本文详细介绍了CVE-2019-3648漏洞，该漏洞存在于McAfee反病毒软件中，允许攻击者绕过自防御机制，加载未签名的DLL到高权限服务中。攻击者需具备管理员权限，漏洞主要由于缺少数字签名验证和错误的DLL搜索路径。潜在风险包括防护绕过、签名执行和驻留机制，影响McAfee Total Protection等多款产品。
SafeBreach Labs安全研究人员在McAfee反病毒软件所有版本中发现了一个新的漏洞。本文将证明如何利用该漏洞来绕过McAfee的自防御机制，并加载任意未签名的DLL到多个以NT AUTHORITY\SYSTEM运行的服务中来实现防御绕过和驻留。
注：为成功利用该漏洞，攻击者需要有administrator管理员权限。
McAfee Total Protection
McAfee Total Protection提供病毒、奇热身份和隐私保护等多个功能。该软件的多个组成部分以NT AUTHORITY\SYSTEM权限的Windows服务的形式运行，权限很大。
漏洞
漏洞发现
研究人员发现以签名的进程和NT AUTHORITY\SYSTEM权限运行的McAfee软件的多个服务尝试加载 c:\Windows\System32\wbem\wbemcomn.dll。但是该DLL文件位于System32文件夹，而非System32\Wbem：
研究人员猜测如果可以加载任意未签名的DLL到这些进程中那么这就是一个漏洞。然后利用该漏洞可以绕过杀毒软件的自防御机制，因为McAfee软件的文件夹都是由mini-filter文件系统驱动进行保护的，这就限制了写操作。
如果mini-filter文件系统驱动是有效的，即
最低0.47元/天 解锁文章
扫一扫
1723
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
