当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2012-011911

漏洞标题:金山毒霸沙箱对api请求处理不当可造成越权访问

相关厂商:金山软件集团

漏洞作者: zhq445078388

提交时间:2012-09-08 10:57

修复时间:2012-10-23 10:58

公开时间:2012-10-23 10:58

漏洞类型:命令执行

危害等级:中

自评Rank:8

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2012-09-08: 细节已通知厂商并且等待厂商处理中
2012-09-10: 厂商已经确认,细节仅向厂商公开
2012-09-20: 细节向核心白帽子及相关领域专家公开
2012-09-30: 细节向普通白帽子公开
2012-10-10: 细节向实习白帽子公开
2012-10-23: 细节向公众公开

简要描述:

毒霸沙箱将沙箱内API请求由用户模式代理成内核模式 导致openprocess一些被保护的进程成功

详细说明:

金山毒霸沙箱程序是用于隔离物理环境与真实环境的
其原理是全局重定向
但是在openprocess等函数的处理上并没有进行重定向 还将原本属于usermode的请求转换为Kernelmode
大多数保护用HOOK会自动放行来自内核的请求 也就是Kernelmode 仅过滤usermode的请求
而毒霸沙箱将请求“升级”后 即可绕过金山毒霸自我保护结束金山大多数进程 包括沙箱shell进程
而金山的核心进程的访问保护也过滤了内核模式 所以open失败 结束就不成功

漏洞证明:

将任务管理器用沙箱打开 可直接结束金山毒霸大多数进程
而不使用沙箱则没有问题

修复方案:

建议重定向openprocess请求 或将请求伪装
hook后代理api时 使用原本的请求级别 不要改变
或毒霸自我保护过滤下来自内核模式的请求

版权声明:转载请注明来源 zhq445078388@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:8

确认时间:2012-09-10 10:50

厂商回复:

收到,我们将尽快确认和修复

最新状态:

2012-09-11:已经确定问题。新版将修复,非常感谢;

2012-09-11:金山毒霸 2012版SP5.8升级后即修复,2013版没有沙箱。