红魔多屏协同自动创建 E:\code\_decodeew\pre\_music\_cut 文件夹 bug

原创

吾爱pojie
吾爱pojie

吾爱破解论坛

2026年6月22日 11:29
北京

在小说阅读器读本章

去阅读

作者论坛账号：Ganlv

## 中兴 Nubia 红魔手机 RedMagic 多屏协同 MultiScreen Windows 客户端创建 E:\\code_decode\ ew\\pre_music_cut 文件夹 bug

最近在 E 盘发现一个不认识的文件夹 E:\\code_decode\ ew\\pre_music_cut，到网上也查不到任何关于这个的信息，GitHub 也搜不到这个代码，AI 也搜不到这个信息，我还以为我的电脑中病毒了。

这篇文章的主要目的是让搜索引擎能索引到这个信息，帮助其他人解决这个问题。

结论简而言之就是：草台班子把测试代码发布到线上了，在用户电脑里面拉屎。

样本

红魔多屏协同官方网站 https://www.redmagic.com/active/ms-collaboration.html

客户端下载链接 https://ausp-dl.server.nubia.cn/pczips/1/317/MSC\_V3.1.7\_x86\_251230\_75330.exe

 复制代码 隐藏代码
> sha256sum MultiScreen.dll
619707133386ab803bd5316cc116231be039fdfb55d215372f8f4b1556efa26a *MultiScreen.dll

反编译代码分析

以下为 MultiScreen.dll 使用 dotPeek 反编译的 C# 代码

MultiScreen.nubia.mainwindow.RedMagicStudio 类

 复制代码 隐藏代码
namespaceMultiScreen.nubia.mainwindow;

publicclassRedMagicStudio {
privateint num = 5;

privatevoidCbx_Setting_Checked(object sender, RoutedEventArgs e) => this.codestringFile();

privatevoidcodestringFile()
  {
    string str1 = \"E:\\\\code_decode\\\\original\\\\pre_music_cut\";
    string str2 = \"E:\\\\code_decode\\\
ew\\\\pre_music_cut\";
    try
    {
      if (!Directory.Exists(str2))
        Directory.CreateDirectory(str2);
      string[] files = Directory.GetFiles(str1);
      string[] array;
      if (this.num > 60)
      {
        string searchFileName = \"music_pre_output\";
        array = ((IEnumerable<string>) files).Where<string>((Func<string, bool>) (file => file.Contains(searchFileName))).ToArray<string>();
        this.num = 5;
      }
      else
      {
        string searchString = $\"_{this.num.ToString()}s_\";
        if (this.num == 15)
          this.num = 30;
        elseif (this.num == 30)
          this.num = 60;
        else
          this.num += 5;
        array = ((IEnumerable<string>) files).Where<string>((Func<string, bool>) (file => file.Contains(searchString))).ToArray<string>();
      }
      foreach (string str3 in array)
      {
        string aes = Utils.encodeNormalToAES(File.ReadAllText(str3));
        string fileName = System.IO.Path.GetFileName(str3);
        File.WriteAllText(System.IO.Path.Combine(str2, fileName), aes);
        GC.Collect();
        GC.WaitForPendingFinalizers();
      }
    }
    catch (Exception ex)
    {
      LoggerUtils.Debug(\"clickBtn1设置cbx ex.Message = \" + ex.Message);
    }
    finally
    {
      this.changeTabStyle(2);
      this.MainFrame.Navigate((object) this.mPageSetting);
    }
  }
}

其实理论上，这个点击设置按钮的逻辑应该是很简单的

 复制代码 隐藏代码
  privatevoidCbx_Setting_Checked(object sender, RoutedEventArgs e)
  {
      this.changeTabStyle(2);
      this.MainFrame.Navigate((object) this.mPageSetting);
  }

我尝试解释一下代码逻辑，但是他的那一大堆逻辑我真的不懂他想做什么。

每次点击设置按钮，列举 E:\\code_decode\\original\\pre_music_cut 中的文件，筛选出包含 _5s_、_10s_、_15s_、_30s_、_60s_、music_pre_output 的文件列表它们 AES 加密后然后放到 E:\\code_decode\ ew\\pre_music_cut 目录下。

反编译其他的文件可以看到 Utils.encodeNormalToAES 方法用于将文件内容进行 AES-128-CBC 加密，key = \"bbc80188aa2aa8f3\" (16字节，128位)，iv = \"J70glAs63e518086\" (16字节，128位)，使用 PKCS7 填充模式。加密后的字节再转为空格间隔的十六进制字符串返回，例如 \"ab cd ef 01 23 \".

我猜是这样的。这个按钮是界面上最明显的按钮，无论他想测试什么代码，他就直接在把代码写在这个按钮里的事件函数里，他这个函数实际上充当了测试代码的触发来源。

比如上面这段代码其实就是他在测试 AES 加密功能。然后他测完就直接提交了，忘记还原就直接发布了。

探索过程

其实这个过程更有意思，这个过程很值得记录下来。因为只要直到是这个软件的 bug 之后，剩下就是验证真实性了。

1. 我在我的电脑上发现了 E:\\code_decode\ ew\\pre_music_cut 这个文件夹，完全是空的文件夹，创建时间2026年6月14日，03:44:58
2. 在搜索引擎中搜索 pre_music_cut，发现没有任何信息。搜索 code_decode，全都是关于编解码的页面。
3. 在 GitHub 上搜索 pre_music_cut，发现没有任何信息。搜索 code_decode，搜出来的全都是各种 encode_decode 的代码。
4. 问 AI 这个文件夹的名字，基本上没有任何有效信息，AI 提示了 pydub, librosa, ffmpeg。我最近确实用过 librosa，但是那是公司的项目，我的个人电脑和公司电脑隔离的是很开的，我的电脑上理论上不会引入我不知道的东西。我最近也确实用过 OBS 录屏软件，可能和 ffmpeg 有关，但是也不应该出现这么奇怪的名字。
5. 然后我就开始怀疑电脑中病毒了，毕竟这个文件夹的名字实在是太奇怪了，网上也没有任何信息。
6. 接下来信息只剩这个时间了，今天是 2026年6月20日，2026年6月14日，03:44:58 是 1 周前的周日凌晨 3 点多。我要看看那个时间安装了什么软件。
7. 打开 Windows 设置，应用，安装的应用，按安装日期排序，发现 2026年6月14日 安装了 红魔多屏协同 软件。

Microsoft Windows Desktop Runtime 是 Multi-Screen Collaboration 的依赖，它自动安装的。

这时候我其实已经开始怀疑是它了，我不太担心是我自己引入的病毒了。我特别害怕是供应链攻击。比如 ZTE 的开发人员比较草台班子，他直接使用 AI 开发了 MultiScreen 这个软件，并且直接接受 AI 的建议，引入第三方的库，没有验证第三方库是否存在风险，这相当于直接把后门开在了用户电脑上，而开发人员他自己并没有恶意。
8. 我继续收集信息，打开 Windows Event Viewer (事件查看器)，查看 2026年6月14日 03:44:58 附近的事件

Windows 日志，系统

PICO Connect.exe 是我电脑上安装的一个软件，和这个事件没有关系。

atieclxx.exe 是 AMD 显卡驱动的一个组件，也和这个事件没有关系。

dokan2.sys 可以在 C:\\Program Files (x86)\\Multi-Screen-Collaboration\\driver\\x86\\dokan2.sys 这里找到。经过搜索确认，这是一个用户空间的文件系统驱动，红魔多屏协同提供了将手机的文件系统挂载到 Windows 的一个磁盘的功能。
9. 继续收集信息。打开以下路径，按时间排序，查看 2026年6月14日 03:44:58 附近的文件创建和修改事件

我发现了

不过我当时错过了最关键的一个文件，C:\\ProgramData\\MSS\\logs\\20260620-mainui.log，当时我忘记了 C:\\ProgramData 这个文件夹，这个文件是红魔多屏协同的日志文件，里面有一个关键的日志。

复制代码 隐藏代码 2026-06-2005:55:04,973 DEBUG MultiScreen [8460][1] [RedMagicStudio] clickBtn1设置cbx ex.Message = Could notfind a part of the path'E:\\code_decode\\original\\pre_music_cut'.

• C:\Program Files (x86)\Multi-Screen-Collaboration 创建时间 2026年6月14日，03:44:09

• C:\Users\Ganlv\AppData\Local\ZTE\MultiScreen\_Url\_ikrqjidxeldyhwtoht22accbozggvsmm\3.1.7.0 创建时间 2026年6月14日，03:44:13

• C:\Windows

• C:\Windows\System32
• C:\Windows\System32\drivers
• C:\Program Files
• C:\Program Files (x86)
• C:\ProgramData
• C:\Users\Ganlv
• C:\Users\Ganlv\AppData\Local
• C:\Users\Ganlv\AppData\Local\Temp
• C:\Users\Ganlv\AppData\LocalLow
• C:\Users\Ganlv\AppData\Roaming

10. 因为 E:\\code_decode\\original\\pre_music_cut 里面是空的，我怀疑他应该是有文件，但是被删掉了。我打算使用 DiskGenius 工具来在 E 盘上恢复文件。不过很遗憾，DiskGenius 没有扫描到任何相关的文件。

11. 经过上面各种信息，其实这段时间附近，除了多屏协同，没有任何其他可疑的信息。所以他的置信度很高。于是我准备从猜测进入分析阶段。

    使用 rg 直接搜索字符串，使用 --binary 参数搜索二进制文件。

    复制代码 隐藏代码 cd C:\\Program Files (x86)\\Multi-Screen-Collaboration rg --binary code_decode rg --binary pre_music_cut

    很遗憾，什么都没有。我又开始担心是病毒了，因为病毒可能会使用加密的方式隐藏字符串。
    12. 我掏出了最熟悉的 Cheat Engine 工具，使用它的内存搜索功能，因为内存中很可能有解密之后的字符串。搜索字符串 pre_music_cut，果然找到了。

 复制代码 隐藏代码
似乎是一条日志，然而我却找不到任何其他的字符串信息了。

这时我才发现，每点一次那个设置按钮，这个内存区域的内容就会被改写一次，说明这个字符串日志就是那个按钮触发的。

我想开始动态调试，“找出是什么改写了这个地址”，结果发现，无法附加调试器。

（说明：Cheat Engine 在仅进行内存搜索时不需要具有调试权限，一些软件可能无法调试，但是却可以搜索内存）

13. 这时我还没有意识到他是 C# 写的，尽管我明确知道他安装了 Microsoft Windows Desktop Runtime 这个运行环境。我当时脑子可能溜号了。

    于是我又使用了 x64dbg (这个软件是 32 位的，实际上使用的是 x32dbg)。很可惜，这个软件禁止附加。我想了一些办法，发现还是不能附加。

    于是，最终我就试试，直接由 x64dbg 启动这个程序，程序真的能运行。挺神奇的。

    我用 Cheat Engine 搜索字符串（注意：x64dbg 调试中并不影响 Cheat Engine 搜索，这是经常用的方法），然后我在 x64dbg 里设置内存断点。

    触发断点之后，翻了一下函数调用栈信，完全看不懂啊。我意识到这是 JIT 编译之后的代码。算了放弃。

    这时候我发现栈的局部变量中出现了 C:\\ProgramData\\MSS\\logs\\20260620-mainui.log 这个日志文件的路径，我打开看了一下，发现了上面那条日志。心想我早干去嘛了...绕这么大一圈。
    14. 于是我决定使用 dotPeek 反编译 MultiScreen.dll，发现了上面那段代码。

至此，全部探索路径结束。

解决方法

问题找到了，那么如何解决呢？

经过与 AI 的一番交流，我找到了下面的方法。

使用 dnSpyEx 打开 MultiScreen.dll，找到 MultiScreen.nubia.mainwindow.RedMagicStudio 类的 codestringFile 方法，

把 Directory.CreateDirectory 使用 nop 指令替换。

然后点击 文件 > 保存模块 即可。

这个 dll 没有签名，所以直接替换即可。

但是，我使用 Hex 编辑器打开修改前后的 MultiScreen.dll，发现修改前后文件内容差异非常大，按理来说只是改了几个 nop 指令，不应该有这么大的差异。还是手动 Hex 编辑吧。

我与 AI 说的一番交流，我找到了下面的方法。

复制文件偏移得到 0x00015269

C# 的 CIL 指令列表

从 0x00015269 开始的 5 个字节是 Directory.CreateDirectory 的调用指令，修改成 5 个 nop 指令 0x00。

保存之后，替换 MultiScreen.dll，完美运行，点击设置按钮不会再创建 E:\\code_decode\ ew\\pre_music_cut 文件夹了。

思考

现在有了 AI 辅助让开发一个软件变得越来越容易了，但是也让软件质量下降了。你在你们的服务器上用 AI 拉屎对我没啥影响。在浏览器网页中至少还有跨域保护。但是，不要在用户的电脑上拉屎啊。客户端软件、还有一些浏览器插件，必须要注意代码质量啊。Windows 的没有 Android 和 iOS 那种隔离机制，在 AI 时代其实可能会成为一个很大的安全隐患。

未来，AI 不一定会让岗位变得更多，但是随着 AI 生成的软件越来越多，各种各样的细微的问题会变得更多。

其他思考

我后来又想了一下，开发者有没有可能是想测试 dokan2.sys 这个虚拟文件系统。比如将手机的文件系统映射到 E 盘了，然后正好在 E:\\code_decode\\original\\pre_music_cut 上面进行测试。

不过，看这个文件系统，必须是 F:\\路径浏览\\Android\\data 这样的格式，似乎不可能是 E:\\code_decode 这种格式。我找不到他们这样做的理由了。

为什么搜索不到字符串

因为他是 UTF-16LE 编码的字符串，所以搜索 pre_music_cut 是搜不到的。需要搜索 p\\0r\\0e\\0_\\0m\\0u\\0s\\0i\\0c\\0_\\0c\\0u\\0t\\0 才能搜到。

 复制代码 隐藏代码
> rg --binary --text --files-with-matches 'p\\x00r\\x00e\\x00_\\x00m\\x00u\\x00s\\x00i\\x00c\\x00_\\x00c\\x00u\\x00t\\x00'
MultiScreen.dll

*-官方论坛*

www.52pojie.cn

👆👆👆

公众号设置“星标”，您不会错过新的消息通知

如开放注册、精华文章和周边活动等公告