漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-011911
漏洞标题：金山毒霸沙箱对api请求处理不当可造成越权访问
相关厂商：金山软件集团
漏洞作者： zhq445078388
提交时间：2012-09-08 10:57
修复时间：2012-10-23 10:58
公开时间：2012-10-23 10:58
漏洞类型：命令执行
危害等级：中
自评Rank：8
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-09-08： 细节已通知厂商并且等待厂商处理中
2012-09-10： 厂商已经确认，细节仅向厂商公开
2012-09-20： 细节向核心白帽子及相关领域专家公开
2012-09-30： 细节向普通白帽子公开
2012-10-10： 细节向实习白帽子公开
2012-10-23： 细节向公众公开
简要描述：
毒霸沙箱将沙箱内API请求由用户模式代理成内核模式 导致openprocess一些被保护的进程成功
详细说明：
金山毒霸沙箱程序是用于隔离物理环境与真实环境的
其原理是全局重定向
但是在openprocess等函数的处理上并没有进行重定向 还将原本属于usermode的请求转换为Kernelmode
大多数保护用HOOK会自动放行来自内核的请求 也就是Kernelmode 仅过滤usermode的请求
而毒霸沙箱将请求“升级”后 即可绕过金山毒霸自我保护结束金山大多数进程 包括沙箱shell进程
而金山的核心进程的访问保护也过滤了内核模式 所以open失败 结束就不成功
漏洞证明：
将任务管理器用沙箱打开 可直接结束金山毒霸大多数进程
而不使用沙箱则没有问题
修复方案：
建议重定向openprocess请求 或将请求伪装
hook后代理api时 使用原本的请求级别 不要改变
或毒霸自我保护过滤下来自内核模式的请求
版权声明：转载请注明来源 zhq445078388@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2012-09-10 10:50
厂商回复：
收到，我们将尽快确认和修复
最新状态：
2012-09-11：已经确定问题。新版将修复，非常感谢；
2012-09-11：金山毒霸 2012版SP5.8升级后即修复，2013版没有沙箱。