当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-013145

漏洞标题：360一主程序存在严重漏洞

相关厂商：奇虎360

漏洞作者： 小红

提交时间：2012-10-09 11:27

修复时间：2012-10-09 14:04

公开时间：2012-10-09 14:04

漏洞类型：权限提升

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-10-09： 细节已通知厂商并且等待厂商处理中
2012-10-09： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

360一主程序存在严重漏洞，可造成严重后果。

详细说明：

360safe.exe存在严重dll劫持漏洞，可加载指定dll后执行任意代码。360safe.exe启动时会加载一个不存在的名为check360.dll，只要自己写一个check360.dll与360safe.exe放在同一目录，这样就可以在运行360safe.exe的时候同时加载check360.dll，check360.dll可以为自制的任意恶意dll。此方法可用于免杀360，
dll添加360safe.exe为启动项后360安全卫士木马查杀是查不出来的。

漏洞证明：


修复方案：

由于本次为360安全卫士的主程序，且check360.dll为本地本身不存在的文件，所以使用md5二次校验是不行的。
目前想到的可行方法只有直接封杀文件名"check360.dll"。

版权声明：转载请注明来源 小红@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2012-10-09 14:04

厂商回复：

感谢您的反馈,此问题并非360安全卫士的安全漏洞...

最新状态：

暂无

漏洞评价：

评论

这些评论似乎很乌云~~~思密达
  1. 2012-10-10 09:34 | 小红 ( 路人 | Rank:0 漏洞数:2 | 此生只为电脑生)

    360这样做就不地道了 ，一方面是忽略这一严重漏洞 一方面已经修补了 不是说不可以修补 对吧 首先你得承认问题的所在 给我个说法 10月9号下午2点修补的漏洞 乌云是一个发布漏洞的平台 是一个促进计算机发展的地方 任何人在这里做出的努力都应该得到重视 360这次的做法 我觉得很不应该 唉

  1. 2012-10-09 12:16 | dyun ( 普通白帽子 | Rank:102 漏洞数:15 | [code][/code])

    这一描述，严重吸引了我...

  2. 2012-10-09 12:46 | quanxian ( 实习白帽子 | Rank:32 漏洞数:2 | This is QuanXian.)

    看不到:-(

  3. 2012-10-09 15:10 | PCanyi ( 路人 | Rank:25 漏洞数:6 | 【为自己吹下的牛逼奋斗终身！】 幻想着改...)

    DLL劫持。。。

  4. 2012-10-09 15:20 | xsjswt ( 普通白帽子 | Rank:156 漏洞数:49 | 我思故我猥琐，我猥琐故我强大)

    楼主sb了吧，360对程序目录是有写保护的，你复制出来就属于你个人行为了，复制出来不管谁写的几乎都要被sb掉

  5. 2012-10-09 17:06 | 小红 ( 路人 | Rank:0 漏洞数:2 | 此生只为电脑生)

    @xsjswt 呵呵

  6. 2012-10-09 17:06 | 小红 ( 路人 | Rank:0 漏洞数:2 | 此生只为电脑生)

    @xsjswt 你有空去学习学习免杀 ，不解释。。。

  7. 2012-10-09 17:08 | xsjswt ( 普通白帽子 | Rank:156 漏洞数:49 | 我思故我猥琐，我猥琐故我强大)

    @小红 免杀也不至于动用360再挂一个dll，你dll写得不好，就算用360做宿主一样要被日掉。

  8. 2012-10-09 17:09 | 小红 ( 路人 | Rank:0 漏洞数:2 | 此生只为电脑生)

    @xsjswt dll过文件表面 所有行为360会无视的

  9. 2012-10-09 17:15 | xsjswt ( 普通白帽子 | Rank:156 漏洞数:49 | 我思故我猥琐，我猥琐故我强大)

    @小红 随便你吧，我觉得小题大作。写一个过住房或者某所谓的sb数字杀毒的马不是特别难，你这样搞无非刷刷rank，刷rank大家一起欢乐。。。。欢乐完了。。。。发现某数字给你忽略掉了

  10. 2012-10-09 17:22 | 小红 ( 路人 | Rank:0 漏洞数:2 | 此生只为电脑生)

    @xsjswt 这东西本来也没什么 说大就大 说小舅小的事 我只是从理论角度阐述所有存在的可能

  11. 2012-10-09 17:25 | xsjswt ( 普通白帽子 | Rank:156 漏洞数:49 | 我思故我猥琐，我猥琐故我强大)

    @小红 我是从实际是不是有用来看的，所以说娱乐大众嘛

  12. 2012-10-09 22:42 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @xsjswt 这个还是问题吧，洞主可以用这个dll去做一些操作试试

  13. 2012-10-10 08:06 | ZedeX ( 路人 | Rank:16 漏洞数:3 | zx)

    鉴于周教主的黑历史，想追问一下为什么会加载这个不存在的dll。不做动机推断，楼主有空帮忙看看360从版本几就开始有这个问题的吧。现在这个7.6已不是主流了吧。

  14. 2012-10-10 08:40 | 小红 ( 路人 | Rank:0 漏洞数:2 | 此生只为电脑生)

    呵呵 我已经找到利用方法了 利用此漏洞 但文件免杀360 既然360说这个问题可以忽略，那我也没办法是吧 。。。。360啊，真悲催

  15. 2012-10-10 08:41 | 小红 ( 路人 | Rank:0 漏洞数:2 | 此生只为电脑生)

    我没有测试了 现在最新的版本依然存在此漏洞 呵呵 等着别人利用吧

  16. 2012-10-10 08:41 | 小红 ( 路人 | Rank:0 漏洞数:2 | 此生只为电脑生)

    有本事就别修复，那才叫牛X

  17. 2012-10-10 08:42 | 小红 ( 路人 | Rank:0 漏洞数:2 | 此生只为电脑生)

    @小红 上面写错了 是单文件

  18. 2012-10-10 09:34 | 小红 ( 路人 | Rank:0 漏洞数:2 | 此生只为电脑生)

    360这样做就不地道了 ，一方面是忽略这一严重漏洞 一方面已经修补了 不是说不可以修补 对吧 首先你得承认问题的所在 给我个说法 10月9号下午2点修补的漏洞 乌云是一个发布漏洞的平台 是一个促进计算机发展的地方 任何人在这里做出的努力都应该得到重视 360这次的做法 我觉得很不应该 唉

  19. 2012-10-10 11:23 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @小红 刚才想到，这个的确有问题，可能带来更大的安全问题的

  20. 2012-10-10 13:02 | 小红 ( 路人 | Rank:0 漏洞数:2 | 此生只为电脑生)

    360也很清楚问题的严重性 不然不会再第一时间修补 只是不愿意承认罢了

  21. 2012-10-10 13:04 | 小红 ( 路人 | Rank:0 漏洞数:2 | 此生只为电脑生)

    经测试 该漏洞影响发布漏洞前的所有版本

  22. 2012-10-10 14:24 | Seay ( 实习白帽子 | Rank:65 漏洞数:8 )

    其实用这个提权是不是...很多服务器都装了360，危害还是很大的，但是：危害等级：无影响厂商忽略。。。估计已经私底下修复了。。。

  23. 2012-10-10 16:46 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @Seay 360的程序是保护了这个目录的 你写不进去的

  24. 2012-10-11 13:33 | Seay ( 实习白帽子 | Rank:65 漏洞数:8 )

    @xsser 那拿下了还可以用来留后门

  25. 2012-10-11 16:26 | hacx ( 实习白帽子 | Rank:52 漏洞数:6 )

    这个跟以前那个lpk.dll有点类似吧

  26. 2012-10-11 16:46 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @hacx 不一样

  27. 2012-10-11 17:01 | hacx ( 实习白帽子 | Rank:52 漏洞数:6 )

    @xsser 区别在哪呢？ check360.dll与360safe.exe必须要放在同一目录,而且只有运行360safe.exe才会加载check360.dll。是这样？

  28. 2012-10-11 17:05 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @hacx lpk是系统自身的?

  29. 2012-10-11 17:58 | 小红 ( 路人 | Rank:0 漏洞数:2 | 此生只为电脑生)

    这危害我在腾讯另一个漏洞中提到利用方法，直接写Dll到系统目录，打开360界面或任何时候启动360界面都会加载，如不修补危害不是一般的大，，

  30. 2012-10-11 18:00 | 小红 ( 路人 | Rank:0 漏洞数:2 | 此生只为电脑生)

    可以广泛应用于提权等

  31. 2012-10-11 18:05 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @小红 可惜都忽略了 - -

  32. 2012-10-11 18:10 | 小红 ( 路人 | Rank:0 漏洞数:2 | 此生只为电脑生)

    手里还有更重要的，留着自己用

  33. 2012-10-11 18:16 | 小红 ( 路人 | Rank:0 漏洞数:2 | 此生只为电脑生)

    乌云工作人员，谢谢你做了个录像，呵呵

  34. 2012-10-11 18:43 | LeadUrLife ( 普通白帽子 | Rank:103 漏洞数:14 | 好好学习 天天向上)

    每个人对漏洞的认识不同，故而漏洞的定义也不尽相同。ps：目测洞主是个妹子：-）

  35. 2012-10-12 13:23 | neal ( 普通白帽子 | Rank:219 漏洞数:23 )

    不说其他的 留后门也是非常爽的。

  36. 2012-10-12 13:39 | CHForce ( 路人 | Rank:0 漏洞数:1 | 路过不代表我冷漠，走路不代表没有马)

    360 骂人和水军还可以；自己面对错误的态度 非常像小孩，只能他说别家，只要有人说他，就像点燃的木头，咋呼得厉害

  37. 2012-10-12 19:33 | pangshenjie ( 普通白帽子 | Rank:110 漏洞数:14 )

    @小红 这和劫持系统一些关键的dll有神马区别

  38. 2012-10-13 12:59 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    @CHForce 在出现问题的时候，就说所有软件都有这个问题，没出问题的时候自己就是一款牛逼闪闪的杀毒软件

  39. 2012-10-15 14:16 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    另外 system32用程序的确写不进去，但是windows居然可以啊

  40. 2012-10-15 16:29 | CHForce ( 路人 | Rank:0 漏洞数:1 | 路过不代表我冷漠，走路不代表没有马)

    @xsser 我觉得可以这样利用：任何目录+环境变量；还有就是主程序（360杀毒的程序），然后病毒和释放写在check360.dll里面，或者是dll下载加载某些其他的东西进来；或者可以伪装，或者用来提交一个隐私的东西。

  41. 2014-08-10 06:17 | Arthur ( 实习白帽子 | Rank:77 漏洞数:33 | USA，I am coming！！！！！)

    安全问题都是不容小视的，有些时候，一个鸡肋的漏洞会影响一堆服务器。如果刚好碰到需要的环境，那么不就是被利用了吗？既然没危害，你悄悄的修复了干什么？做贼都还会心虚，360貌似感觉光明正大的.........此公司无救了、