深入解析Visual Studio反序列化零点击代码执行漏洞，实现 100% 稳定复现

// Token: 0x06000289 RID: 649 RVA: 0x0000B23C File Offset: 0x0000943Cinternal void LoadOptions(Stream stream){    // BinaryFormatter 反序列化漏洞点，在这里加个断点开始调试    BinaryReader binaryReader = new BinaryReader(stream);    BinaryFormatter binaryFormatter = new BinaryFormatter();    int num = binaryReader.ReadInt32();    for (int i = 0; i < num; i++)    {        string text = binaryReader.ReadString();        int num2 = binaryReader.ReadInt32();        for (int j = 0; j < num2; j++)        {            string text2 = this.Links.Read(stream);            VsToolboxService.ToolboxItemContainer toolboxItemContainer = (VsToolboxService.ToolboxItemContainer)binaryFormatter.Deserialize(stream);            if (text2 != null && File.Exists(text2))            {                toolboxItemContainer.LinkFile = text2;                this.Links.TrackLink(text2);                this.Items.GetFilteredList(text).Add(toolboxItemContainer);            }        }    }}

// Token: 0x060021AA RID: 8618 RVA: 0x000545E8 File Offset: 0x000527E8protected virtual void Initialize(){    object servicesLock = this._servicesLock;    lock (servicesLock)    {        if (this._services != null && this._services.Count > 0)        {            IProfferService profferService = null;            foreach (KeyValuePair<Type, object> keyValuePair in this._services)            {                Package.ProfferedService profferedService = keyValuePair.Value as Package.ProfferedService;                if (profferedService != null)                {                    if (profferService == null)                    {                        profferService = (IProfferService)this.GetService(typeof(SProfferService));                    }                    if (profferService == null)                    {                        break;                    }                    Guid guid = keyValuePair.Key.GUID;                    uint num;                    NativeMethods.ThrowOnFailure(profferService.ProfferService(ref guid, this, out num));                    profferedService.Cookie = num;                }            }        }    }    // 上面的代码不重要，从这里开始判断    object optionKeysLock = this._optionKeysLock;    string[] array;    lock (optionKeysLock)    {        List<string> optionKeys = this._optionKeys;        array = ((optionKeys != null) ? optionKeys.ToArray() : null);    }    if (array != null)    {        IVsSolutionPersistence vsSolutionPersistence = (IVsSolutionPersistence)this.GetService(typeof(SVsSolutionPersistence));        if (vsSolutionPersistence != null)        {            foreach (string text in array)            {                try                {                    // text参数是否为"VsToolboxService"就是漏洞能否利用的关键                    int num2 = vsSolutionPersistence.LoadPackageUserOpts(this, text);                    if (num2 == -2147418113 || num2 == -2147287038 || num2 == -2147467260)                    {                        break;                    }                    ErrorHandler.ThrowOnFailure(num2);                }                catch (Exception ex)                {                    this.LogSolutionOptionsLoadFailure(text, ex);                }            }        }    }    this.ScheduleToolboxItemDiscoveryFactoriesRegistrationIfNecessary();}

// Token: 0x0600219E RID: 8606 RVA: 0x00053A8C File Offset: 0x00051C8CprotectedvoidAddOptionKey(string name){    if (this.zombie)    {        Marshal.ThrowExceptionForHR(-2147418113);    }    if (name == null)    {        throw new ArgumentNullException("name");    }    if (name.Length > 31)    {        throw new ArgumentException(string.Format(Resources.Culture, Resources.Package_BadOptionName, name));    }    object optionKeysLock = this._optionKeysLock;    lock (optionKeysLock)    {        if (this._optionKeys == null)        {            this._optionKeys = new List<string>();        }        if (this._optionKeys.Contains(name))        {            throw new ArgumentException(string.Format(Resources.Culture, Resources.Package_OptionNameUsed, name));        }        // 在这里加断点        this._optionKeys.Add(name);    }}

// Token: 0x06000106 RID: 262 RVA: 0x00003B10 File Offset: 0x00001D10publicVSCorePackage(){    ServiceCreatorCallback serviceCreatorCallback = new ServiceCreatorCallback(this.OnCreateService);    IServiceContainer serviceContainer = this.GetService(typeof(IServiceContainer)) as IServiceContainer;    if (serviceContainer != null)    {        serviceContainer.AddService(typeof(IVSMDPropertyBrowser), serviceCreatorCallback, true);        serviceContainer.AddService(typeof(IToolboxService), serviceCreatorCallback, true);        serviceContainer.AddService(typeof(IComponentDiscoveryService), serviceCreatorCallback, true);        serviceContainer.AddService(typeof(IUIService), serviceCreatorCallback, true);        serviceContainer.AddService(typeof(AssemblyEnumerationService), serviceCreatorCallback);    }    // 注意这里    base.AddOptionKey(typeof(VsToolboxService).Name);    VSCorePackage._instance = this;}

#include<iostream>intmain(){    std::cout << "hello world";}

// Token: 0x060006BF RID: 1727 RVA: 0x0001DFF0 File Offset: 0x0001C1F0internaloverrideboolOnQuerySwitchPane(FrameMoniker frameMoniker){    WindowFrame windowFrame = base.FindFrame(frameMoniker);    if (windowFrame != null)    {        return true;    }    Guid toolWindowGuid = frameMoniker.ToolWindowGuid;    if (toolWindowGuid != Guid.Empty)    {        Guid guid = typeof(IVsWindowPane).GUID;        IntPtr zero = IntPtr.Zero;        ErrorHandler.ThrowOnFailure(GlobalServices.ServiceProvider.QueryService(ref toolWindowGuid, ref guid, out zero));        using (SafeIUnknown safeIUnknown = new SafeIUnknown(zero))        {            IVsWindowPane vsWindowPane = safeIUnknown.ToObject() as IVsWindowPane;            if (vsWindowPane != null)            {                windowFrame = WindowFrame.CreateInstance(frameMoniker);                windowFrame.DocumentSite = new DocumentObjectSite(windowFrame, null, null, null, uint.MaxValue);                windowFrame.DocumentSite.InitializeDocumentObject(vsWindowPane);                windowFrame.SetProperty(-3004, base.Caption);                base.AddFrame(windowFrame);                return true;            }        }        return false;    }    return false;}