近期有视频称 PCL 的联网配置功能存在 “后门”，经过调查，我已确认该功能不存在安全漏洞或后门，且是保证紧急情况下安全可靠的措施之一，现进行说明。

我从未收到过相关问题的 Issue 或 Security Advisory。

“后门” 的具体步骤

1. 作为前置条件，攻击者需要先黑入或者掌握 PCL 的整个更新服务，或者已经能篡改用户电脑的文件或 HTTPS 链接，才能继续下一步。

2. 虽然攻击者已经可以直接修改 PCL 的更新包，或者操纵用户的网络了，但攻击者偏偏就不想这样做，他想玩，他要选择一个更有……艺术感？的途径，来进行攻击。所以他盯上了 PCL 的联网配置功能。

3. 攻击者通过篡改 PCL 的更新服务下发的配置，把 PCL 的 “启动前执行命令” 设置，换成了他想执行的恶意代码。

4. 等待玩家自己去启动游戏，然后这个 “启动前执行命令” 设置就会执行这个恶意代码。（即使攻击者的权限明明已经想干啥干啥了，但他就是想这么玩，你别管）

发布者认为，这是我刻意构造的后门，这样就可以通过这个曲折的流程篡改 “启动前执行命令” 设置来干坏事。

为什么这不是安全漏洞？

第一，在相关视频的复现中，其制造了一个【只在已经完蛋的时候才可能发生】的极端前置情况。具体地说，发布者 手动模拟修改 了由 PCL 的 CDN 分发的内容（更新和联网配置都在这里面），而这玩意儿被恶意篡改有以下三种可能：

1. 黑客已经黑入了你的网络，并且可以篡改 HTTPS 加密传输内容。 那为啥黑客不修改 PCL 更新包？

2. 黑客已经黑入了 PCL 在腾讯云的 CDN。 那他已经无敌了，投了吧。

3. 黑客已经黑入了你的电脑，并且可以篡改你的文件了。 既然黑客已经可以直接篡改文件了，为啥还要专门绕一个弯间接修改设置文件？直接改不好吗？

第二，如果把 “软件可信服务向你推送恶意信息” 作为漏洞的前置，你完全可以 ”模拟“ 任何一个软件的服务器向你下发恶意指令或更新文件，得出任何软件都存在后门的 ”结论“。

第三，PCL 默认不在管理员权限下运行，提权操作也不触发联网配置执行代码。因此，即使文件被黑客修改也无法额外提升权限。

综上所述，我认为这对攻击者基本没有利用价值，难以认定为安全漏洞。

为什么这不是开发者留下的后门？

1. 任何程序本就可以修改其新版本更新包，从而实现所谓 “远程下发恶意代码”。就算我真的想蹲大牢了，也可以直接改新版本程序，完全没有必要设计一个如此迂回离奇的结构来实现，这压根就不合情理。

2. 有操作的能力不等于要进行操作。这个逻辑就是，龙猫买了把菜刀 = 龙猫在偷偷准备用菜刀杀人……

3. 我是大脑正常的人类。我不惜苦心孤诣制作几年软件精心设计埋藏后门最后只为一波把自己送入大牢吗，蹲大牢原来对我如此有吸引力啊……？

为什么 PCL 会有这个功能？

一方面，公告功能本来就是程序更新的一部分，就，更新弹窗啊。另一方面，它能在紧急情况下减少影响，在无需更新 PCL 的情况下完成特定修复。

例如，如果老版本 PCL 发现了一个安全漏洞，但用户关闭了更新，就难以解决这个漏洞了。通过该渠道，可以关闭存在漏洞的部分功能，从而降低安全漏洞的潜在影响，提高安全性。

再例如，某个第三方服务出现问题，导致 PCL 打开几秒就会崩溃，用户甚至来不及修改设置切到其他源或是更新 PCL。通过该渠道，可以在 PCL 崩溃之前调整设置，避免死循环崩溃。

幸运的是！PCL 没有遇到过这种棘手的情况，所以修改功能从未被实际使用过。（希望之后也不要……）

后续处理

1. 考虑到这可能为大家带来疑虑，PCL 后续会为部分设置的修改添加黑名单。由于缺乏这会带来实质安全风险的证据，这会随着下一个 PCL 版本一并发放。

2. 为进一步保证公开透明，我保证，之后在使用类似功能来修复问题时会公开发布通知，让大家都知道的 :D

PCL 非常欢迎任何对安全性有疑虑的人通过正规渠道提交 Security Advisory​（PCL 已经经此安全处理了 4 个安全漏洞​），而不是直接发视频带节奏，或者向 GitHub 举报。对于任何可能的安全漏洞，绕过作者直接发布都是极度不负责的行为。

更细节的细节，如果你想看的话

由于我的 GitHub 账号均已被封禁，我无法通过 GitHub 发布此文章，只能发这了。

未知来源图片，谨慎看待

PCL 的更新包、公告数据等都位于腾讯云下的同一个 CDN https://pcl2-server-1253424809.file.myqcloud.com/ ，可以通过核查本地缓存的 ServerConfig.json 等文件查证。在该 CDN 中，各个文件的控制权限相同、统一操作，没有仅操作单个文件的对外 API。 具有权限的相关账号均通过 2FA + 动态令牌进行保护。 发文时，由于 遭受 DDoS 攻击​，目前该 CDN 处于瘫痪状态。

我并未告知或授权任何人在视频中使用我的真实姓名。

为便于核查，这里是为未公开的 ModSecret.vb 相关代码，也可通过反编译自行二次核查：https://ltcat.lanzouc.com/itPgs4d3bwyd