2014SyScan360——发现杀毒软件安全漏洞

2014年7月16日，由SyScan主办，360公司承办的SyScan360国际前瞻信息安全会议隆重召开。今天，作为本次大会的最后一天，将有更加精彩的内容呈现给与会者。据悉，今天将有6个议题逐一呈现给大家，此外也将宣布特斯拉破解的最终结果以及电子门卡的破解活动。

杀毒软件，我们并不陌生。它已经成了每个电脑的标配，也是每个手机的伴侣，无疑，它成了让我们安全使用PC以及移动设备的“保镖”。然而，杀毒软件一定安全么?它本身是否也存在了极大的漏洞呢?在本次的SyScan360大会上，Joxean Koret则通过如何攻击杀毒引擎，如何找到漏洞，如何看到杀毒引擎漏洞的情况，阐述了现有杀毒产品的漏洞，以及目前杀毒软件的漏洞情况，最后给杀毒软件厂商提出了意见。

[[116491]]

Joxean Koret认为：当我们在计算机上安装应用程序的时候，便已经比之前更加容易受到攻击。如果说这些应用程序是本地的程序，则本地的攻击面就会增加，如果你的应用程序是远程的程序，会增加远程的攻击面，如果你的应用程序是具有最高权限的安装、运行和最高数据包的过滤器，这个攻击面就会很大的增加。作为传统杀毒软件厂商所做的宣传，他们提到“有了我们杀毒产品让你们的电脑更安全”，Joxean Koret则表示“这完全是胡说八道。”因为杀毒引擎会使你的电脑受到不同程度的损失，表现的更容易攻击，另外很多情况下可以降低操作系统。

Joxean Koret提到大多数的杀毒引擎都会安装系统的驱动，这就会转换成为本地权限的提升，通常都是这种情况，杀毒引擎也必须支持很多很多的文件格式，而且这个列表非常的长。基本上你在你电脑上日常工作的格式都必须要支持，这就转化为所有的参数文件格式的解析器里面都有。即使不是所有，但大多数的杀毒引擎都有最高的权限运行。

涉及到Panda的安全，引擎安全目前没有编译器使用ASLR有一些代码，Joxean Koret则表示：不需要花费太多的经历，在任何的系统上面不需要有其他的层次涉及到国际互联网上的一些产品。更多的是需要一些厂商报告一些漏洞，包括一些Panda我们必须要把它关掉，有一些漏洞按照推理会修复了一些，但是有一些没有修复，他们在短期内还没有计划修复，他们通过一些互动和后门，包括Panda安装目录的权限，所有这些安装漏洞列举还没有计划修复。

Joxean Koret表示：总体来讲杀毒软件并不让你特别的安全，它会增加你受攻击的面，和任何其它应用程序一样有弱点的。有一些杀毒软件会降低你操作系统的保护程度，甚至本地和远程的漏洞会困扰你。

最后他也给出了一些用户建议：不要盲目的信任你使用的杀毒软件，你要相信它是一个错误，如果你是政府，还是公关部的，还有网关方面的，电脑上不要加入它的子网关的检查。你部署之前一定要请第三方帮你核证一下，这是比较好的选择。

对杀毒软件公司Joxean Koret给出的建议是：首先要认真的研究产品，做源代码的符合，做fuzzing。还有源代码的测评不会远程关闭这些;另外还不要使用最高权限扫描网络数据包、文件等等这些东西，你并不需要成为root system权限来描;第三发送的网络数据包括低特权的沙盒内的进程;在模拟机、虚拟机的沙盒中的代码;对于一个浏览器来讲，对一个文件读取或者安全产品都是这样的;不要相信自己的进程;不要用日用简单的HTTP，要使用SSL/TLS;要再验证整个证书的链。