int main(int argc, const char * argv[]) { @autoreleasepool { // Get a reference to the service using its name CFMutableDictionaryRef matchingDict = IOServiceMatching(“YourServiceNameHere”); if (matchingDict == NULL) { NSLog(@“Failed to create matching dictionary”); return -1; }

// Obtain an iterator over all matching services io_iterator_t iter; kern_return_t kr = IOServiceGetMatchingServices(kIOMasterPortDefault, matchingDict, &iter); if (kr != KERN_SUCCESS) { NSLog(@“Failed to get matching services”); return -1; }

// Get a reference to the first service (assuming it exists) io_service_t service = IOIteratorNext(iter); if (!service) { NSLog(@“No matching service found”); IOObjectRelease(iter); return -1; }

// Open a connection to the service io_connect_t connect; kr = IOServiceOpen(service, mach_task_self(), 0, &connect); if (kr != KERN_SUCCESS) { NSLog(@“Failed to open service”); IOObjectRelease(service); IOObjectRelease(iter); return -1; }

// Call a method on the service // Assume the method has a selector of 0, and takes no arguments kr = IOConnectCallScalarMethod(connect, 0, NULL, 0, NULL, NULL); if (kr != KERN_SUCCESS) { NSLog(@“Failed to call method”); }

// Cleanup IOServiceClose(connect); IOObjectRelease(service); IOObjectRelease(iter); } return 0; }

</details>

还有 **other** 函数可以用来调用 IOKit 函数，除了 **`IOConnectCallScalarMethod`** 之外，还可以使用 **`IOConnectCallMethod`**、**`IOConnectCallStructMethod`**...

## 反编译驱动入口点

你可以例如从 [**firmware image (ipsw)**](#ipsw) 获取这些。然后，将其加载到你喜欢的反编译器中。

你可以从反编译 **`externalMethod`** 函数开始，因为这是接收调用并调用正确函数的驱动函数：

<figure><img src="../../../images/image (1168).png" alt="" width="315"><figcaption></figcaption></figure>

<figure><img src="../../../images/image (1169).png" alt=""><figcaption></figcaption></figure>

那条可怕的 demagled 调用意味着：
```cpp
IOUserClient2022::dispatchExternalMethod(unsigned int, IOExternalMethodArgumentsOpaque*, IOExternalMethodDispatch2022 const*, unsigned long, OSObject*, void*)

注意在前面的定义中缺少 self 参数，正确的定义应该是：

IOUserClient2022::dispatchExternalMethod(self, unsigned int, IOExternalMethodArgumentsOpaque*, IOExternalMethodDispatch2022 const*, unsigned long, OSObject*, void*)

实际上，你可以在 https://github.com/apple-oss-distributions/xnu/blob/1031c584a5e37aff177559b9f69dbd3c8c3fd30a/iokit/Kernel/IOUserClient.cpp#L6388:

IOUserClient2022::dispatchExternalMethod(uint32_t selector, IOExternalMethodArgumentsOpaque *arguments,
const IOExternalMethodDispatch2022 dispatchArray[], size_t dispatchArrayCount,
OSObject * target, void * reference)

有了这些信息，你可以按 Ctrl+Right -> Edit function signature 并设置已知类型：

新的反编译代码将如下所示：

下一步我们需要定义 IOExternalMethodDispatch2022 struct。它是开源的，见 https://github.com/apple-oss-distributions/xnu/blob/1031c584a5e37aff177559b9f69dbd3c8c3fd30a/iokit/IOKit/IOUserClient.h#L168-L176，你可以定义它：

现在，沿着 (IOExternalMethodDispatch2022 *)&sIOExternalMethodArray 可以看到很多数据：

将 Data Type 更改为 IOExternalMethodDispatch2022:

更改后：

现在我们可以看到有一个包含 7 个元素的数组（查看最终反编译代码），点击创建一个包含 7 个元素的数组：

创建数组后，你可以看到所有导出的函数：

Tip

如果你还记得，要从用户态调用一个导出函数，我们不需要使用函数名，而是使用 selector number。在这里你可以看到 selector 0 是函数 initializeDecoder，selector 1 是 startDecoder，selector 2 是 initializeEncoder…

最近的 IOKit 攻击面（2023–2025）

• Keystroke capture via IOHIDFamily – CVE-2024-27799 (14.5) 显示一个权限宽松的 IOHIDSystem client 即使在 secure input 下也能抓取 HID 事件；确保 externalMethod handlers 强制执行 entitlements，而不仅仅依赖 user-client 类型。
• IOGPUFamily memory corruption – CVE-2024-44197 和 CVE-2025-24257 修复了来自 sandboxed apps 的 OOB 写，这些应用向 GPU user clients 传递格式错误的可变长度数据；常见错误是在 IOConnectCallStructMethod 参数周围的边界检查不足。
• Legacy keystroke monitoring – CVE-2023-42891 (14.2) 确认 HID user clients 仍然是一个 sandbox-escape vector；fuzz 任何暴露 keyboard/event queues 的 driver。

快速 排查 & fuzzing 提示

• 从 userland 枚举一个 user client 的所有 external methods，以便为 fuzzer 提供种子：

# list selectors for a service
python3 - <<'PY'
from ioreg import IORegistry
svc = 'IOHIDSystem'
reg = IORegistry()
obj = reg.get_service(svc)
for sel, name in obj.external_methods():
print(f"{sel:02d} {name}")
PY

• 当进行逆向时，注意 IOExternalMethodDispatch2022 的计数。最近的 CVE 中常见的一个漏洞模式是 structureInputSize/structureOutputSize 与实际的 copyin 长度不一致，导致在 IOConnectCallStructMethod 中发生 heap OOB。
• Sandbox 的可达性仍取决于 entitlements。在对目标投入时间之前，检查是否可以从 third‑party app 以 client 身份访问：

strings /System/Library/Extensions/IOHIDFamily.kext/Contents/MacOS/IOHIDFamily | \
grep -E "^com\.apple\.(driver|private)"

• 对于 GPU/iomfb 漏洞，通过 IOConnectCallMethod 传递超大数组通常足以触发错误的边界检查。触发大小混淆的最小 harness (selector X)：

uint8_t buf[0x1000];
size_t outSz = sizeof(buf);
IOConnectCallStructMethod(conn, X, buf, sizeof(buf), buf, &outSz);

参考资料

• Apple Security Updates – macOS Sequoia 15.1 / Sonoma 14.7.1 (IOGPUFamily)
• Rapid7 – IOHIDFamily CVE-2024-27799 summary
• Apple Security Updates – macOS 13.6.1 (CVE-2023-42891 IOHIDFamily)

Tip

学习和实践 AWS 黑客技术：HackTricks Training AWS Red Team Expert (ARTE)
学习和实践 GCP 黑客技术：HackTricks Training GCP Red Team Expert (GRTE) 学习和实践 Azure 黑客技术：HackTricks Training Azure Red Team Expert (AzRTE)

支持 HackTricks

• 查看 订阅计划!
• 加入 💬 Discord 群组 或 Telegram 群组 或 在 Twitter 🐦 上关注我们 @hacktricks_live.
• 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。