微软修复了挂起/暂停MsMpEng.exe的漏洞

显示全部楼层 · 发表于 2023-4-29 11:52:59

我其实很早就发现了这个问题，但一直忘了说……
在之前版本的Defender中，只需要用资源监视器就可以随意暂停（挂起）MsMpEng.exe的进程，虽然暂停后任何从硬盘上启动新进程的尝试都将失败，但不影响已经运行起来的进程。

今天突然心血来潮想写个POC，挂起MsMpEng进程后在内存中执行shellcode，但发现现在已经无法随意暂停MsMpEng.exe了，会直接提示拒绝访问

相关的代码尝试会卡住

提权至TrustedInstaller也不会暂停MsMpEng.exe

显示全部楼层 · 发表于 2023-5-5 20:50:50

我记得早就修复了?

显示全部楼层 · 发表于 2023-5-5 21:50:00

借楼问个问题，MD在Program Files下的文件和ProgramData下的文件有什么不同？
为什么更新和系统加载都是ProgramData下的MD，而Program Files的没有变化还占着空间？

显示全部楼层 · 发表于 2023-5-5 23:54:06

hansyu 发表于 2023-5-5 21:50
借楼问个问题，MD在Program Files下的文件和ProgramData下的文件有什么不同？
为什么更新和系统加载都是Pr ...

ProgramData下的版本更新，Program files目录下的可能仅仅在刚安装系统时会运行一次并更新平台版本，随后将迁移至Programdata下运行

显示全部楼层 · 发表于 2023-5-5 23:57:56

ANY.LNK 发表于 2023-5-5 23:54
ProgramData下的版本更新，Program files目录下的可能仅仅在刚安装系统时会运行一次并更新平台版本，随后 ...

微软有解释原因么？为什么要弄两套呢？

显示全部楼层 · 发表于 2023-5-6 00:04:05

hansyu 发表于 2023-5-5 23:57
微软有解释原因么？为什么要弄两套呢？

印象中，没有。只是发布了相关更改的通知，但我目前找不到原网址了

目前只在https://learn.microsoft.com/zh-c ... -defender-antivirus找到，怀疑原地址已删除或更改

[一般话题] 微软修复了挂起/暂停MsMpEng.exe的漏洞

本帖子中包含更多资源

评分

评分