WPS Officeをインストールする際、管理者権限でサービスプログラムwpscloudsvrがインストールされます。このサービスプログラムは手動起動に設定されていますが、サービスプログラムが配置されているフォルダのアクセス制御リスト（ACL）属性が誤って構成されており、通常のUsersグループメンバーでもこのフォルダに対する読み書き権限が残っています。
WPS Officeのバージョンが11.2.0.10258より前のすべてのバージョンにこの脆弱性が存在します。
（WPSのバージョン番号は最後のグループを確認してください。最後のグループの数字が大きいほど新しいバージョンです。11.1は個人版、11.2は企業版、11.6と11.8は政府・企業向けカスタム版です）
通常のUsersグループメンバーが、サービスプログラムwpscloudsvrが配置されているフォルダにハイジャックされたDLLファイルを配置し、通常ユーザー権限でこのサービスを起動すると、最終的にDLLがサービスプログラムによって読み込まれて実行され、ローカル権限昇格が実現されます。
（wpscloudsvrサービスプログラム自体にはDLLハイジャックの脆弱性は存在しませんが、システムDLLハイジャックの脆弱性を利用できます。テスト時、win7 6.1.7601 sp1 32ビットシステムでは悪用可能なシステムDLLハイジャックの脆弱性が存在しましたが、win10 10.0.18363.592 64ビットでは悪用可能なDLLハイジャックの脆弱性は存在しませんでした）
オペレーティングシステム：Win7 sp1。
WPS Officeバージョン：WPS Office 11.2.0.10200。
再現ツール：Process Explorer、Process Monitor、CFF Explorer、vs2008。
解析ツール：Detect It Easy、OD、IDA、Openssl、デジタル署名コピーツールsigthief.py。
本記事は技術交流・学習・研究のみを目的としており、記事内の技術を不正な目的や破壊行為に使用することは固く禁じられています。これに違反して生じたいかなる結果についても、本記事の執筆者とは関係ありません。
本免責事項は、本記事が技術交流・学習・研究のみを目的としていることを明確に示すためのものであり、記事内の技術をいかなる不正目的や破壊行為にも使用してはなりません。本記事の執筆者は、技術の不正使用または他人・システムに生じた損害について一切責任を負いません。
本記事を閲覧・参照する際、あなたは記事内で提供される技術を不正行為の実施、他人の権利侵害、システムへの攻撃に利用しないことを明確に認識し、約束する必要があります。本記事の技術を使用して生じたいかなる事故、損失、損害（データ損失、財産的損害、法的責任などを含みますがこれらに限りません）も、本記事の執筆者とは無関係です。
本記事で提供される技術情報は学習および参考のみを目的としており、いかなる形式の保証や確約を構成するものではありません。本記事の執筆者は、技術の正確性、有効性、適用可能性について一切の表明または保証を行いません。
本免責事項は、本記事が技術交流、学習、研究のみを目的としていることを明確に示すことを意図しており、記事内で言及されている技術を不正な目的や破壊行為に使用することは固く禁じられています。本記事の執筆者は、言及されている技術の誤用によって生じた結果について責任を負いません。
本記事を閲覧・参照することにより、あなたは記事内で提供される技術を不正行為、他人の権利侵害、システムへの攻撃に利用しないことを認識し、約束しなければなりません。本記事の執筆者は、記事内で言及されている技術の使用によって生じたいかなる事故、損失、損害（データ損失、財産的損害、法的責任などを含みますがこれらに限りません）についても責任を負いません。
本記事で提供される技術情報は学習および参考のみを目的としており、いかなる形式の保証や確約を構成するものではありません。本記事の執筆者は、言及されている技術の正確性、有効性、適用可能性について一切の表明または保証を行いません。
