective-C）博客。他的博客和书籍可以说是学习 macOS 安全的必读材料之一。

总算网友见面。反正会议回放也能看到我，露脸无所谓了。

从 2018 年起 Objective-See 开始举办一系列 Objective by the Sea [2] 安全会议，正如其名字所示，每年的地点都在海边。不成文的规矩是一年在夏威夷，也就是 Patrick 的老家，下一年在欧洲选一个海滩，循环交替。

OBTS v8 选的会议地点在欧洲知名的电音海岛，西班牙的 Ibiza 岛。在旺季不仅有许多游客前来蹦迪，也是不少大牌球星度假的目的地。

不过 OBTS 选在十月中，天气说实话已经不太适合去海滩玩了，而且派对活动也步入尾声。住宿和机票相比旺季更好订，想趁机去体验蹦迪的可能要失望了。

配图：都市传说之 Ibiza Final Boss

顺便提一个烂梗。今年夏天有一个游客因为打扮比较奇葩，波波头墨镜配上极富个性的胡须，被多个人偷拍发到网上，并配以 Ibiza Final Boss 的称号，瞬间出道成网红。

两周前 Ibiza 遭到洪水袭击，来之前我还有点担心。到这一看大部分风暴的痕迹都被清理掉了，偶尔残留一些水坑和损坏的设施。会场准确地点并不在 Ibiza 老城，而是 Santa Eulària des Riu。整个区域看上去比较高端和清净。

本届 OBTS 从 10 月 12 日到 17 日结束，其中三天的培训课和三天议题会场。安全本来就是小众行业，细分到 iOS/macOS 人就更少了。我感觉议题能整出来三天的日程有点不可思议。

目前公开的讲稿不多，整理一下已经发布的内容，和一些相关的链接。

Make XNU <del>GREAT</del> Little Again (Jonathan Levin)

https://technologeeks.com/files/MXlA.pdf

来自 *OS Internals 的作者对 XNU 近期各种软硬件结合实现的安全机制的分析。

巧合的是，和会议无关，前几天 Moritz Steffin 公开一篇类似的文章，基于他的硕士论文。内容预警，实打实 167 页 pdf：

Modern iOS Security Features – A Deep Dive into SPTM, TXM, and Exclaves

https://arxiv.org/abs/2510.09272

Trust me, I’m an Apple Watch — On Protocol Reversing, Mimicry, and Data Exfiltration (Nils Rollshausen)

本次会议我个人最喜欢的议题是关于 Apple Watch 配对协议栈的逆向分析和一些有趣的攻击场景。

Nils Rollshausen 来自达姆施塔特工业大学的 seemoo labs。这个实验室之前就针对诸多移动生态和无线协议做过深入的逆向分析和漏洞研究，发表过不少让人印象深刻的文章。

虽然这个议题讲稿没放出来，但相关的源代码等资料其实作者早就公开了。

作者实现了一个安卓系统上可以和 Apple Watch 配对和通信的应用，这算是安卓人还是苹果人？

https://github.com/seemoo-lab/watchwitch

研究中提到的各种协议分析和各种格式的编解码工具：

https://github.com/seemoo-lab/watchwitch-tools

此外作者写了一个网页同来解码苹果协议中用到的各种二进制封装格式（例如 bplist 和 protobuf 等）：

https://rec0de.net/open/bytewitch/

Crash One - A StarBucks Story (CVE-2025-24277) (Csaba Fitzl & Gergely Kalman)

https://theevilbit.github.io/talks_workshops/2025/OBTS-25-Fitzl-Kalman-CrashOne.pdf

macOS 沙箱逃逸和本地 root 权限提升等漏洞案例分析。涉及到一些文件系统，XPC 服务和 BSD 的知识。

Breaking the Sound Barrier: Exploiting CoreAudio via Mach Message Fuzzing (Dillon Franke)

https://www.dillonfrankesecurity.com/Objective-By-the-Sea-2025_Breaking-the-Sound-Barrier.pdf

这篇之前就已经在 GP0 的博客上发布过：

https://googleprojectzero.blogspot.com/2025/05/breaking-sound-barrier-part-i-fuzzing.html

相关源代码：

https://github.com/googleprojectzero/p0tools/tree/master/CoreAudioFuzz

两个漏洞案例：

https://project-zero.issues.chromium.org/issues/406271181

https://project-zero.issues.chromium.org/issues/372511888

所有的议题都提供油管了同步直播，虽然已经结束，还是可以访问 @objectiveseefoundation 的主页查看回放。

在这里为了稍微节省读者一些时间，点名 MacPaw 的议题。虽然我没听，但会后不止一个人反馈议题质量堪忧，可能作者都不知道自己在说些什么。既然点名道姓说坏话了，那就坏人做到底。会议赞助商又不是本公众号赞助商，CleanMyMac 的母公司就是 MacPaw。关于这个软件可以去网上找一下两极分化的风评 :)

会议第二晚安排了 ctf。而我作为养生老年人当然直接跳过去吃饭。

会议有签售环节，要买书的人太多，我愣是一本没搞到。还好之前有买过一本 Patrick 的《mac 恶意软件分析艺术（卷 1）》，直接找他签了。

参会少不了尬聊。

有用户问我还会不会维护 grapefruit，甚至他们还在用。我知道这个项目基本就是死了。npm 生态各种框架迭代得实在太快了，隔一阵就要重写，不然各种构建错误。如果不剥削代码助手谁扛得住。再说还有某国的黑客最近虎视眈眈多次往 npm 下毒。

我 GitHub 上所有的工具都是写着玩，也不打算变现，没什么动力去更。假如去做什么订阅粉丝群之类的，就有种服务客户的感觉，好像被架着加班一样，何苦。都是开源的东西，你们倒是来帮写啊。

会棍博主沉寂好一阵了，再次出来营业还是挺开心。最后以 Ibiza 老城码头的夜景结束。

参考资料：

1. Objective-See: Tools https://objective-see.org/tools.html

2. OBTS https://objectivebythesea.org/

阅读原文

跳转微信打开

frida 近期修复的 Xcode 模拟器 bug 和背后细节分析

frida 17.4 修复了一个存在很长时间的问题，就是对 iOS 模拟器附加进程的支持。而这个版本顺手增强了 iOS 模拟器的处理，本文结尾将简单介绍。

这个补丁是笔者提的。虽然最后合并的实现已经大相径庭，还是专程发文得瑟一下。

问题主要就是这个 GitHub issue 所描述的：

https://github.com/frida/frida/issues/2763

首先简单介绍一下 Xcode 自带的 iOS 模拟器有什么特点。

iOS 模拟器不是真正意义的虚拟机，其实读者在 macOS 上运行 ps 查看进程列表，同时也会列出模拟器的进程。不仅如此，宿主机直接 lldb 都可以附加上去（系统进程可能需要禁用 SIP）。

所以使用 frida 框架有两种方法：

1. 反正能在模拟器运行的应用都不是加密的（至少也是砸壳过），所以直接打补丁加上 frida-gadget

2. 直接在宿主 macOS 上 frida 附加对应的进程名 / pid

出现问题的就是第二种方式。

由于附加进程，iOS 模拟器和 macOS 进程并没有本质区别，关键在于模拟器内的进程使用了独立的 RuntimeRoot，例如笔者机器上的 iOS 26 模拟器：

/Library/Developer/CoreSimulator/Volumes/iOS_23A343/Library/Developer/CoreSimulator/Profiles/Runtimes/iOS 26.0.simruntime/Contents/Resources/RuntimeRoot/

顺便提一句。虽然模拟器和真实 iOS 的实现由于条件编译可能存在差异，但截至目前版本 RuntimeRoot 下的所有 dylib 都是独立存在，没有合并成一个巨大的 dyld_shared_cache，阅读分析起来会轻松很多。iOS 开发老司机要逆向分析 iOS 私有框架都知道这个目录。

在 iOS 模拟器进程中可以检测到一些特定的环境变量，例如：

• IPHONE_SIMULATOR_ROOT

• SIMULATOR_ROOT

• DYLD_FALLBACK_LIBRARY_PATH

• DYLD_ROOT_PATH

甚至 dyld 也有一个额外的特殊版本 dyld_sim。

我先后给这个 bug 提交过两次补丁，成因还不一样。

frida 处理进程模块信息时会在内部维护一个列表结构，并动态跟踪模块的变化，也要自行处理 sysroot。

在之前版本实现中，可能是考虑跨进程读取环境变量比较啰嗦，就使用了一个启发式检测的思路。首先遍历进程模块，如果存在 /usr/lib/dyld_sim 结尾的模块，就取路径前缀作为模拟器根目录。

在 iPhone 15 模拟器之前，dyld_sim 加载的顺序是固定的，默认就是第一个。frida 只用了一个循环，一边遍历一边获取路径前缀，没出现问题。之后 dyld_sim 的顺序被打乱，就识别出了错误的 sysroot。

我在 0x41con 期间和另外两个核心开发者碰面，当场掏出电脑咨询了一下怎么快速跑起来单元测试。接着就用 print 大法开始调，还真让我修好了。

但这个 bug 今年又出现了。虽然看上去错误信息一样，原因有所不同。

frida 此时还是依赖 dyld_sim 的绝对路径来检测模拟器的前缀。在 iOS 26 模拟器上，无论是 _dyld_image_count 还是编程获取 TASK_DYLD_ALL_IMAGE_INFO，都会把 dyld_sim 排除在外。而这个模块实际上还在，只是遍历不到了。

我交的补丁只能去遍历进程所有 mmap 的文件来查找 dyld_sim，弊端也很明显，准确性和性能都降低了。虽然合并了我的补丁，其实已经改的大相径庭。既然每次都报找不到 libSystem.B.dylib，那干脆用这个模块的路径来找前缀。

到这里我受启发动了点歪脑筋。App 的作者能不能利用这些启发式检测对抗 frida 的代码注入？

我做了一个快速的 poc。在 macOS 上把文件 /usr/lib/system/libsystem_kernel.dylib 复制到 /tmp/usr/lib/libSystem.B.dylib，接着编译一个什么也不干的空程序运行：

#import <Foundation/Foundation.h>
int main(int argc, const char * argv[]) {
    @autoreleasepool {
        NSLog(@"frida %d", getpid());
        CFRunLoopRun();
    }
    return EXIT_SUCCESS;
}

运行的时候加上环境变量，让它优先载入一个同名的 dylib：

DYLD_INSERT_LIBRARIES=/tmp/usr/lib/libSystem.B.dylib

注意在这里必须使用链接器添加 LC_LOAD_DYLIB，或者 DYLD 环境变量，否则会影响模块载入顺序，先加载系统正常的 libSystem.B.dylib。

这样一来 frida 的模块检测就会被扰乱：

Failed to attach: unable to bind, “_DefaultRuneLocale” not found in “/private/tmp/usr/lib/libSystem.B.dylib”

笑死。

frida 除了修复 bug 之外还增强了对模拟器的支持。frida-ls-devices 从 17.4 开始会单独将模拟器列为设备，也支持启动 App 了：

frida -D 6AB414C0-98BC-4E41-9112-14EA89F2FFD7 -f com.bundle.app

之前只能先运行再附加。

笔者有一个 VSCode 插件暂时没适配上新版。现在在参加 OBTS，只能先缓缓了。

阅读原文

跳转微信打开

巴黎的 Hexacon 第一天邀请到了苹果的安全架构 VP Ivan Krstić 做 keynote 演讲。宣布演讲嘉宾的时候大家就已经猜到了肯定是和 iPhone 17 的 MIE （内存安全性防护 ）特性有关，对漏洞研究员来说号称目前是消费级市场最难搞定的手机型号。

而 Hexacon 本身是偏向攻击技术的安全会议，这个议题和背后的赞助商 logo 同框真是相映成趣。

价目调整后，满足要求的“零点击”漏洞最高给高达两百万美元的奖励。而如果漏洞影响 beta 测试版并能绕过锁定模式（Lockdown Mode，面向极少数对安全有高要求用户，通过禁用部分系统功能减少远程攻击面的安全机制），叠加奖励最高能给到五百万美金。

针对 WebKit 带沙箱逃逸的完整利用链条，最高奖金 30 万（译者注：和今年的 Pwn2Own 价格一样，在整活）。无线近源攻击最高 100 万刀。

新规则还会引入类似 ctf 的 Target Flags 模式，方便漏洞提交者演示漏洞危害程度和作为赏金的评判标准。具体怎么实现还没提。

此外赏金计划还扩展到 iCloud 未授权访问和 macOS 特有的 GateKeep 机制绕过等。面向记者等容易受到入侵威胁等人群，苹果还开启了另一个计划，向高风险用户免费提供一千台支持 MIE 的 iPhone 17 设备（赤裸裸的广告）。

SEAR 官方博客已经针对新的规则做了一部分介绍，但更多的规则和新的赏金计划将在 11 月实行和披露。

https://security.apple.com/blog/apple-security-bounty-evolved/

这下苹果人生了。

跳转微信打开

Threat retard

今天扒一个来路不明的 GitHub 账号。

github[.]com/JGoyd

linkedin[.]com/in/josephg007/

阅读原文

跳转微信打开

蚂蚁呀嘿 蚂蚁呀呼

事情是这样的。前阵子看到去马尔代夫🇲🇻的机票很便宜，马上锁座支付一气呵成激情下单。完事一看发现大意了。外语不好，人家是摩尔多瓦🇲🇩。

早几年做背包客单人去摩尔多瓦倒是没什么问题。但现在欧洲 GDP 倒数第一就在隔壁打仗，有一些风险。当然那边我是万万不敢去的。

玩笑归玩笑，其实我拉上了三个斯拉夫朋友一起才敢出发。四个人的小团，有两个拿过 Pwnie，占比高达 50%。

这次旅行纯粹就是略带猎奇的态度看看一个成本不高，又相对冷门的目的地。反正没有期待值，搞不好有惊喜呢。

行程包含一些有争议的地区，先说在前面，文中出现的地区我们只逛，不代表任何立场，请勿过度解读。

从机场打车到市区，价格大约在 200MDL 左右，约合 10 欧元。习惯了西欧的物价，感到不可思议。即使司机喊价一口要 300，我直接就答应了。

在东欧国家，甚至柏林墙以东，居民楼的建筑风格经常给我一种既熟悉又陌生的奇怪感觉。

市中心有一些苏联时期遗留的大型建筑，看上去以前曾经是酒店。

这个有 MOLDOVA 字样的彩色建筑是 Hotelul Național。我在油管上找到了一个今年初（2025）上传的探险视频，内部基本就是荒废的状态。

自从有了小🍠之后感觉已经没有什么冷门目的地了。不管北欧还是巴尔干，走到哪都能扎堆遇到老中。这次在摩尔多瓦总算体验到一条街都碰不到一个亚洲人的感觉了，时不时会有人盯着我看。

楼上 LED 轮番滚动美股七姐妹、大饼、主流货币汇率、油气等的交易行情。今天一片绿光，行情还不错。算是东欧时代广场？

摩尔多瓦的顶级域名是 .md，网址给人一种文件名的错觉。看到波兰域名会感觉都是 perl 脚本，塞尔维亚的网站好像都是 rust 源文件，而摩尔多瓦早就为 llm 做好准备，用上了 markdown。

说到摩尔多瓦不得不提 O-Zone 组合的神曲 Dragostea Din Tei。

这首歌当年在欧洲太火，根据 Wikipedia 的说法“被全球逾一百名歌手翻唱成二十种不同语言，逾三十个版本”。2021 年这首歌在中文互联网上因为 ai 换脸的短视频又翻红过一阵。

而汉化版你大概率也听过，彩铃的年代曾经也响彻过大街小巷。时代的眼泪。

我之前发过一篇关于布加勒斯特的流水账游记，当时误认为 O-Zone 是罗马尼亚的乐队。

罗马尼亚🇷🇴和摩尔多瓦🇲🇩不仅国旗相似，语言仅是方言的差别，这两国历史上的分分合合说来话长。O-Zone 乐队成员都是摩尔多瓦人，但乐队主要在罗马尼亚发展，这首神曲就是在布加勒斯特制作。所以给自己洗地一下，这个误会情有可原。

第一天打卡了市区中心的一些公园，很安静很闲适，倒也乏善可陈。午饭在 MallDOVA 购物中心解决，这个名字玩了一手谐音梗。格鲁吉亚菜，居然还不错。

晚上我们原本打算找一个 K 歌酒吧，在门口被嫌弃有人穿短裤不让进。后来偶遇另一波本地人，会一点英文，刚给家里的小孩办完十八岁成人礼。他们解释了下，基希讷乌确实是这样，KTV 算是高档场所，有着装要求。

这是平民得不能再平民的活动了吧…在欧洲十几个国家的酒吧唱过 K 都没听过这规矩。只能调侃一下米兰巴黎算个毛时尚之都，摩尔多瓦才是潮人街。

接下来有一些不知道适不适合发布的内容。没错，我们颤颤巍巍地去德涅斯特河沿岸地区（中文一般简称德左）打卡了……

有一点搞笑，上一篇推文的时候我在波兰，大毛的无人机入侵空域，搞得波兰很紧张，我也赶紧跑路。没隔多久为了猎奇，自行前往有大毛驻军（字面意思）实控地区。

这是一个存在争议的地区，目前国际上公认属于摩尔多瓦领土。博主无心讨论他国内政，更不想在评论区看到对线，所以这个背景科普就随便找了一篇别的公众号的文章：

德左两次申请加入俄罗斯，为何被俄罗斯拒绝？

近些年有一些油管甚至 B 站 Up 主为了满足观众的好奇心，前往打卡拍摄。不过目前 B 站亲自去过的 Up 主一只手数得过来。我这为了搞抽象，冒险去看看。

我们有个朋友文化衫背后印着明显的 HACKER 字样，头晚上强烈要求他不要穿。后来换了件 CrowdStrike，应该没人知道。

从基希讷乌到 Tiraspol 驱车需要一小时多一点。检查站会查护照，比想象中容易很多，一会就放行了。

有不少博主和视频都说这个地区像凝固的时间胶囊，到处是列宁像，保留着很多苏联时期的风貌，街上有很多老爷车云云。

我本来脑子里想象的是周杰伦逛哈瓦那那种画风。进了 Tiraspol 市区一看，巴士比我年纪还大不假，但是私家车可不敢苟同。

欧洲的新能源车推广比较激进的在北欧，特别是挪威，奥斯陆甚至有不少中国产 EV 的门店。西欧私家车本来就有保养量，没必要换掉，即使新车也偏爱插电式混动。所以之前看到特斯拉有一些但不多。

谁想来了 Chișinău 街上一堆特斯拉，到了 Tiraspol 密度更多，就基本上只要是有路必有特斯拉。我们一行人大大的问号，一路上一个充电桩都没见着，这么多特斯拉去哪充的？当然中国产电车也零星遇到了，相比之下完全没有存在感。

我们是周日去，一些纪念品店休息，大部分银行也不开门。总算找了个地方能换欧元，突然感觉变有钱了。可惜当地特色塑料硬币我们没搞到。

当地的纪念品还有冰箱贴和明信片，但是上面文案都是半开玩笑地说“承不承认我们的国际地位？”，不太敢带怕回申根区有麻烦就作罢了。

午饭在 Tiraspol 的 Back in the U.S.S.R. 餐馆，我没翻译是因为这个名字引用了披头士的一首歌，就叫这名字。就点了一个类似 Goulash 的汤，印象不是很深。有意思的是餐馆隔壁居然有个赌场，叫做 Macau……

说到旅行体验真的没啥地方可逛。基本就是广场和公园，或者顺带去中心市场看看本地人的生活状态。连德左都有卖 labubu，妥妥的消费主义。

出检查站会再查一次证件，护照不留任何记录，只打印一张纸，相当于到此一游的凭证。

回来的路上顺道去了个酒庄，避免广告嫌疑就不提名字。根据 wiki 说法，摩尔多瓦葡萄酒产量在欧洲国家能排到 11 位。和其他地区的酒庄类似，这也有参观酒窖和品酒的项目。我们时间有限直接去吃饭了。

欧洲理事会于 2023 年 6 月在这办过一次领导人聚会。本来我以为在东欧会因为食物不合口味饿肚子，没想到还吃了顿好的。

咸鱼也是出息了，都和马克龙泽连斯基吃上同款了。

这次抽象旅行确实远超期待值，实在没想到我一向挑剔的胃口还能在东欧大快朵颐。

不过确实这个国家游客少有其客观原因，沧海遗珠也好实在无聊也罢。目前如果不是进阶背包客，或者真就是来刷护照印章，欧洲旅行还是优先考虑别的国家深度体验。

阅读原文

跳转微信打开

iOS 漏洞研究倒闭了

又一年苹果新品发布会。给 17 Pro 系列摄像头一下堆料上了 200mm，可惜血月都结束了。都怪太阳系，就不能给等到下个月再月全食吗？

发布会后，苹果的 SEAR 团队立马发布了一篇博客，介绍发布会没有展开介绍的 A19 芯片一个特性 Memory Integrity Enforcement（强制内存完整性）。这是苹果基于 ARM Memory Tagging Extension 增强开发的针对内存安全漏洞的保护。

2023 年搭载了 ARM Memory Tagging Extension 的 Google Pixel 8 上市，到现在近两年了，越狱圈一直都在观望看苹果什么时候上。这不终于等来了。

博客中提到这个防护针对两种常见的内存安全问题做阻断，一个是缓冲区溢出（buffer overflow），另一个是释放后重用（UAF）。

前阵子 iOS 18.6.2 紧急修复了一个图像处理相关的越界写漏洞看上去可以被阻断。不过这有个前提，就是对应的进程需要在编译阶段启用相关的功能，详见：

https://developer.apple.com/documentation/xcode/enabling-enhanced-security-for-your-app#Adopt-memory-integrity-enforcement

这个 0day 利用攻击的是第三方应用 WhatsApp。首先第三方厂商不会这么激进地适配新硬件，另一方面 MIE 可能会识别出程序本身的 bug 导致更频繁的异常崩溃现象。短期内第三方应用上保护可能不太现实。

iOS 漏洞研究倒闭啦！

等等。Android MTE 发布之后有一些厉害的研究员仍然找到了一些绕过案例。

• Gaining kernel code execution on an MTE-enabled Pixel 8

  https://github.blog/security/vulnerability-research/gaining-kernel-code-execution-on-an-mte-enabled-pixel-8/

• Bypassing MTE with CVE-2025-0072

  https://github.blog/security/vulnerability-research/bypassing-mte-with-cve-2025-0072/

• TIKTAG: Breaking ARM’s Memory Tagging Extension with Speculative Execution

  https://taesoo.kim/pubs/2025/kim:tiktag-sp.pdf

• 破解 Pixel 8：利用未公开的 DSP 漏洞绕过 MTE 防护

  https://hitcon.org/2025/zh-TW/agenda/b7635c13-282e-4673-8297-43ed3550b3d3/

让我们看看接下来如何。

参考资料

1. Enhanced Memory Tagging Extension (EMTE)

   https://developer.arm.com/documentation/109697/0100/Feature-descriptions/The-Armv8-9-architecture-extension?lang=en#md454-the-armv89-architecture-extension__FEAT_MTE4

2. First handset with MTE on the market

   https://googleprojectzero.blogspot.com/2023/11/first-handset-with-mte-on-market.html

3. Memory Integrity Enforcement: A complete vision for memory safety in Apple devices

   https://security.apple.com/blog/memory-integrity-enforcement/

阅读原文

跳转微信打开

这是功能！feature！

Target 0: (fuscript) stopped.(lldb) bt* thread #1, queue = 'com.apple.main-thread', stop reason = breakpoint 1.15  * frame #0: 0x00000001909a37fc libsystem_kernel.dylib`__accept    frame #1: 0x0000000102e09b00 fusionscript.so`Fusion::Platform::AcceptSocket(Fusion::Platform::_Socket*) + 28    frame #2: 0x0000000102e312dc fusionscript.so`___lldb_unnamed_symbol4493 + 480    frame #3: 0x0000000102e31a34 fusionscript.so`ScriptServerMain + 112

• 禁用（None）
• 本地（Local）
• 远程（Network）

resolve = bmd.scriptapp('Resolve')resolve.OpenPage('deliver')

fusion = bmd.scriptapp("Fusion", "test.local")# test.local 为内网的目标系统地址print(dir(fusion))fusion.Execute('lua code here')

阅读原文

跳转微信打开