【閉源之光】中國兩大防毒軟嚴重漏洞！變成真正「毒霸」

蘋果酒 48日

https://www.dcfever.com/news/readnews.php?id=41208

https://www.dcfever.com/articles/news/2026/04/260417_360posion_01.jpg

究竟還需不需要使用防毒軟件，一直是網上經常討論的話題。隨著作業系統內建的安全中心功能日趨強大，許多用戶開始質疑第三方防毒方案的必要性。然而，近日有安全研究人員揭露，國內兩大防毒軟件——金山毒霸與 360 安全衛士——的核心驅動程式存在高危的内核漏洞，此事件不僅動搖了用戶信心，更突顯出國產安全產品在底層架構上的潛在風險。

兩款軟件均為國內市場的主流產品，金山毒霸強調雙引擎查殺與系統體檢，360 安全衛士則以木馬攔截、插件清理及一鍵修復見長，但兩套軟件今次暴露的漏洞本質都極為嚴重。金山毒霸的核心驅動在處理數據時，分配的記憶體空間不足一半，導致數據溢出並取得系統最高權限。360 安全衛士則允許攻擊者直接終止任意程式，甚至繞過微軟的保護機制。兩者均持有官方認證簽名，系統視其為完全可信，黑客可輕易掌控整部電腦。

此次事件暴露了共同的弱點：内核級驅動深度介入系統底層，一旦失守，便成為黑客的後門。資安分析師指出，此類漏洞的危險性遠超一般惡意軟件，因為防毒程式天生擁有最高權限，攻擊者可藉此竊取憑證、修改内核回調表，甚至隱藏惡意行為。

官方回應迅速。金山與 360 已分別發佈更新修補程式，敦促用戶升級至最新版本以規避風險。不過，當「保護者」自身淪為破口，難免令用戶須重新評估對這類軟件的依賴程度。

Microsoft認證簽名，必屬佳品

蘋果酒 48日

https://www.hkepc.com/25477/

中國金山毒霸、360 安全衛士
存在高危險漏洞或致系統被完全控制

【安全軟件不安全 ... 】中國媒體報道，安全專家 Impulsive 警告兩款來自中國的防毒軟件「金山毒霸」與「360 安全衛士」存在嚴重的高危漏洞，這些漏洞可能被黑客利用，或導致系統被黑客完全控制。其中一款更使用嵌入在二進制檔案中的靜態 AES 密鑰讀寫內核記憶體，這些做法竟然出現在所謂的「安全」產品上，實在令人嘆為觀止。

據中國《快科技》報道，安全專家 Impulsive 指控這兩款中國防毒軟件的驅動程式漠視安全，結果導致黑客可以利用這些驅動程式，從普通用戶權限提權至 SYSTEM 最高權限，繞過 KASLR（內核位址空間佈局隨機化）保護，竊取內核憑證，甚至修改內核回呼表以隱藏惡意行為。

由於這些驅動程式已具備 EV 或 WHQL 官方簽名，攻擊者無需在目標裝置上安裝額外軟件，即可直接載入惡意 payload，攻擊門檻極低。

安全專家 Impulsive 指控，金山毒霸的 kdhacker64_ev.sys 檔案，透過 IOCTL 0x120140 取得使用者輸入，分配的緩衝區大小只有應分配大小的一半，然後在呼叫 RtlInitUnicodeString 時沒有進行邊界檢查。輸入 1160 位元組，只分配 584 位元組，導致 512 位元組溢位直接進入內核池 EV 有符號記憶體。

360 安全衛士的 DsArk64.sys 透過 IOCTL 0x80863008 接收一個 4 位元組的原始程序 ID，並呼叫 Ring 0 的 ZwTerminateProcess 函數來終止所有程序，但卻完全漠視 PPL 保護。其內核讀寫操作使用 AES-128-CBC 加密，但密鑰卻硬編碼記錄在 .data 檔案中，所有版本都使用相同的密鑰。

諷刺的是，這兩個驅動程式都來自防毒產品，360 的 DsArk 其實是他們的 rootkit 掃描器，金山的 khacker 是他們的防火牆／防護驅動程式。用戶安裝防毒軟件本是用來保護系統，結果卻安裝了一個內核後門。

目前，安全專家 Impulsive 已將這兩個高危漏洞提交至 LOLDrivers 資料庫，要求 Microsoft 取消其 WHQL 簽名，並建議正在使用「金山毒霸」與「360 安全衛士」的用戶立即解除安裝該軟件。