ace鲤鱼安全漏洞，鱼安说白了就是全漏一个藏在鲤鱼ACE（Ace）辅助工具里的后门。2023年夏天，鱼安我在一个游戏群里第一次看到有人讨论这事。全漏当时没太在意，鱼安以为是全漏哪个小作坊做的外挂被人扒了。后来拿到样本一看，鱼安事情没那么简单。全漏

这个漏洞的鱼安核心在ace鲤鱼的更新模块。正常软件更新是全漏去服务器拉新版本，校验签名，鱼安然后安装。全漏ace鲤鱼也这么干，鱼安但它多了一步——在安装前，全漏会把用户电脑的鱼安硬件指纹、已安装的安全软件列表、甚至部分浏览器的cookie打包发到一个第三方IP。这个IP不在官方公布的域名列表里。

更麻烦的是权限提升。ace鲤鱼驱动层有个叫KernelCallback的例程，原本是用来拦截键盘鼠标输入的。漏洞在于，这个例程没有正确校验调用者地址。任意用户态进程只要构造一个特定的IOCTL请求，就能让驱动以Ring0权限执行一段shellcode。换句话说，外挂本身成了提权工具。

我拿到样本那天晚上，在虚拟机里跑了一遍。用WinDbg附加到ace.sys，下断点bp ace+0x1a3c。触发后栈回溯显示调用来自一个未签名的svchost伪装进程。那个进程的父进程是ace鲤鱼的主程序，但主程序界面没有任何提示。用户完全无感。

有人可能会问，一个游戏辅助工具至于这么较真吗？至于。因为ace鲤鱼的安装量不小，光是我能看到的几个下载站统计，月活就在十万级别。这些用户里，相当一部分是学生，电脑上还装着网银和聊天记录。漏洞被利用的话，攻击者不需要用户点任何确认，直接静默安装键盘记录或者勒索模块。

厂商的反应也很有意思。我通过邮件反馈了漏洞细节，附上了POC代码。第一封回复说“感谢反馈，正在排查”。第二封隔了三天，说“该功能为反作弊必要模块，不视为漏洞”。第三封我直接问那个第三方IP是谁的，对方不再回复。后来版本更新，那个IP换了，但驱动层的IOCTL校验逻辑没变，只是加了个IsDebuggerPresent检测。这算修复吗？不算。

我个人的判断是，ace鲤鱼团队要么技术能力不够，要么根本不想修。驱动层提权漏洞不是小问题，Ring0权限下可以做任何事，包括关闭杀软、篡改系统文件、甚至刷写主板UEFI。而他们选择用反调试来掩盖，说明知道问题存在。

如果你现在还在用ace鲤鱼，建议至少做两件事：一是检查system32\drivers下有没有ace.sys，有的话看看数字签名是否有效；二是用Process Monitor过滤ace进程的网络请求，看看有没有往陌生IP发数据。别指望厂商良心发现，自己的机器自己盯着。

漏洞这东西，不怕公开，怕的是公开了没人当回事。ace鲤鱼这个案例，说到底就是拿用户当肉鸡还嘴硬。写出来，至少让还在用的人心里有数。