微软EMET现关键漏洞

在本月初微软升级其Enhanced Mitigation Experience Toolkit（EMET）时，该软件巨头宣称5.5版本增加了对Windows 10的支持，还有很多其他改进和缓解。但就在不久前，研究人员发现了早期版本微软EMET中的关键漏洞，攻击者可以利用这个免费的反恶意软件让其针对EMET自身。

根据FireEye公司安全研究人员Abdulellah Alsaheel和Raghav Pande的最新报告显示，该漏洞让攻击者可轻松地利用EMET内负责卸载EMET的代码来完全禁用EMET。

根据FireEye报告称，微软EMET为用户模式程序增加了安全缓解。通过运行内部受保护程序作为动态链接库（DLL），得以让攻击者与金钱相关的漏洞利用变得更加困难。

该研究人员与微软合作来共同修复EMET，并在本月初发布的5.5版本中修复了这个漏洞，但在目前受支持的早期版本（5.0、5.1和5.2）以及所有不受支持的旧版本中，这个漏洞仍然可被利用。微软在其升级中将对这个漏洞的缓解称为“EAF/EAF+伪缓解性能改进”。导出地址表过滤可防止攻击者试图读取DLL导出表。

微软EMET并不是抵御恶意软件的完整解决方案，而是帮助阻止恶意软件编写者的一种方法。根据微软表示，EMET旨在“检测和阻止常利用内存损坏漏洞的攻击技术”。

微软称：“EMET会预测攻击者最常使用的攻击手段和技术，并通过转移、终止、阻止这些行为和技术来保护企业。”并且，EMET能够抵御某些零日漏洞，使它们更难以被利用。

然而， FireEye研究人员称：“如果攻击者可以更容易地绕过EMET，那么，EMET提高攻击者漏洞利用成本的目的就无法实现了。”他们还介绍了非常简单的漏洞利用——利用EMET中部分代码，这部分代码会在确定软件安全性后卸载EMET。

在对多个版本的研究和攻击中，我们看到绕过或禁用EMET的漏洞和漏洞利用，包括在2014年，Bromium发现绕过EMET 4.1的方法。