近日，一位安全研究人員在 X 平臺發佈推文，揭露金山毒霸與 360 安全衛士兩款主流殺毒軟件的驅動存在高危漏洞。這些漏洞可被攻擊者利用，實現對目標設備的完全控制。據介紹，攻擊者透過這些漏洞，從普通用戶權限提升至 SYSTEM 最高權限，能繞過 KASLR（内核地址空間佈局隨機化）保護，竊取内核憑證，甚至修改内核調度表以隱藏惡意行為。由於涉及驅動均為 EV 或 WHQL 官方簽名，攻擊者無需在目標設備安裝額外軟件，即可直接載入惡意驅動，攻擊門檻極低。
金山毒霸驅動緩衝區溢出漏洞詳情
金山毒霸的 kdhacker64_ev.sys 驅動存在明顯的緩衝區分配缺失。在處理用戶輸入時，分配的緩衝區大小僅為實際所需的一半，導致 1160 字節的數據被寫入 584 字節的空間，直接引發 512 字節的内核堆溢出。值得注意的是，該驅動擁有有效的 EV 簽名，這意味著攻擊者可藉助此漏洞輕鬆繞過系統安全檢查，實現對設備的完全控制。 360 安全衛士的漏洞則體現在 DsArk64.
sys 驅動上。該驅動允許透過 IOCTL 接口輸入 4 字節的進程 ID，並在 Ring 0 層級直接調用 ZwTerminateProcess 函數，可強制終止任意進程，甚至繞過 PPL（受保護進程輕量級）機制，對系統内核進程構成威脅。此外，該驅動的内核讀寫功能採用 AES-128-CBC 加密算法，但解密密鑰被硬編碼在二進制文件的 .data 段中，且所有版本均使用相同密鑰，大幅降低攻擊者的破解難度。
目前，這兩個高危漏洞已提交至 LOLDrivers 數據庫。 | 軟件 | 驅動檔名 | 漏洞類型 | 關鍵細節 | |——|———-|———-|———-| | 金山毒霸 | kdhacker64_ev.sys | 内核堆溢出 | 緩衝區大小不足一半，溢出 512 字節；EV 簽名 | | 360 安全衛士 | DsArk64.
sys | 任意進程終止 / 内核讀寫 | IOCTL 輸入 4 字節 PID 調用 ZwTerminateProcess；AES-128-CBC 硬編碼密鑰 |
