| 金山毒霸2001的邮件监控（mailmon.exe）存在缓冲溢出漏洞 |
|
| 金山毒霸2001的邮件监控（mailmon.exe）存在缓冲溢出漏洞 |
|
|
|
作者：佚名 文章来源：不详 点击数： 更新时间：2006-12-5 19:04:23  |
涉及程序：金山毒霸2001
具体描述：
金山毒霸是国内广泛使用反病毒程序。金山毒霸2001的一个新功能称为邮件监控。可
以在邮件被接受之前扫描是否包含病毒或危险程序。其原理是在本机建立一个pop3代理服
务器，（用nc连到本机TCP/110可看到"+OK KAV2000 POP3 proxy ready!")。邮件客户端
通过此代理服务器接收邮件，也就是说在邮件到达客户端程序之前就接受金山毒霸2001
的扫描。
但程序（mailmon.exe）并未设置IP地址过滤，任何主机都可进行连接，而且没有日
志记录。那么，如果computerA运行了邮件监控，computerB只要把自己的邮件客户端pop3
代理设置为computerA，就可以免费使用computerA的邮件监控功能。
更糟糕的是mailmon.exe存在缓冲溢出问题，至少可以导致程序崩溃。更进一步的分
析表明，可以通过巧妙构建的代码执行任何命令，或者获得一个远程shell。
在Windows 2000 pro上测试具体情况如下：
-------------------------------------------------------------------------
当发送“USER xxxx...”，x数量小于等于987时，
不会发生缓冲溢出，此时远程系统自动断开连结。
当发送“USER xxxx...”，x数量等于988时，系统警告：
"0x0041fc02"指令引用的"0x00000000"内存。该内存不能为"read"。
当发送“USER xxxx...”，x数量等于989时，系统警告：
应用程序发生异常，unknown software exception (0xc000001e),位置为0x0041007a。
当发送“USER xxxx...”，x数量等于990时，系统警告：
"0x00007878"指令引用的"0x00007878"内存。该内存不能为"read"。
当发送“USER xxxx...”，x数量大于990，小于等于1867时，系统警告：
"0x78787878"指令引用的"0x78787878"内存。该内存不能为"read"。
"0x77e74a1d"指令引用的"0x7878786c"内存。该内存不能为"written"。
当发送“USER xxxx...”，x数量大于等于1868时，
无出错提示，程序自动终止。
-------------------------------------------------------------------------
鉴于种种原因，不给出具体Exploit。
解决方案：
1、希望软件厂商解决缓冲溢出问题。
2、希望软件厂商在软件中添加允许连接的IP范围设置。
3、在厂家给出补丁之前请暂不要使用邮件监控，或在单机防火墙上阻塞对本机TCP/110的访问。
|
| 文章录入：wuyongjian 责任编辑：wuyongjian |
|
上一篇文章： san是怎么利用phpnuke的漏洞做坏事的:)
下一篇文章： 构造特殊的UDP数据包能造成SQL Server服务器CPU负荷加重漏洞 |
| 【字体：小 大】【发表评论】【加入收藏】【告诉好友】【打印此文】【关闭窗口】 |
