当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-087263

漏洞标题：我是如何用流氓软件kill掉流氓软件的

相关厂商：奇虎360

漏洞作者： 路人甲

提交时间：2014-12-15 18:41

修复时间：2015-01-21 18:42

公开时间：2015-01-21 18:42

漏洞类型：设计错误/逻辑缺陷

危害等级：低

自评Rank：1

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-12-15： 细节已通知厂商并且等待厂商处理中
2014-12-16： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-02-09： 细节向核心白帽子及相关领域专家公开
2015-02-19： 细节向普通白帽子公开
2015-03-01： 细节向实习白帽子公开
2015-01-21： 细节向公众公开

简要描述：

:D

详细说明：

海绵宝宝大牛说乌云要开始收二进制漏洞,于是本想下个沙盒bypass一下没想到…
file:TailList.sys
killk.exe
killk看了眼是upx,手脱很简单,找几个脱壳机也分分钟.
F8 单步 --> 下断 F9 --> 进入循环 下断 --> F8jmp入点口 --> dump

2.jpg


发现写了一个sys出来,早知道监控下文件就好了 Orz..
分析sys吧,简单发一下过程.

::00010BC0::  68 B00A0100              PUSH 10AB0                          // 驱动入口
::00010BC5::  E8 4A050000              CALL 00011114                    
::00010BCA::  83C4 08                  ADD ESP,8                         
::00010BCD::  8B45 08                  MOV EAX,[EBP+8]                   
::00010BD0::  C740 38 8A0D0100         MOV DWORD PTR [EAX+38],10D8A           
::00010BD7::  8B4D 08                  MOV ECX,[EBP+8]                    
::00010BDA::  C741 40 E90D0100         MOV DWORD PTR [ECX+40],10DE9           
::00010BE1::  8B55 08                  MOV EDX,[EBP+8]                         
::00010BE4::  C742 70 860E0100         MOV DWORD PTR [EDX+70],10E86            
::00010BEB::  8B45 08                  MOV EAX,[EBP+8]                         
::00010BEE::  C740 34 210D0100         MOV DWORD PTR [EAX+34],10D21              
::00010BF5::  68 CC0A0100              PUSH 10ACC                         
::00010BFA::  8D4D F0                  LEA ECX,[EBP-10]                        
::00010BFD::  51                       PUSH ECX                                
::00010BFE::  FF15 A8110100            CALL [111A8]


:00010F97::  68 5C0E0100              PUSH 10E5C                              / find kill
::00010F9C::  E8 73010000              CALL 00011114                       
::00010FA1::  83C4 04                  ADD ESP,4                               
::00010FA4::  C745 FC 01000000         MOV DWORD PTR [EBP-4],1


00011107  RETN                                    
00011108  JMP [111CC]                                /kill
0001110E  JMP [11194]                                /获取线程
00011114  JMP [1119C]                               
0001111A  ADD [EAX],AL

漏洞证明：

kill.gif


写了个小软件配合sys成功kill掉360.

给出demo
http://pan.baidu.com/s/1bntn0vX  6wed
解压密码：wooyun

修复方案：

:p

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-01-21 18:42

厂商回复：

恶意的驱动程序在安装或加载时会被360拦截。如果手工放行恶意驱动，那么任何安全产品的进程都可能被破坏。此问题不属于产品漏洞。

最新状态：

暂无