漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-077757
漏洞标题：Win64位Ring3下强制结束360（无视主动防御和自我保护）
相关厂商：奇虎360
漏洞作者： 木马游民
提交时间：2014-09-29 13:46
修复时间：2014-12-25 13:48
公开时间：2014-12-25 13:48
漏洞类型：拒绝服务
危害等级：高
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-09-29： 细节已通知厂商并且等待厂商处理中
2014-09-29： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-11-23： 细节向核心白帽子及相关领域专家公开
2014-12-03： 细节向普通白帽子公开
2014-12-13： 细节向实习白帽子公开
2014-12-25： 细节向公众公开
简要描述：
64位下强制结束360杀毒和360卫士进程。
无视主动防御和自我保护。
详细说明：
64位下强制结束360杀毒和360卫士进程。
无视主动防御和自我保护。
之前有个朋友提交过一个64位卸载360的。我这个实现起来的思路和他的不一样。
所以还是提交了。
我实现的方法是:
1.利用360安全防护中心模块做外壳，创建一个傀儡进程。然后傀儡带参数(“ /disablesp 1”)运行360tray.exe文件，这样就会弹出360关闭自我保护的对话框。至于为啥要用360自己的文件做傀儡.是因为带上参数(“ /disablesp 1”)后，直接去运行360tray.exe会被360的进程防护模块会直接拦截掉。而用360自己文件做傀儡就能绕过了
------------------------------------------------------
2.当关闭自我保护的对话框成功弹出后，程序后台找图，取得确定按钮的屏幕坐标。然后模拟鼠标单击确定按钮。
------------------------------------------------------
3.现在360的自我保护已经从有到无了。直接调用系统文件taskkill.exe就能将360所有进程杀掉，包括zhudongfangyu.exe
漏洞证明：
附上demo下载链接:
http://pan.baidu.com/s/1o6BgmgU
http://drops.wooyun.org/wp-content/uploads/2014/09/kill360.zip
(解压密码:123)
附上演示视频下载链接:http://pan.baidu.com/s/1ntDkjwP
（演示视频是我开源的时候录的，大家将就着看。）
关于傀儡进程:http://bbs.pediy.com/showthread.php?p=1171054
修复方案：
你们更专业。
版权声明：转载请注明来源 木马游民@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-12-25 13:48
厂商回复：
360安全卫士的云主防和自我保护对模拟/消息方式操纵安全卫士组件（包括卸载程序）都有完整防护。
经我们测试，白帽子报告的相关方法是可以拦截的。
在X64操作系统上，360安全卫士的主动防御需要开启“核晶引擎”后才能提供完整防护能力（需要CPU的VT支持）。
此报告同今年4月的报告：http:///bugs/wooyun-2014- 是相同的，白帽子可参考一下。
最新状态：
暂无
漏洞评价：
评论
-
收藏此类漏洞~
( 核心白帽子 | Rank:656 漏洞数:107 | 一个想当文人的黑客~)