漏洞概要 关注数(48) 关注此漏洞
缺陷编号： WooYun-2014-77814
漏洞标题： 绕过360核晶引擎再次强制结束360进程(x64) ![绕过360核晶引擎再次强制结束360进程(x64)]()
相关厂商： 奇虎360
漏洞作者： 木马游民
提交时间： 2014-09-29 18:11
公开时间： 2014-12-28 18:12
漏洞类型： 拒绝服务
危害等级： 高
自评Rank： 15
漏洞状态： 厂商已经确认
漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系
Tags标签： kill360 奇巧淫技
漏洞详情
披露状态：
2014-09-29： 细节已通知厂商并且等待厂商处理中
2014-09-30： 厂商已经确认，细节仅向厂商公开
2014-10-03： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-11-24： 细节向核心白帽子及相关领域专家公开
2014-12-04： 细节向普通白帽子公开
2014-12-14： 细节向实习白帽子公开
2014-12-28： 细节向公众公开
简要描述：
绕过360核晶引擎再次强制结束360进程，打脸成功、
请不要再忽略了。你那个核晶引擎有多少人会打开你自己还不清楚吗？
详细说明：
绕过360核晶引擎再次强制结束360进程，打脸成功、
上午提交了一个64位下kill360的小玩具
但是没过多久我就被打脸了
360说有个核晶引擎。
我们先不说这个牛逼哄哄玩意儿有几个人开了。
估计小白连怎么打开都不知道、
小菜我现在蛋有点痛。不是因为别的，只是小菜我辛辛苦苦码了这么久的字，你它喵就给我0rank？
------------------------------------
1.利用傀儡进程绕过360那个进程防护的思路，在开启核晶引擎后失效了。
2.但是我发现x64上即使开了核晶引擎还是防不住模拟点击。于是我修改demo执行流程为:
运行后创建360tray.exe的快捷方式到桌面(带" /disablesp 1"参数)。并自定义图标为一个独特的纯色图标(方便找图。避免和其他图标重复).然后找图取图标的屏幕坐标并模拟双击。果然不出我所料。自我保护关闭对话框再次跳出。然后找图取确定按钮的坐标，再次模拟点击。
3.最后360的自我保护又从有到无了、调用taskkill.exe即可把360所有进程杀掉.
漏洞证明：
demo下载地址:http://**.**.**.**/s/1qWEzXNm(解压密码123，内含旧版和新版)
演示视频下载地址:http://**.**.**.**/s/170UCY
修复方案：
和谐这个连我这种小菜都能想出思路.所以请你们不要继续忽略了。
版权声明：转载请注明来源 木马游民@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2014-09-30 13:24
厂商回复：
感谢白帽子的报告，此问题确认是针对x64位的主动防御一处bug引起，导致x64系统上模拟点击防护可以被绕过，我们将尽快修复此问题。
另外，关于白帽子提及的核晶引擎默认开启问题，我们已有计划在近期逐步对用户默认开启核晶引擎，增强x64系统上的安全防护强度，谢谢白帽子的提醒。
最新状态：
暂无
漏洞评价：
对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值
漏洞评价(少于3人评价):
登陆后才能进行评分
100%
0%
0%
0%
0%
评价
-
不知道是不是那个关闭自我保护的界面可以先用postmessage等让"是"按钮获得焦点再模拟Enter
14# 回复此人
( 普通白帽子 | Rank:834 漏洞数:127 | 一个想当文人的黑客~)
评论