国外高手谈卡巴斯基存隐患（1）

　　隐藏用户层的线程

　　然而，KAV的关联错误还不仅仅止于NtOpenProcess。KAV关联的另一个系统服务是NtQuerySystemInformation。这个例行程序被修改成当SystemProcessesAndThreads信息类被调用的时候就从某些进程中截断线程列表。这是一种潜在的机制，用户层可以接受进程以及所有运行在系统中的程序的线程列表，这就提供给KAV一种隐藏用户层线程的手段。KAV中存在这样一段代码——这件事本身就是不可思议的；在用户层隐藏正在运行着的代码这种行为是跟rootkits相联系的，这不是杀毒软件应该有的功能。

　　撇去隐藏运行代码这个潜在的威胁不谈，它还存在很多安全漏洞：

　　它使用用户层的NtQuerySystemInformation输出缓存——实际上内核层已经占用了这部分，但它不能防御恶意用户层的程序对该缓存的修改或释放。该项函数没有SEH框架，因此用户层的应用有可能导致KAV对空的内存进行操作。

　　这其中没有对返回的输出缓存的偏移地址进行验证，也就不能确定偏移地址是不是指向输出缓存之外的内存。显然这会造成问题，因为返回的数据结构实际上是子结构的一个列表，加一个偏移地址相当于给那个结构的地址加上了一个特殊构架，以便访问下一个结构。用户层可以修改这个偏移地址，让它实际上指向内核内存。由于钩子函数有时会把数据写入到它认为的用户输出缓存，那么黑客就有了一个有趣的、可以用来从非授权的用户层获得内核权限的方法。