国外高手谈卡巴斯基存隐患（1）

　　但是，并不是所有的KAV关联都这么幸运。KAV安装的NtTerminateProcess钩子会查看函数的进程句柄参数所指向的对象实体，这样就能确定要终止的进程的名称。但是KAV没有验证用户层提供的对象句柄是否是真的指向一个进程对象。

　　由于种种原因，这样做很不安全，如果读者曾经进行过内核编程你就会深刻体会为什么这样不安全。

　　内核进程结构定义（EPROCESS）随着OS更换甚至是Servicepack的更换而频繁地改变。这样造成的结果就是，直接访问这样的结构通常都很不安全。

　　由于KAV不适当地执行类型核实操作，因此很有可能将一个对象句柄传递给不同的内核对象——比如，mutex——于是因为mutex的内部结构（或者任何其它的内核对象）与进程对象的内部结构不兼容，KAV将导致系统崩溃。

　　对于上一个问题，KAV想用如下方法应对：它试图实时地找出包含进程名称的EPROCESS结构成员的偏移地址。它所使用的算法是，每次从进程对象指针的开始提前扫描一字节，直到它发现用来识别初始系统进程名字的那个字节串。（这个例行程序在初始系统进程环境中被调用）。与杀毒软件、还有其他利用与进程关联的像文件名称的那些低端产品比起来，这种例行程序似乎很普通。