通过 Sharp4SuoPoc 从原理上复现 Visual Studio 投毒事件

在近期的网络安全事件中，一款提权工具被发现植入了后门，攻击者利用 Visual Studio 项目的 .suo 文件作为隐蔽的攻击媒介。由于 .suo 文件通常是隐藏的配置文件，且安全研究人员对其内容关注较少，因此成为了攻击者利用的一个漏洞。

01. 相关背景介绍

.suo 文件是 Visual Studio 中用于存储用户自定义设置和状态的文件，通常用于保存项目的用户环境配置，如调试设置、编辑器状态等。攻击者利用 .suo 文件的隐蔽性，可以在项目打开时执行恶意代码，从而实现反向连接、权限提升等攻击行为。

此次攻击事件被初步归因于东南亚地区的 APT 组织——海莲花。该组织因其高隐蔽性和高技术水平而著名，长期以来专门针对政府机构、军事单位以及高价值目标进行精准打击。

为了防止类似的攻击事件发生，安全研究人员开发了专门的工具来分析 .suo 文件，防止通过 .suo 文件引入的恶意代码对项目和开发者造成损害，详情请大家阅读上一篇文章

02. 工具实战操作

Sharp4SuoPoc.exe 是一款专门用于创建恶意 .suo 文件的工具。该工具可以将恶意命令嵌入到 .suo 文件中，导致当 Visual Studio 打开项目时，自动执行指定的命令。此工具能够帮助安全研究人员了解如何利用 .suo 文件作为攻击媒介，从而采取有效的防护措施。

2.1 工具用法

以下是使用 Sharp4SuoPoc.exe 工具的基本步骤，首先，你需要一个正常的 .suo 文件，通常可以从现有的 Visual Studio 项目中获取。这个文件包含了项目的默认配置信息。这里以 Sharp4VSSuo1 项目为例，隐藏的.suo文件具体的路径如下所示。

.vsSharp4VSSuo1v16.suo

随后将这个.suo文件重命名为original.suo，这样做的目的在于名称方便管理。

接着，使用 Sharp4SuoPoc.exe 工具，并传入命令参数。以下是一个命令示例。

Sharp4SuoPoc.exe original.suo handle.suo cmd /c start winver

生成的 handle.suo 文件会包含恶意命令，当 .suo 文件被打开时会执行启动 winver.exe 进程，如下图所示。

然后，将生成的 handle.suo 文件复制到 Visual Studio 安装目录下的 .suo 文件存储路径，例如 vsSharp4VSSuo1v16 目录。

最后，在 Visual Studio 中打开 Sharp4VSSuo1 项目，此时指定的命令会被自动执行，命令会弹出 Windows 版本信息窗口，如下图所示。

2.2 防护措施

防止这种通过 .suo 文件的攻击，开发者和安全团队可以批量在项目中采取使用 Sharp4SuoBrowser.exe 这样的工具来分析 .suo 文件，确保文件中没有被植入恶意代码。

另外，确保 .suo 文件始终被隐藏，并且限制对其的访问权限。对于不需要的 .suo 文件，可以删除。

2.3 小结

防止这种通过 .suo 文件的攻击，开发者和安全团队可以批量在项目中采取使用 Sharp4SuoBrowser.exe 这样的工具来分析 .suo 文件，确保文件中没有被植入恶意代码

综上，通过 Sharp4SuoPoc.exe 展示了如何利用 .suo 文件这一被忽视的配置文件作为攻击渠道。在面对类似攻击时，开发者和安全团队应当提高警惕，采取必要的安全措施，保护自己的工作环境免受这种隐蔽攻击的威胁，文章涉及的工具已打包在星球，感兴趣的朋友可以加入自取。

03. 技术精华内容

从漏洞分析到安全攻防，我们涵盖了 .NET 安全各个关键方面，为您呈现最新、最全面的 .NET 安全知识，下面是公众号发布的精华文章集合，推荐大伙阅读！

04. 加入安全社区

目前dot.Net安全矩阵星球已成为中国.NET安全领域最知名、最专业的技术知识库之一，超 1200+ 成员一起互动学习。星球主题数量近 600+，精华主题 230+，PDF文档和压缩包 300+ 。从Web应用到PC端软件应用，无论您是初学者还是经验丰富的开发人员，都能在这里找到对应的实战指南和最佳实践。