iOS逆向工程 - 有根越狱和无根越狱详细解读

作者 Lexiaoyao20

2025年6月25日 01:22

1. 什么是iOS越狱？

iOS越狱就像是给你的iPhone或iPad"解锁超级权限"。想象一下，你的手机就像一个被锁住的房间，Apple 决定了你能做什么、不能做什么。你只能安装 App Store 里的应用，无法随心所欲地修改系统设置或外观。越狱就是打破这种限制，让你能够：

安装苹果App Store以外的应用
深度定制系统界面和功能
使用更多高级功能和插件

简单来说，越狱就是让你的 iPhone 或 iPad 更自由，但也更有风险。

在学习iOS逆向的过程中，了解到还区分“有根越狱(Rootful)”和“无根越狱(Rootless)”两种方式（当然还有完美越狱和半完美越狱，这两个比较好理解，所以本文不再详细介绍），看字面意思，完全无法解理解有根和无根的区别，然后去搜查了一些资料，于是就有了本篇文章。

本文将带你深入了解这两种越狱方式的演变、技术原理的核心差异，以及为何‘无根越狱’会成为当今的主流。

2. 传统时代：有根越狱的黄金年代

有根越狱(Rootful) 的核心定义在于其能够获得对根文件系统，即路径为 / 的分区的读写权限。在很长一段时间里，这被认为是“完整”越狱的标准定义。它赋予了用户及所安装的软件对整个操作系统文件结构的完全、无限制的控制能力。

这种完全的读写权限使得插件（Tweak）和应用程序可以直接安装到系统目录中，例如/Library、/usr/bin和/Applications，这与传统的桌面操作系统体验非常相似。这种模式为开发者提供了巨大的能力和灵活性，他们可以直接替换或修改系统守护进程、库文件和应用程序。

在iOS 15之前，几乎所有的越狱工具都采用这种模式。著名的例子包括适用于iOS 11至14的 unc0ver 工具，以及 checkra1n 的早期实现。这些工具的工作原理是通过修补内核，将系统分区重新挂载为可写模式。

有根越狱的优势:

功能强大：几乎没有限制，想改什么就改什么。
兼容性好：支持过去十多年开发的所有插件。
开发简单：插件开发者可以直接访问系统资源。

然而，这种强大的能力也伴随着巨大的风险：

容易出错：误删系统文件可能导致手机"变砖"。
难以恢复：一旦出问题，往往需要完全重装系统。
更新困难：无法正常进行系统更新。

3. 变革的催化剂：iOS 15与签名系统宗卷

2021年，苹果在iOS 15中引入了一个革命性的安全机制—— 签名系统宗卷（Signed System Volume，简称SSV）。这项技术可以理解为给整个iOS系统加了一个不可伪造的"数字封条"，从根本上保护系统文件的完整性和真实性。

SSV的核心工作原理

1. 多层数字指纹保护

系统为每个文件生成唯一的SHA-256哈希值，类似于文件的“数字指纹”。
这些哈希值按Merkle树结构存储，每个节点递归验证其子节点的完整性。
根节点的哈希值称为“封章”（seal），覆盖SSV中每个字节的数据；任何单个文件改动都会影响整棵验证树，最终导致封章验证失败。

2. 苹果官方数字签名

整个系统宗卷由苹果使用私钥进行数字签名
只有苹果的签名才能被iOS设备认可
确保系统文件完全来自苹果官方，未经第三方修改

3. 全时段完整性监控

启动验证：设备启动时首先验证系统完整性
运行时保护：系统运行过程中持续监控文件状态
实时响应：一旦检测到异常立即触发保护机制

SSV带来的深远影响

对系统安全的提升：

零容忍篡改：任何系统文件修改都无法逃过检测
供应链保护：防范恶意软件在系统层面植入后门
完整性保证：确保用户运行的始终是未被污染的原装系统

对越狱生态的冲击：

传统有根越狱失效：无法修改系统分区，所有越狱方法必须绕过SSV验证
技术门槛飙升：越狱开发者必须寻找全新的突破路径

4. Palera1n与绑定挂载

由于 SSV 机制，使得传统的有根越狱方式（修改根文件系统）变得几乎不可能。但是也有一个例外，它就是：Palera1n。Palera1n越狱工具利用的 checkm8 漏洞，该漏洞存在于苹果A5至A11芯片的设备中，想要了解这个漏洞的细节，可以阅读一下这篇文章： iPhone史诗级漏洞checkm8攻击原理浅析，其执行时机早于iBoot进行SSV完整性检查的阶段。这个启动前的执行环境是绕过SSV的关键。

checkm8漏掉的特点：

位置：存在于设备的BootROM中（最底层的启动代码）。
不可修复：BootROM是设备启动时最初执行的只读固件代码，无法通过软件更新修复。
永久性：只要硬件不变，漏洞就永远存在。

该漏洞原理：

BootROM启动流程:
SecureROM → iBoot → iOS内核 → 用户空间
     ↑
   checkm8在这里获得控制权

由于其执行时间早于SSV完整性检查阶段（SSV在iBoot阶段执行），利用这个时间窗口，基于bootROM的越狱工具采用了一种巧妙的变通方法——绑定挂载（Bind Mount）。它并非直接修改根文件系统，而是先创建一份根文件系统（rootfs）的快照，然后将这份可写的副本“覆盖”挂载到原始的只读系统卷之上。这种技术创建了一个“伪根”（fake root），从而欺骗系统和应用程序，让它们以为自己正在与一个可写的根文件系统进行交互。

palera1n越狱工具的限制：

由于依赖checkm8漏洞，仅支持A8-A11芯片设备（即支持 iPhone6s ~ iPhone X系列设备），因为A12芯片后修复了这个漏洞。
palera1n的有根越狱由于需要伪造根文件系统来实现根目录可写（相当于创建根文件系统的一个副本），所以需要较大的存储空间。

5. 现代解决方案：无根越狱的崛起

面对苹果在iOS 15中引入的签名系统宗卷（SSV）这一坚固壁垒，传统的有根越狱方式几乎走到了尽头。然而，社区的智慧是无穷的，为了在不破坏“数字封条”的前提下重获自由，一种更为精巧、安全的“无根越狱”（Rootless）方案应运而生，并迅速成为后SSV时代的主流。

什么是无根越狱？

无根越狱，顾名思义，指的是在 不修改系统根文件系统（/） 的情况下实现越狱。

我们可以用一个形象的比喻来理解：如果说有根越狱是直接闯入并改造房子（系统）内部的承重墙和房间结构；那么无根越狱则更像是在房子旁边搭建了一个功能齐全、设施完备的“扩展工作室”（即越狱环境），并通过精密的“传送门”（路径重定向）将工作室与主屋连接起来。

在这种模式下：

系统根目录（/）保持只读：房子的原有结构和文件完好无损，维持了苹果设计的完整性和安全性。
越狱文件集中存放：所有越狱工具、插件和依赖文件，都统一安装在用户数据分区的一个专用目录，通常是 /var/jb。这个目录就是我们比喻中的“扩展工作室”。它本身是一个符号链接，指向一个更深、更固定的路径（如 /private/preboot/<UUID>/procursus），以确保系统的稳定性。
虚拟化操作：通过一系列技术手段，让越狱插件和工具“以为”它们仍在传统的系统目录中运行，但实际上所有操作都被智能地引导至 /var/jb 这个隔离区域内完成。

无根越狱的技术实现原理

无根越狱的魔力在于其“欺骗”系统的能力，这主要依赖于以下几种核心技术的协同工作：

1. 符号链接（Symbolic Links）与目录模拟

越狱过程首先会在 /var/jb 内部创建一套模拟的系统目录结构，例如 /var/jb/usr/bin、/var/jb/Library 等。这一步相当于在“扩展工作室”里仿造了主屋的房间布局。这些目录将用来存放原本应置于系统根目录下的越狱工具和插件。

2. 路径重定向（Path Redirection）

这是实现无根越狱最关键的一环。通过注入代码来修改系统API（如文件访问相关的系统调用）的行为，或调整进程的环境变量，建立起一套“传送门”规则。
具体例子：当一个插件尝试从传统的路径 /usr/lib 加载一个动态库时，这套重定向机制会立即介入，将其访问请求无缝地“传送”到实际存放该文件的无根路径 /var/jb/usr/lib。整个过程对插件本身是透明的，它以为自己访问的是系统目录，从而保证了兼容性。

3. 动态库注入（Dynamic Library Injection）

与传统越狱类似，无根越狱也需要在应用或系统进程启动时，将实现额外功能的动态库（即插件，Tweak）注入其中。
这些动态库通过Hook（挂钩）系统或应用自身的函数，来修改其行为、扩展新功能。在无根环境下，这些待注入的动态库都存放在 /var/jb 的对应目录中。

这三者环环相扣：符号链接搭建了舞台，动态库注入是登台表演的演员，而路径重定向则是确保演员能从后台（/var/jb）精准登上正确舞台（目标进程）的智能调度系统。

无根越狱的深入分析

技术优势：

安全隔离：由于不触碰核心系统文件，越狱环境与原生系统被清晰地隔离开，大大降低了因误操作或插件冲突导致系统崩溃（“白苹果”）的风险。
易于管理和恢复：所有越狱相关的文件都集中在 /var/jb 目录下，无论是备份、迁移，还是彻底卸载越狱，都变得异常简单——在很多情况下，只需删除该目录即可恢复到纯净的未越狱状态。
支持OTA更新：由于系统文件的完整性（SSV封印）未被破坏，设备理论上可以像正常设备一样接收和安装官方的OTA系统更新（尽管更新后通常需要重新越狱）。
更难被检测：相比于直接修改系统文件的有根越狱，无根模式的“痕迹”更少，增加了越狱检测应用的识别难度。

技术挑战：

插件兼容性重构：所有为有根越狱开发的旧插件都必须由开发者重新编译，并调整其文件路径以适应新的无根目录结构，一些无人维护的旧插件因此被淘汰。
功能限制：虽然绝大多数功能得以保留，但极少数需要对最底层系统分区进行修改的深度定制功能，在无根模式下可能难以实现。
开发复杂性：对于越狱工具的开发者而言，需要维护一套更复杂的路径重定向和权限管理机制。

6. 有根越狱和无根越狱的区别

我们通过以下表格来总结一下有根越狱和无根越狱的区别。

特性	有根越狱（Rootful）	无根越狱（Rootless）
系统根目录权限	获得根文件系统（/）的读写权限，直接修改系统分区	根文件系统只读，不修改系统分区
越狱文件位置	插件和文件散布于系统目录，如 `/Library`、`/usr/bin`等	所有越狱文件集中在 `/var/jb` 目录
系统完整性	破坏系统完整性，破坏SSV封印，导致无法正常OTA更新	保持系统完整性，支持正常OTA更新
稳定性	容易因插件或误操作导致系统崩溃、白苹果	稳定性高，系统核心不受影响，易于卸载和恢复
越狱检测	易被检测，应用可检测系统文件修改和存在的越狱文件	检测难度较大，但存在针对 `/var/jb` 等路径的检测方法
插件兼容性	兼容大量旧插件，支持传统越狱生态	所有插件都需为无根路径重新编译。遗留/废弃的插件不兼容
适用设备及系统	iOS 14及以前版本，或基于bootROM漏洞的设备（如Palera1n）	iOS 15及以后版本主流，适用于无bootROM漏洞设备
恢复难度	恢复复杂，需借助工具，风险较高	恢复简单，删除越狱目录即可

7. 未来展望

从有根到无根的转变，标志着iOS越狱技术的一次重大革命。虽然我们失去了对系统的绝对控制权，但换来的是更高的安全性、稳定性和可维护性。

随着苹果安全机制的不断升级，无根越狱已成为越狱技术的主流发展方向：

技术成熟度：工具链和生态系统日趋完善。
社区支持：开发者逐步适应无根开发模式。
安全平衡：在功能性和安全性之间找到更好的平衡点。

普通视图