当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-060275

漏洞标题：一种几乎通杀各大厂商的文件防护绕过

相关厂商：各大安全厂商

漏洞作者： 毕月乌

提交时间：2014-05-11 11:42

修复时间：2014-08-09 11:44

公开时间：2014-08-09 11:44

漏洞类型：设计错误/逻辑缺陷

危害等级：低

自评Rank：1

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-11： 细节已通知厂商并且等待厂商处理中
2014-05-14： 厂商已经确认，细节仅向厂商公开
2014-05-17： 细节向第三方安全合作伙伴开放
2014-07-08： 细节向核心白帽子及相关领域专家公开
2014-07-18： 细节向普通白帽子公开
2014-07-28： 细节向实习白帽子公开
2014-08-09： 细节向公众公开

简要描述：

一种几乎通杀各大厂商的文件防护绕过

详细说明：

连发了两个防护绕过，鉴于发现此方法具有通用性，想了想还是单独把方法和思路发出来吧。为了避免刷rank之嫌，自评1。
其实就是利用了NTFS的硬链接特性，利用同一个磁盘文件的不同文件名和路径来规避常规的安全软件检测。

fsutil hardlink create c:\a.txt C:WINDOWS\system32\drivers\etc\hosts


执行此命令后c:\a.txt与C:WINDOWS\system32\drivers\etc\hosts两个文件实际上是等价的，在硬盘上是同一个文件，只是拥有两个文件名而已，利用这一点可以绕过一些常规安全软件的防护。
有了这个特性，我们就可以任意读写大多数文件了。

漏洞证明：

其实就是利用了NTFS的硬链接特性，利用同一个磁盘文件的不同文件名和路径来规避常规的安全软件检测。

fsutil hardlink create c:\a.txt C:WINDOWS\system32\drivers\etc\hosts


执行此命令后c:\a.txt与C:WINDOWS\system32\drivers\etc\hosts两个文件实际上是等价的，在硬盘上是同一个文件，只是拥有两个文件名而已，利用这一点可以绕过一些常规安全软件的防护。
有了这个特性，我们就可以任意读写大多数文件了。

.jpg

.jpg

host.jpg


下面是对360的吐槽图：
提交至360SRC时的证明截图：

.jpg

.jpg

.jpg


而昨晚的测试中，最新版360安全卫士变成了直接拦截硬链接创建：

QQ截图20140511044032.jpg

修复方案：

加强监控吧
在这里顺便鄙视一下360，这个问题最早于05-09凌晨03:19:30提交至360SRC。
于05-10 19:29被忽略，得到回复
管理员
非可信程序调用fsutil为关键文件创建硬链接的行为是会拦截的，你可以将你的cmd.exe修改几个字节再调用试试。
于是又花了一夜对国内常见的安全卫士们都做了一遍测试。除金山卫士没发现敏感文件保护的组件外，百度卫士和腾讯管家均存在问题，最让我惊讶的是，360居然拦截了！于是又翻出老版本360安全卫士在虚拟机测试，发现5.9之前的版本存在问题，在此我想问一下，这就是360对待缺陷的态度？一边偷偷修复，一边否认？

版权声明：转载请注明来源 毕月乌@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：10

确认时间：2014-05-14 17:44

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2014-05-11 11:54 | 切克脑 ( 实习白帽子 | Rank:31 漏洞数:9 | z..)

    火钳刘明~

  2. 2014-05-11 13:17 | 浅兮 ( 实习白帽子 | Rank:70 漏洞数:30 )

    貌似很厉害啊！

  3. 2014-05-11 13:36 | Fire ant ( 实习白帽子 | Rank:73 漏洞数:26 | 他们回来了................)

    出租广告位

  4. 2014-05-11 13:47 | 酱油甲 ( 普通白帽子 | Rank:645 漏洞数:126 | 打个酱油，吃个海蜇~)

    @毕月乌 @xsser 这种通杀各大厂商的交给谁处理呢……

  5. 2014-05-11 14:02 | Metasploit ( 实习白帽子 | Rank:37 漏洞数:7 | http://www.metasploit.cn/)

    看看

  6. 2014-05-11 14:03 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)

    马克

  7. 2014-05-11 15:42 | 玄空 ( 路人 | Rank:8 漏洞数:2 | 文艺范)

    mark

  8. 2014-05-11 17:27 | 毕月乌 ( 普通白帽子 | Rank:120 漏洞数:16 | 猜猜我是谁？)

    @酱油甲 cncert吧

  9. 2014-05-11 17:41 | 破锁 ( 路人 | Rank:23 漏洞数:6 )

    坐等啊 ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็这个符号很厉害

  10. 2014-05-12 09:24 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    真的啊？给力哦！

  11. 2014-05-14 01:57 | xiaoL ( 普通白帽子 | Rank:361 漏洞数:67 | PKAV技术宅社区!Blog:http://www.xlixli....)

    给力啊！

  12. 2014-05-14 09:33 | 于小木 ( 路人 | Rank:26 漏洞数:4 )

    坐等被忽略啊啊啊啊啊

  13. 2014-05-15 08:57 | 秋风 ( 普通白帽子 | Rank:438 漏洞数:44 | 码农一枚，关注互联网安全)

    NB!

  14. 2014-05-17 08:43 | abaddon ( 实习白帽子 | Rank:37 漏洞数:10 | 我叫什么名字)

    火前留名占座巫云众真#￥#聪明 这都能想到办到

  15. 2014-05-17 18:07 | 帅爆的小烬烬 ( 路人 | Rank:30 漏洞数:25 | 路上有个漂亮妹子和我搭讪，知道我赶着去挖...)

    mark

  16. 2014-06-03 17:56 | xiaoL ( 普通白帽子 | Rank:361 漏洞数:67 | PKAV技术宅社区!Blog:http://www.xlixli....)

    这就是360对待缺陷的态度？一边偷偷修复，一边否认？

  17. 2014-06-03 22:59 | 鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)

    这个真心有意思~~

  18. 2014-06-04 12:44 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    普通的shell，可以搞这个链接吗？

  19. 2014-06-23 20:49 | ACGT ( 实习白帽子 | Rank:32 漏洞数:4 | another script kiddie)

    360一贯如此 WooYun: 360一主程序存在严重漏洞

  20. 2014-06-25 17:02 | abaddon ( 实习白帽子 | Rank:37 漏洞数:10 | 我叫什么名字)

    原来如此

  21. 2014-06-30 18:21 | 毕月乌 ( 普通白帽子 | Rank:120 漏洞数:16 | 猜猜我是谁？)

    @ACGT 本来打算先混点他家的奖励的，算了，不想了，以后还是直接打脸吧~

  22. 2014-08-09 12:14 | 季煜熙 ( 路人 | Rank:0 漏洞数:3 | 人生就像一场游戏。)

    ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็试试这个符号。。

  23. 2014-08-10 09:40 | zph ( 普通白帽子 | Rank:235 漏洞数:43 )

    顶，顺便鄙视360

  24. 2014-10-23 11:05 | 紫霞仙子 ( 普通白帽子 | Rank:2027 漏洞数:279 | 天天向上 ！！！)

    ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ด้้้้้็็็็็้้้้้็็็็็้้้้้้้้็็็็็้้้้้็็็็ 这个符号很厉害