2026-07-26 04:20:13 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本文详解基于usbliter8硬件漏洞的iOS27越狱方案。该方案利用A12/A13芯片SecureROM缺陷，需借助外接开发板触发PWNDFU模式。通过修改IPSW固件的内核、设备树与系统服务，精准绕过USB限制、沙盒、代码签名、安全隔区及激活机制。目前仅适配单机型且会导致WiFi和基带等核心功能永久损坏，仅供安全研究者用闲置设备进行底层实验，普通用户切勿尝试。 综合评分： 90 文章分类： 漏洞分析,逆向分析,移动安全,二进制安全,漏洞POC

cover_image

研究人员公布usbliter8 硬件漏洞越狱iOS 27方案

原创

黑鸟黑鸟

黑鸟

2026年7月25日 23:34 广东

在小说阅读器读本章

去阅读

近日 GitHub 上的 usbliter8-fun 开源项目引发了技术圈关注，这套方案成功在 iPhone11Pro 上实现了 iOS27.0 测试版的系统越狱。

和大众认知里的一键越狱工具不同，这是一套纯面向开发者的深度技术实验，依托芯片级的 SecureROM (安全只读存储器) 漏洞，通过外接硬件触发破解模式，刷入修改后的自定义固件突破系统全部安全限制。整个操作会彻底抹除设备数据，还会导致多项核心硬件功能失效，只适合用闲置设备做研究使用。

github[.]com/34306/usbliter8-fun

整个方案的核心是由 Paradigm Shift 团队披露的 usbliter8 漏洞，攻击目标是芯片内置的 SecureROM。

相关情况可见：

usbliter8：苹果 A12/A13 BootROM 硬件漏洞的完整利用路径

这部分代码属于硬件级初始引导程序，固化在芯片内部，优先级高于系统固件，正常情况下无法通过软件手段修改。

该漏洞影响范围覆盖 A12 和 A13 芯片，Apple Watch 系列的 S4 和 S5 芯片同样存在对应缺陷。

漏洞无法单纯通过电脑 USB 触发，必须借助搭载 RP2350 芯片的开发板发送特定信号，才能让设备进入 PWN DFU (可篡改设备固件升级) 模式。

正常 DFU 模式下设备会严格校验固件的官方签名，而 PWN DFU 模式会突破这层校验，允许刷入任意修改过的自定义固件。

项目作者使用的硬件载体是 Raspberry Pi Pico 2 开发板，搭配一根改造后的 Lightning 数据线。具体接线规则为红线接 VBUS 供电引脚，黑线接 GND 接地引脚，数据线内部的白芯 D – 引脚接开发板 G13，绿芯 D + 引脚接开发板 G12。

将原版 usbliter8 的漏洞程序烧录进开发板后，这套装置就可以用来触发设备的漏洞模式。

目前这套方案仅适配 iPhone11Pro，其他搭载同系列芯片的设备需要找到对应内存偏移量才能适配，无法直接复用。操作本身风险极高，刷入自定义固件会清空设备全部数据，还会造成 SEP (安全隔区) 异常、密码功能失效、WiFi 无法使用、基带功能损坏、蓝牙部分功能异常，以及所有苹果官方服务无法运行。绝对不能在日常使用的主力机上操作，仅适合拥有闲置设备的开发者进行技术实验。

项目的核心工作是对官方 IPSW (苹果设备固件包) 进行多处二进制修改，突破系统各层级的安全限制。这些补丁覆盖内核、设备树、系统服务三个层面，每一处都对应苹果的一项安全机制，修改位置和指令都有明确的偏移量对应。

内核层面共有三处核心修改。第一处针对内核中 isDeviceInRestoreMode 函数，对应文件偏移 0x2894b68，写入二进制指令 20 00 80 d2 c0 03 5f d6，让内核始终判定设备处于恢复模式，以此绕过 USB 限制模式的约束。第二处针对沙盒机制，在 file_check_mmap 函数偏移 0x2f774e0 处写入指令 00 00 80 d2 c0 03 5f d6，同时修改 mount_check_mount 偏移 0x2f75640、remount 偏移 0x2f75474、umount 偏移 0x2f75110、vnode_check_rename 偏移 0x2f7019c 等多处位置，放开 /var/jb 目录的代码执行权限，同时解除挂载、重挂载、卸载和文件重命名的沙盒限制，为越狱环境的运行提供基础权限。第三处修改 AMFIIsCDHashInTrustCache 函数偏移 0x1f1ebe0 处的指令，让函数直接返回真值，跳过代码签名的信任缓存校验，实现任意代码运行。

设备树层面修改 ephemeral-storage 参数，将其值设为 u32 类型的 1，解决刷机过程中进度条卡在 99% 的问题。

系统服务层面的补丁主要解决两个核心问题。一是在 coreauthd 进程偏移 0x95c0 位置填入 NOP (空操作) 指令，在 ctkd 进程偏移 0x1b38 和 0x1b3c 位置修改为返回 0 的指令，避免 SEP 安全隔区崩溃，保证设备能够正常启动。二是修改 mobileactivationd 激活服务，在 should_hactivate 函数偏移 0x2ebb14 处写入指令 20 00 80 52，也就是让寄存器返回 1，实现伪激活，让设备无需连接苹果官方服务器就能进入系统。同时对 getActivationState 相关的 0x327cb0 等四处位置的判断逻辑进行修改，确保系统始终识别为已激活状态，形成多重保障。

#

整个操作分为四个阶段，全程需要通过命令行执行，依赖 Python 环境和相关工具库。开始前需要先从苹果官网下载对应机型的 iOS27.0 beta2 固件，再安装 requests、pyimg4、pymobiledevice3 三个 Python 依赖库，所有操作都在 work-27.0b2 目录下进行。

1. 刷入自定义固件

先手动将设备进入 DFU 模式，连接到准备好的 PWN DFU 硬件装置。开发板指示灯闪烁两次代表正在执行漏洞触发，指示灯常亮代表成功进入 PWN DFU 模式，如果指示灯熄灭则触发失败，需要重新进入 DFU 模式再次尝试。也可以在电脑的 USB 设备列表中验证，当设备描述中出现 PWND:[usbliter8] 字样，就说明漏洞触发成功。确认成功后将设备接回电脑，进入对应工作目录，执行 make_cfw.py 脚本生成自定义固件，该脚本需要管理员权限运行。随后启动 tss 代理服务并执行 restore_cfw.sh 脚本，开始向设备刷入自定义固件。设备屏幕会出现恢复进度条，等待脚本执行完毕，设备会回到恢复模式，刷机阶段完成。

2. SSH Ramdisk 引导

再次将设备进入 DFU 模式并触发 PWN 模式，接回电脑后依次执行 get_rd.py 和 boot_rd.sh 脚本，启动带 SSH 功能的临时 Ramdisk 内存盘系统。通过 iproxy 工具将电脑的 2222 端口映射到设备的 22 端口，就可以用 SSH 工具连接设备，默认 root 用户密码为 alpine。连接设备后挂载对应系统分区，找到设备自带的 sep-firmware.img4 文件，将其传回电脑并命名为 dev_sep.img4。使用 img4tool 工具搭配签名文件对该固件进行处理，解决 SEP 固件的签名兼容问题。

3. 正常系统启动

处理完 SEP 固件后，执行 get_boot.py 和 boot.py 脚本，引导设备启动刷好的自定义固件系统。系统启动后可以继续通过 USB 搭配 iproxy 和 SSH 连接设备，默认密码不变，手动安装越狱基础环境和 Sileo 包管理器。

4. 网络补全与环境完善

由于 WiFi 和基带功能都无法使用，设备本身不能直接联网。执行 net_up.sh 脚本可以通过 USB 共享电脑的网络给设备，满足安装软件的需求。网络连通后安装越狱基础引导包，完成后 Sileo 就会出现在设备桌面。如果 Sileo 没有正常显示，可以重新进入 SSHRamdisk 模式，将 /var/jb 目录下的 Sileo 应用移动到系统应用目录，重启设备后执行 uicache 命令刷新桌面即可。如果桌面仅显示设置、电话和反馈助理三个应用，同样在 Ramdisk 模式下将预装的系统应用全部复制到系统应用目录，就能恢复完整的系统应用列表。

#

这套方案是目前较早针对 iOS27 系统的完整越狱探索，它验证了 usbliter8 底层漏洞在新一代系统上的可用性，完整呈现了从硬件触发漏洞、自定义固件修改到越狱环境部署的全链路技术逻辑，对 iOS 安全研究有明确参考意义。同时它的局限性也非常明显。仅支持单一机型，适配其他设备需要逆向分析寻找对应偏移量，工作量极大。

大量核心硬件功能无法正常使用，完全不具备日常使用价值。操作流程复杂繁琐，全程依赖命令行和手动调试，没有面向普通用户的可视化界面，非技术人员几乎无法完成全流程操作。

对于普通用户来说，这类底层越狱项目更多是了解 iOS 安全机制的窗口。苹果的安全防护层层递进，从芯片级 SecureROM 到系统内核再到应用沙盒，每一层都有对应的校验机制。

而越狱研究的过程，本质上就是寻找并串联每一层防护缺口的过程。如果没有对应的技术基础和闲置设备，不建议动手尝试，避免造成设备永久损坏。