搜狗输入法一键RCE复盘：sgbiz协议、WebView与内核驱动的三段攻击链

cwbird
cwbird

bird网络安全

2026年9月17日 16:07
贵州

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

CVE-2026-51990，腾讯搜狗输入法 Windows 版远程代码执行漏洞，2026 年 9 月 10 日公开，9 月 15 日多家厂商发布预警时已确认在野利用，攻击组织为 Mandiant 追踪的 UNC3569。奇安信 CERT 同步编号 QVD-2026-66338，评级高危，CVSS 9.8。

这个漏洞值得写的点有两个。其一，输入法是常驻进程、高权限运行、装在几乎所有中文 Windows 办公机上，一旦打通 RCE，等于攻击者拿到了企业内网的海量落点。其二，它的利用链由三个各自不算致命的缺陷拼接而成，这种「组合拳」结构对做防御的人有参考价值：单点修补挡不住，必须在链路上设卡。

攻击链拆解：三次跳转拿到 SYSTEM

综合奇安信 CERT、360 漏洞研究院和维度攻防的披露信息，完整利用链分三段。

第一段是自定义协议处理器。搜狗输入法注册了 sgbiz:// 协议，安装后该协议与输入法主程序绑定。问题在于协议参数没有做校验，攻击者构造一条 sgbiz:// 链接，通过网页、邮件、即时通讯消息投递，用户点击后参数被原样传进输入法的处理逻辑。协议处理器本身只起跳板作用，但它是整条链的入口，点击一次即触发，全程无感知。

第二段是内嵌 WebView。输入法的皮肤中心功能用内嵌 WebView 渲染，该 WebView 允许跳转到非预设域名。攻击者借第一段的协议参数注入，把 WebView 引导到攻击者控制的页面。到这里，恶意代码已经在输入法进程的上下文里拿到了脚本执行环境。

第三段落地到内核。输入法以服务方式运行且加载内核态驱动，最终利用被用于植入 Mandiant 命名为「灰兔」（HuiTu）的后门。从一条链接到内核态驻留，用户全程只需点击一次。

为什么修复版本是 14.5b 而不是单个补丁

腾讯的修复对应输入法 Windows 版 14.5b，这个版本号本身就说明问题：三个缺陷分属协议校验、WebView 跳转控制、驱动加载策略三处代码，单改一处只能让链路断一节，攻击者换一条路径照样能拼回来。这也解释了为什么此类「三段式」漏洞的修复周期普遍偏长，厂商需要同时审计三处边界。

飓风网络安全的预警里提到一个细节：在野利用样本中观察到利用 CVE-2021-38003 的痕迹，这是 Chromium 内核的历史漏洞。输入法内嵌的浏览器内核长期不更新，是国产桌面软件的通病，WebView 里的内核版本落后主线两三年很常见。个人观点，这次事件之后，带内嵌浏览器内核的国产输入法、网盘、办公套件都会被重新审计一遍，安全团队不妨先自查。

企业侧处置：协议封禁比卸载更现实

输入法不能一卸了之。中文办公环境下输入法是生产力工具，强制全员换输入法的决策阻力远大于安全收益。更可操作的处置按优先级排：

协议处理层面，通过组策略或注册表禁用 sgbiz:// 协议关联。HKCR 键值删除对应协议项，或用 AppLocker 规则阻断协议唤起，这一步成本最低，直接掐断链路入口，即使存量版本未升级也无法被唤起。

终端层面，EDR 布控两条规则。一是监控输入法进程（SGTool.exe、SogouImeBroker.exe）产生子进程或加载新驱动的事件，正常业务里这两个行为不应出现，命中即高危；二是对 sgbiz:// 协议唤起行为本身告警，配合上文组策略做到阻断加留痕。

网络层面，如果企业代理支持自定义协议过滤，把 sgbiz:// 加入拒绝列表。这条对已离开办公网段的终端无效，属于兜底措施。

版本层面，全量盘点装机情况后统一推 14.5b。盘点本身有价值：这次事件暴露的真实问题是多数企业根本不知道自己内网有多少台机器装着哪个版本的输入法，资产清单的缺口比漏洞本身更该补。

在野利用的检测窗口

UNC3569 的攻击活动说明漏洞公开与武器化之间几乎没有间隔。公开时间是 9 月 10 日，9 月 15 日的预警已确认在野利用，中间只隔了 5 天。对防御方的启示很直接：这类装机量巨大的国产软件高危漏洞，应急响应不能等厂商通告全量推送完毕，从公开到全量更新完成之间的窗口期，就是协议封禁和 EDR 规则发挥作用的时段。

360 漏洞研究院在 9 月 15 日已发布检测规则更新，奇安信的通告附了复现结论。检测规则可以直接取用，不需要自研。落到执行上，SOC 值班人员今天能做的三件事：查 EDR 里近一周输入法进程的异常子进程记录、确认组策略推送到多少终端、把 sgbiz:// 封禁策略纳入基线检查项。这三步做完，这个漏洞在企业内的实际风险就收敛了大半。