突破 iOS 容器藩篱：深入 terminal_worse 的 worse_query 沙盒逃逸、fsgetpath 节点爆破与 a-Shell 插件化重构
在苹果严密的 iOS 安全体系中，应用沙盒（App Sandbox）始终被视为抵御恶意入侵与隔离隐私数据的核心防线。无论是开发者日常编译的调试应用，还是 App Store 分发的上架程序，都被严格限制在由内核与策略引擎划定的私有容器中。然而，对于长期从事移动安全审计与系统逆向的我而言，如何在这道坚不可摧的“围墙花园”内探寻逻辑间隙、窥探文件系统真实全貌，始终是一项极具挑战的技术课题。以往想要在端侧随意访问其他 App 的私有沙盒或系统目录，往往需要借助高危的内核内存损坏漏洞与越狱环境；但在高版本 iOS 上，这类高等级漏洞门槛极高，且极易导致系统崩溃。
最近我深入剖析并实机调试了一个名为 terminal_worse 的开源安全研究项目。它以著名的 iOS 终端应用 a-Shell 2.3.2 为底座，通过精巧的 Mach-O 动态库注入，将近年来备受安全界瞩目的 worse_query 沙盒逃逸技术与 APFS 节点扫描探针（fsgetpath）融为一体。它在完全不需要内核提权或越狱的前提下，仅凭应用自身的 App Group 签名权限与苹果官方守护进程的逻辑盲区，便成功借调内核沙盒扩展，将整机已安装应用的私有容器、系统共享组及底层配置完整自动挂载至终端工作区，并构筑了一套独立完整的端侧 APT 插件生态。