在高限制下也能K掉卡巴2009的进程。

显示全部楼层 · 发表于 2008-8-17 21:59:54

地址          反汇编                                        文本字串
00401326 PUSH killAVP.0040106C                   avp.exetest_event
00401357 PUSH killAVP.00401064                   system
00401455 PUSH killAVP.00401074                   test_event
0040156A PUSH killAVP.00401080                   \basenamedobjects\6953ea60-8d5f-4529-8710-42f8ed3e8cda

引用：
初始化 Native Unicode 字符串 : "\BaseNamedObjects\6953EA60-8D5F-4529-8710-42F8ED3E8CDA"
枚举进程 avp.exe
然后通过创建事件对象，更换进程令牌，并且枚举系统句柄表把avp.exe的运行环境破坏掉。
OVER.

[ 本帖最后由 ranguangning 于 2008-8-17 22:12 编辑 ]

显示全部楼层 · 发表于 2008-8-17 22:11:44

经过卡巴俄罗斯官方测试，该程序仅能关掉卡巴的GUI AVP.exe进程，并不能影响其正常使用！

显示全部楼层 · 发表于 2008-8-17 22:12:49

费尔主动防御拦截在线扫描报木马。。。

显示全部楼层 · 发表于 2008-8-17 22:15:03

就在高受限中,没有用,KIS 2009的注册表的AVP.EXE还在

显示全部楼层 · 发表于 2008-8-17 22:15:37

还好没把系统调用表XX了

显示全部楼层 · 发表于 2008-8-17 22:17:21

LZ你贴图看一下结果.....看是不是真的两个都结束了..

[病毒样本] 在高限制下也能K掉卡巴2009的进程。

浏览过的版块