int main(int argc, const char * argv[]) { @autoreleasepool { // Get a reference to the service using its name CFMutableDictionaryRef matchingDict = IOServiceMatching(“YourServiceNameHere”); if (matchingDict == NULL) { NSLog(@“Failed to create matching dictionary”); return -1; }

// Obtain an iterator over all matching services io_iterator_t iter; kern_return_t kr = IOServiceGetMatchingServices(kIOMasterPortDefault, matchingDict, &iter); if (kr != KERN_SUCCESS) { NSLog(@“Failed to get matching services”); return -1; }

// Get a reference to the first service (assuming it exists) io_service_t service = IOIteratorNext(iter); if (!service) { NSLog(@“No matching service found”); IOObjectRelease(iter); return -1; }

// Open a connection to the service io_connect_t connect; kr = IOServiceOpen(service, mach_task_self(), 0, &connect); if (kr != KERN_SUCCESS) { NSLog(@“Failed to open service”); IOObjectRelease(service); IOObjectRelease(iter); return -1; }

// Call a method on the service // Assume the method has a selector of 0, and takes no arguments kr = IOConnectCallScalarMethod(connect, 0, NULL, 0, NULL, NULL); if (kr != KERN_SUCCESS) { NSLog(@“Failed to call method”); }

// Cleanup IOServiceClose(connect); IOObjectRelease(service); IOObjectRelease(iter); } return 0; }

</details>

IOKit 함수를 호출하는 데 **다른** 함수들이 있으며, **`IOConnectCallScalarMethod`** 외에도 **`IOConnectCallMethod`**, **`IOConnectCallStructMethod`** 같은 것들이 있습니다...

## Reversing driver entrypoint

예를 들어 이러한 것들은 [**firmware image (ipsw)**](#ipsw)에서 얻을 수 있습니다. 그런 다음, 선호하는 디컴파일러에 로드하세요.

이 호출을 수신하고 올바른 함수를 호출하는 드라이버 함수이므로 **`externalMethod`** 함수를 디컴파일하는 것부터 시작할 수 있습니다:

<figure><img src="../../../images/image (1168).png" alt="" width="315"><figcaption></figcaption></figure>

<figure><img src="../../../images/image (1169).png" alt=""><figcaption></figcaption></figure>

그 난해하게 demagled된 호출은 다음을 의미합니다:
```cpp
IOUserClient2022::dispatchExternalMethod(unsigned int, IOExternalMethodArgumentsOpaque*, IOExternalMethodDispatch2022 const*, unsigned long, OSObject*, void*)

이전 정의에서 self 매개변수가 빠진 것을 주의하세요, 올바른 정의는 다음과 같습니다:

IOUserClient2022::dispatchExternalMethod(self, unsigned int, IOExternalMethodArgumentsOpaque*, IOExternalMethodDispatch2022 const*, unsigned long, OSObject*, void*)

실제 정의는 다음에서 확인할 수 있습니다: https://github.com/apple-oss-distributions/xnu/blob/1031c584a5e37aff177559b9f69dbd3c8c3fd30a/iokit/Kernel/IOUserClient.cpp#L6388:

IOUserClient2022::dispatchExternalMethod(uint32_t selector, IOExternalMethodArgumentsOpaque *arguments,
const IOExternalMethodDispatch2022 dispatchArray[], size_t dispatchArrayCount,
OSObject * target, void * reference)

이 정보를 사용하면 Ctrl+Right -> Edit function signature를 다시 작성하고 알려진 타입을 설정할 수 있습니다:

새로 디컴파일된 코드는 다음과 같습니다:

다음 단계에서는 IOExternalMethodDispatch2022 struct가 정의되어 있어야 합니다. 해당 구조체는 오픈소스로 https://github.com/apple-oss-distributions/xnu/blob/1031c584a5e37aff177559b9f69dbd3c8c3fd30a/iokit/IOKit/IOUserClient.h#L168-L176에 있으니, 다음과 같이 정의할 수 있습니다:

이제 (IOExternalMethodDispatch2022 *)&sIOExternalMethodArray를 따라가면 많은 데이터를 볼 수 있습니다:

데이터 타입을 IOExternalMethodDispatch2022: 로 변경하세요:

변경 후:

그리고 그 안에는 7개 요소의 배열이 있습니다(최종 디컴파일 코드를 확인하세요). 7개의 요소 배열을 만들기 위해 클릭하세요:

배열이 생성되면 모든 exported 함수를 볼 수 있습니다:

Tip

기억하시겠지만, 유저스페이스에서 exported 함수를 호출할 때 함수 이름을 직접 호출할 필요는 없고 셀렉터 번호(selector number) 를 사용합니다. 여기서 셀렉터 0은 함수 initializeDecoder, 셀렉터 1은 startDecoder, 셀렉터 2는 initializeEncoder… 입니다.

최근 IOKit 공격 표면 (2023–2025)

• Keystroke capture via IOHIDFamily – CVE-2024-27799 (14.5)은 권한이 관대한 IOHIDSystem 클라이언트가 secure input이 활성화된 상태에서도 HID 이벤트를 훔칠 수 있음을 보여주었습니다; externalMethod 핸들러는 user-client 타입만 확인하는 대신 entitlements를 강제 확인해야 합니다.
• IOGPUFamily memory corruption – CVE-2024-44197 및 CVE-2025-24257은 잘못된 가변 길이 데이터를 GPU 유저 클라이언트에 전달하는 샌드박스 앱에서 도달 가능한 OOB 쓰기를 수정했습니다; 일반적인 버그는 IOConnectCallStructMethod 인수 주변의 경계 검사 부족입니다.
• Legacy keystroke monitoring – CVE-2023-42891 (14.2)은 HID user clients가 여전히 샌드박스 탈출 벡터임을 확인했습니다; keyboard/event queues를 노출하는 드라이버는 모두 fuzz하세요.

Quick triage & fuzzing tips

• 유저랜드에서 user client의 모든 external methods를 열거해 fuzzer를 시드하세요:

# list selectors for a service
python3 - <<'PY'
from ioreg import IORegistry
svc = 'IOHIDSystem'
reg = IORegistry()
obj = reg.get_service(svc)
for sel, name in obj.external_methods():
print(f"{sel:02d} {name}")
PY

• When reversing, IOExternalMethodDispatch2022 counts에 주의하세요. 최근 CVE들에서 흔한 버그 패턴은 structureInputSize/structureOutputSize가 실제 copyin 길이와 불일치하여 IOConnectCallStructMethod에서 heap OOB를 초래합니다.
• Sandbox reachability는 여전히 entitlements에 좌우됩니다. 타깃에 시간을 투자하기 전에, 클라이언트가 서드파티 앱에서 허용되는지 확인하세요:

strings /System/Library/Extensions/IOHIDFamily.kext/Contents/MacOS/IOHIDFamily | \
grep -E "^com\.apple\.(driver|private)"

GPU/iomfb bugs의 경우, IOConnectCallMethod를 통해 과도하게 큰 배열을 전달하는 것만으로도 종종 잘못된 경계를 유발합니다. size confusion을 유발하는 최소 하니스 (selector X):

uint8_t buf[0x1000];
size_t outSz = sizeof(buf);
IOConnectCallStructMethod(conn, X, buf, sizeof(buf), buf, &outSz);

참고 문헌

• Apple Security Updates – macOS Sequoia 15.1 / Sonoma 14.7.1 (IOGPUFamily)
• Rapid7 – IOHIDFamily CVE-2024-27799 summary
• Apple Security Updates – macOS 13.6.1 (CVE-2023-42891 IOHIDFamily)

Tip

AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE) Azure 해킹 배우기 및 연습하기: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks 지원하기

• 구독 계획 확인하기!
• **💬 디스코드 그룹 또는 텔레그램 그룹에 참여하거나 트위터 🐦 @hacktricks_live를 팔로우하세요.
• HackTricks 및 HackTricks Cloud 깃허브 리포지토리에 PR을 제출하여 해킹 트릭을 공유하세요.