当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-087263

漏洞标题：我是如何用流氓软件kill掉流氓软件的

相关厂商：奇虎360

漏洞作者： 路人甲

提交时间：2014-12-15 18:41

修复时间：2015-01-21 18:42

公开时间：2015-01-21 18:42

漏洞类型：设计错误/逻辑缺陷

危害等级：低

自评Rank：1

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-12-15： 细节已通知厂商并且等待厂商处理中
2014-12-16： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-02-09： 细节向核心白帽子及相关领域专家公开
2015-02-19： 细节向普通白帽子公开
2015-03-01： 细节向实习白帽子公开
2015-01-21： 细节向公众公开

简要描述：

:D

详细说明：

海绵宝宝大牛说乌云要开始收二进制漏洞,于是本想下个沙盒bypass一下没想到…
file:TailList.sys
killk.exe
killk看了眼是upx,手脱很简单,找几个脱壳机也分分钟.
F8 单步 --> 下断 F9 --> 进入循环 下断 --> F8jmp入点口 --> dump

2.jpg


发现写了一个sys出来,早知道监控下文件就好了 Orz..
分析sys吧,简单发一下过程.

::00010BC0::  68 B00A0100              PUSH 10AB0                          // 驱动入口
::00010BC5::  E8 4A050000              CALL 00011114                    
::00010BCA::  83C4 08                  ADD ESP,8                         
::00010BCD::  8B45 08                  MOV EAX,[EBP+8]                   
::00010BD0::  C740 38 8A0D0100         MOV DWORD PTR [EAX+38],10D8A           
::00010BD7::  8B4D 08                  MOV ECX,[EBP+8]                    
::00010BDA::  C741 40 E90D0100         MOV DWORD PTR [ECX+40],10DE9           
::00010BE1::  8B55 08                  MOV EDX,[EBP+8]                         
::00010BE4::  C742 70 860E0100         MOV DWORD PTR [EDX+70],10E86            
::00010BEB::  8B45 08                  MOV EAX,[EBP+8]                         
::00010BEE::  C740 34 210D0100         MOV DWORD PTR [EAX+34],10D21              
::00010BF5::  68 CC0A0100              PUSH 10ACC                         
::00010BFA::  8D4D F0                  LEA ECX,[EBP-10]                        
::00010BFD::  51                       PUSH ECX                                
::00010BFE::  FF15 A8110100            CALL [111A8]


:00010F97::  68 5C0E0100              PUSH 10E5C                              / find kill
::00010F9C::  E8 73010000              CALL 00011114                       
::00010FA1::  83C4 04                  ADD ESP,4                               
::00010FA4::  C745 FC 01000000         MOV DWORD PTR [EBP-4],1


00011107  RETN                                    
00011108  JMP [111CC]                                /kill
0001110E  JMP [11194]                                /获取线程
00011114  JMP [1119C]                               
0001111A  ADD [EAX],AL

漏洞证明：

kill.gif


写了个小软件配合sys成功kill掉360.

给出demo
http://pan.baidu.com/s/1bntn0vX  6wed
解压密码：wooyun

修复方案：

:p

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-01-21 18:42

厂商回复：

恶意的驱动程序在安装或加载时会被360拦截。如果手工放行恶意驱动，那么任何安全产品的进程都可能被破坏。此问题不属于产品漏洞。

最新状态：

暂无

漏洞评价：

评论

  1. 2014-12-15 18:57 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    .......

  2. 2014-12-15 19:09 | 子非海绵宝宝 认证白帽子 ( 核心白帽子 | Rank:1044 漏洞数:106 | 发扬海绵宝宝的精神!你不是海绵宝宝,你怎...)

    哈哈 支持!

  3. 2014-12-15 19:13 | niliu 认证白帽子 ( 核心白帽子 | Rank:1542 漏洞数:206 | 逆流而上)

    哈哈哈

  4. 2014-12-15 19:19 | 小胖子 认证白帽子 ( 核心白帽子 | Rank:1727 漏洞数:140 | 如果大海能够带走我的矮丑...)

    用百度卫士干掉360？

  5. 2014-12-15 19:25 | 子非海绵宝宝 认证白帽子 ( 核心白帽子 | Rank:1044 漏洞数:106 | 发扬海绵宝宝的精神!你不是海绵宝宝,你怎...)

    @小胖子 用金山...

  6. 2014-12-15 19:27 | Knight ( 实习白帽子 | Rank:38 漏洞数:10 | 刚刚上洗手间，看到一个玉树临风的少年，气...)

    哈哈哈哈哈。这洞肯定得忽略了。

  7. 2014-12-15 19:28 | 问题来了 ( 普通白帽子 | Rank:201 漏洞数:23 | 挖漏洞哪家强)

    哈哈哈哈哈。这洞肯定得忽略了。

  8. 2014-12-15 20:35 | 黑色二进制 ( 路人 | Rank:5 漏洞数:3 | 一只小白)

    目测360应该是受

  9. 2014-12-15 21:23 | 泳少 ( 普通白帽子 | Rank:231 漏洞数:79 | ★ 梦想这条路踏上了，跪着也要...)

    用360kill360。

  10. 2014-12-16 09:22 | ❤ ( 普通白帽子 | Rank:276 漏洞数:69 | ❤)

    关注下

  11. 2014-12-16 11:08 | Mark ( 路人 | Rank:8 漏洞数:2 | 渗透你的心)

    果断是忽略的节奏。。。

  12. 2014-12-16 11:33 | SuperRookie ( 实习白帽子 | Rank:39 漏洞数:7 | 求收编，本人会注入，会上传，会Xss，会破...)

    用驱动精灵 就能干掉 360

  13. 2014-12-16 12:06 | Observer ( 实习白帽子 | Rank:35 漏洞数:8 | 我在夕阳下奔跑，那是我逝去的青春)

    360:偶累哇挠他流氓软件，洞主提交错了忒斯。

  14. 2014-12-16 13:56 | syjzwjj ( 路人 | Rank:27 漏洞数:3 )

    恶意的驱动程序在安装或加载时会被360拦截。如果手工放行恶意驱动，那么任何安全产品的进程都可能被破坏......这个不是漏洞吧

  15. 2014-12-16 21:19 | MeirLin ( 实习白帽子 | Rank:96 漏洞数:30 | 号借人)

    恶意攻击者完全可以诱导用户放行恶意驱动吧，毕竟现在电脑小白还是很多的，而360用户群又那么庞大“那么任何安全产品的进程都可能被破坏” 意思是不是 大家都是这样也就不是事儿了

  16. 2014-12-17 17:02 | xsjswt ( 普通白帽子 | Rank:156 漏洞数:49 | 我思故我猥琐，我猥琐故我强大)

    360忽略是因为你说他是流氓软件，你如果把漏洞标题改成“我是如何用流氓软件kill掉世界排名他说第二没有人敢说第一全宇宙用户量最大13亿用户选择有品质保证的安全防护软件的”，360肯定不忽略

  17. 2014-12-17 17:13 | Mixes ( 普通白帽子 | Rank:111 漏洞数:19 | :))

    @xsjswt 哈哈哈哈哈哈哈哈哈哈哈哈哈哈哈哈醉了.

  18. 2014-12-17 17:14 | 内谁 ( 实习白帽子 | Rank:81 漏洞数:5 | 我是内谁)

    @xsjswt 有道理，哈哈

  19. 2014-12-17 18:06 | Knight ( 实习白帽子 | Rank:38 漏洞数:10 | 刚刚上洗手间，看到一个玉树临风的少年，气...)

    @xsjswt 终于知道以后标题要怎么取了。

  20. 2014-12-18 11:28 | winalva ( 路人 | Rank:9 漏洞数:3 | rank是什么？)

    哈哈哈哈哈哈哈醉了@Mixes

  21. 2014-12-19 10:49 | wefgod ( 普通白帽子 | Rank:1807 漏洞数:179 | 力不从心)

    @xsjswt 哈哈标题的重要性啊

  22. 2014-12-19 14:11 | 北洋贱队 ( 普通白帽子 | Rank:252 漏洞数:25 )

    @MeirLin 你手动让第三方驱动加载就是你自己的问题,xuetr， powertool，杀毒软件遇到Anti Rootkit都会被干掉

  23. 2015-01-22 09:05 | wooyuners ( 路人 | Rank:0 漏洞数:3 | 众筹之路)

    路人甲真实信息：/whitehat_detail.php?whitehat=zhuixing不要问我为什么知道