漏洞概要 关注数(35) 关注此漏洞
缺陷编号： WooYun-2014-77757
漏洞标题： Win64位Ring3下强制结束360（无视主动防御和自我保护）
相关厂商： 奇虎360
漏洞作者： 木马游民
提交时间： 2014-09-29 13:46
公开时间： 2014-12-25 13:48
漏洞类型： 拒绝服务
危害等级： 高
自评Rank： 10
漏洞状态： 漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系
Tags标签： KILL360
漏洞详情
披露状态：
2014-09-29： 细节已通知厂商并且等待厂商处理中
2014-09-29： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航、无声信息）
2014-11-23： 细节向核心白帽子及相关领域专家公开
2014-12-03： 细节向普通白帽子公开
2014-12-13： 细节向实习白帽子公开
2014-12-25： 细节向公众公开
简要描述：
64位下强制结束360杀毒和360卫士进程。
无视主动防御和自我保护。
详细说明：
64位下强制结束360杀毒和360卫士进程。
无视主动防御和自我保护。
之前有个朋友提交过一个64位卸载360的。我这个实现起来的思路和他的不一样。
所以还是提交了。
我实现的方法是:
1.利用360安全防护中心模块做外壳，创建一个傀儡进程。然后傀儡带参数(“ /disablesp 1”)运行360tray.exe文件，这样就会弹出360关闭自我保护的对话框。至于为啥要用360自己的文件做傀儡.是因为带上参数(“ /disablesp 1”)后，直接去运行360tray.exe会被360的进程防护模块会直接拦截掉。而用360自己文件做傀儡就能绕过了
------------------------------------------------------
2.当关闭自我保护的对话框成功弹出后，程序后台找图，取得确定按钮的屏幕坐标。然后模拟鼠标单击确定按钮。
------------------------------------------------------
3.现在360的自我保护已经从有到无了。直接调用系统文件taskkill.exe就能将360所有进程杀掉，包括zhudongfangyu.exe
漏洞证明：
附上demo下载链接:
http://**.**.**.**/s/1o6BgmgU
http://**.**.**.**/wp-content/uploads/2014/09/kill360.zip
(解压密码:123)
附上演示视频下载链接:http://**.**.**.**/s/1ntDkjwP
（演示视频是我开源的时候录的，大家将就着看。）
关于傀儡进程:http://**.**.**.**/showthread.php?p=1171054
修复方案：
你们更专业。
版权声明：转载请注明来源 木马游民@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2014-12-25 13:48
厂商回复：
360安全卫士的云主防和自我保护对模拟/消息方式操纵安全卫士组件（包括卸载程序）都有完整防护。
经我们测试，白帽子报告的相关方法是可以拦截的。
在X64操作系统上，360安全卫士的主动防御需要开启“核晶引擎”后才能提供完整防护能力（需要CPU的VT支持）。
此报告同今年4月的报告：http:///bugs/wooyun-2014- 是相同的，白帽子可参考一下。
最新状态：
暂无
漏洞评价：
对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值
漏洞评价(共0人评价):
登陆后才能进行评分
评价
-
9# 回复此人
-
WooYun: 绕过360核晶引擎再次强制结束360进程(x64) 再忽略我就无语鸟
14# 回复此人
( 普通白帽子 | Rank:834 漏洞数:127 | 一个想当文人的黑客~)
( 普通白帽子 | Rank:474 漏洞数:47 | Talk is cheap.:)
评论