TDLM/HMCL
3
0 Fork 0
Code Issues 6 Pull Requests Actions 3 Packages Projects Releases Wiki Activity

SEC: MultiMC 整合包 PreLaunch/Wrapper 写入设置并在启动时执行 #8

New Issue
Open
opened 2026-11-09 14:23:45 +00:00 by layue13 · 0 comments
layue13 commented 2026-11-09 14:23:45 +00:00
Owner
Copy link
Copy source

调研编号：扫描 2026-11-09 / G4

现象

用户安装 MultiMC 格式整合包时，若包配置声明 OverrideCommands，启动器会把包内的 PreLaunchCommand / WrapperCommand 原样写入实例的 GameSettings；之后启动该实例时，DefaultLauncher 用 ProcessBuilder 执行预启动命令，并把 Wrapper 拼进启动命令行。整合包来自不可信输入，导入即可在本机执行包指定的命令。

危害类与优先级

  • 危害类：SEC
  • 优先级：p0

证据（生效源码）

  • 载体：TDLM/HMCL ＋ 分支 origin/main ＋ pin/commit bdacd654734c3665995a8c779da34139b9bdf373
  • 位置：HMCL/src/main/java/org/jackhuang/hmcl/game/ModpackHelper.java:317-329（安装写入）、:350-363（更新写入）；HMCLCore/src/main/java/org/jackhuang/hmcl/launch/DefaultLauncher.java:84-85（Wrapper）、:689-692（PreLaunch 执行）
  • 关键原文：
// ModpackHelper.java:317-329
if (c.isOverrideCommands()) {
    setting.getOverrideProperties().addAll(List.of(
            GameSettings.PROPERTY_COMMAND_WRAPPER,
            GameSettings.PROPERTY_PRE_LAUNCH_COMMAND
    ));
    setting.commandWrapperProperty().setValue(Objects.requireNonNullElse(c.getWrapperCommand(), ""));
    setting.preLaunchCommandProperty().setValue(Objects.requireNonNullElse(c.getPreLaunchCommand(), ""));
}

if (c.isOverrideJavaArgs()) {
    setting.getOverrideProperties().add(GameSettings.PROPERTY_JVM_OPTIONS);
    setting.jvmOptionsProperty().setValue(Objects.requireNonNullElse(c.getJvmArgs(), ""));
}

// ModpackHelper.java:350-363（更新路径同样写入）
private static void applyCommandAndJvmSettings(MultiMCInstanceConfiguration c, GameSettings.Instance setting) {
    if (c.isOverrideCommands()) {
        setting.getOverrideProperties().addAll(List.of(
                GameSettings.PROPERTY_COMMAND_WRAPPER,
                GameSettings.PROPERTY_PRE_LAUNCH_COMMAND
        ));
        setting.commandWrapperProperty().setValue(Lang.nonNull(c.getWrapperCommand(), ""));
        setting.preLaunchCommandProperty().setValue(Lang.nonNull(c.getPreLaunchCommand(), ""));
    }
    // ...
}

// DefaultLauncher.java:84-85
if (StringUtils.isNotBlank(options.getWrapper()))
    res.addAllWithoutParsing(StringUtils.tokenize(options.getWrapper(), getEnvVars(nativeFolder)));

// DefaultLauncher.java:689-692
if (StringUtils.isNotBlank(options.getPreLaunchCommand())) {
    ProcessBuilder builder = new ProcessBuilder(StringUtils.tokenize(options.getPreLaunchCommand(), getEnvVars(nativeFolder))).directory(runDirectory.toFile());
    builder.environment().putAll(getEnvVars(nativeFolder));
    SystemUtils.callExternalProcess(builder);
}
  • 上游状态：未修

触发与复现

  • 触发条件：安装带 OverrideCommands 与非空 PreLaunch/Wrapper 的 MultiMC 整合包，再启动该实例；默认流程可达，无需额外权限。
  • 复现程度：静态推演（调用链：整合包配置 → GameSettings → ProcessBuilder / 启动命令行）
  • 包内相关性：模块 n/a（启动器）／sides client／默认配置可达 是

落点

  • 主仓：TDLM/HMCL → HMCL/.../ModpackHelper.java:317；协同消费侧 HMCLCore/.../DefaultLauncher.java:689
  • 协同：无

范式

引证

  1. 生效源码 permalink（写入）— https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCL/src/main/java/org/jackhuang/hmcl/game/ModpackHelper.java#L317-L329
  2. 生效源码 permalink（更新写入）— https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCL/src/main/java/org/jackhuang/hmcl/game/ModpackHelper.java#L350-L363
  3. 生效源码 permalink（Wrapper）— https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCLCore/src/main/java/org/jackhuang/hmcl/launch/DefaultLauncher.java#L84-L85
  4. 生效源码 permalink（PreLaunch 执行）— https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCLCore/src/main/java/org/jackhuang/hmcl/launch/DefaultLauncher.java#L689-L692
  5. 范式 G4 — https://git.potatolab.uk/TDLM/mc-defect-patterns/raw/commit/12d2ebdc7a87175f936c2a67083be567e0e94301/sec/G4-信任边界.md

来源

  • 线索类型：内部代码审查（无外部报障）
  • 可解析指针：ModpackHelper.java:317-329；DefaultLauncher.java:689-692；commit bdacd654734c3665995a8c779da34139b9bdf373
  • 来源标签：origin/scan
**调研编号**：扫描 2026-11-09 / G4 ## 现象 用户安装 MultiMC 格式整合包时，若包配置声明 `OverrideCommands`，启动器会把包内的 `PreLaunchCommand` / `WrapperCommand` 原样写入实例的 `GameSettings`；之后启动该实例时，`DefaultLauncher` 用 `ProcessBuilder` 执行预启动命令，并把 Wrapper 拼进启动命令行。整合包来自不可信输入，导入即可在本机执行包指定的命令。 ## 危害类与优先级 - 危害类：`SEC` - 优先级：`p0` ## 证据（生效源码） - 载体：`TDLM/HMCL` ＋ 分支 `origin/main` ＋ pin/commit `bdacd654734c3665995a8c779da34139b9bdf373` - 位置：`HMCL/src/main/java/org/jackhuang/hmcl/game/ModpackHelper.java:317-329`（安装写入）、`:350-363`（更新写入）；`HMCLCore/src/main/java/org/jackhuang/hmcl/launch/DefaultLauncher.java:84-85`（Wrapper）、`:689-692`（PreLaunch 执行） - 关键原文： ```java // ModpackHelper.java:317-329 if (c.isOverrideCommands()) { setting.getOverrideProperties().addAll(List.of( GameSettings.PROPERTY_COMMAND_WRAPPER, GameSettings.PROPERTY_PRE_LAUNCH_COMMAND )); setting.commandWrapperProperty().setValue(Objects.requireNonNullElse(c.getWrapperCommand(), "")); setting.preLaunchCommandProperty().setValue(Objects.requireNonNullElse(c.getPreLaunchCommand(), "")); } if (c.isOverrideJavaArgs()) { setting.getOverrideProperties().add(GameSettings.PROPERTY_JVM_OPTIONS); setting.jvmOptionsProperty().setValue(Objects.requireNonNullElse(c.getJvmArgs(), "")); } ``` ```java // ModpackHelper.java:350-363（更新路径同样写入） private static void applyCommandAndJvmSettings(MultiMCInstanceConfiguration c, GameSettings.Instance setting) { if (c.isOverrideCommands()) { setting.getOverrideProperties().addAll(List.of( GameSettings.PROPERTY_COMMAND_WRAPPER, GameSettings.PROPERTY_PRE_LAUNCH_COMMAND )); setting.commandWrapperProperty().setValue(Lang.nonNull(c.getWrapperCommand(), "")); setting.preLaunchCommandProperty().setValue(Lang.nonNull(c.getPreLaunchCommand(), "")); } // ... } ``` ```java // DefaultLauncher.java:84-85 if (StringUtils.isNotBlank(options.getWrapper())) res.addAllWithoutParsing(StringUtils.tokenize(options.getWrapper(), getEnvVars(nativeFolder))); ``` ```java // DefaultLauncher.java:689-692 if (StringUtils.isNotBlank(options.getPreLaunchCommand())) { ProcessBuilder builder = new ProcessBuilder(StringUtils.tokenize(options.getPreLaunchCommand(), getEnvVars(nativeFolder))).directory(runDirectory.toFile()); builder.environment().putAll(getEnvVars(nativeFolder)); SystemUtils.callExternalProcess(builder); } ``` - 上游状态：未修 ## 触发与复现 - 触发条件：安装带 `OverrideCommands` 与非空 PreLaunch/Wrapper 的 MultiMC 整合包，再启动该实例；默认流程可达，无需额外权限。 - 复现程度：静态推演（调用链：整合包配置 → GameSettings → ProcessBuilder / 启动命令行） - 包内相关性：模块 n/a（启动器）／sides `client`／默认配置可达 是 ## 落点 - 主仓：`TDLM/HMCL` → `HMCL/.../ModpackHelper.java:317`；协同消费侧 `HMCLCore/.../DefaultLauncher.java:689` - 协同：无 ## 范式 - 命中范式：G4 信任边界（https://git.potatolab.uk/TDLM/mc-defect-patterns/raw/commit/12d2ebdc7a87175f936c2a67083be567e0e94301/sec/G4-信任边界.md；contents?ref=12d2ebd 已验证，本仓 /src/ 页对部分路径 404 故给 raw） ## 引证 1. 生效源码 permalink（写入）— https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCL/src/main/java/org/jackhuang/hmcl/game/ModpackHelper.java#L317-L329 2. 生效源码 permalink（更新写入）— https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCL/src/main/java/org/jackhuang/hmcl/game/ModpackHelper.java#L350-L363 3. 生效源码 permalink（Wrapper）— https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCLCore/src/main/java/org/jackhuang/hmcl/launch/DefaultLauncher.java#L84-L85 4. 生效源码 permalink（PreLaunch 执行）— https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCLCore/src/main/java/org/jackhuang/hmcl/launch/DefaultLauncher.java#L689-L692 5. 范式 G4 — https://git.potatolab.uk/TDLM/mc-defect-patterns/raw/commit/12d2ebdc7a87175f936c2a67083be567e0e94301/sec/G4-信任边界.md ## 来源 - 线索类型：内部代码审查（无外部报障） - 可解析指针：`ModpackHelper.java:317-329`；`DefaultLauncher.java:689-692`；commit `bdacd654734c3665995a8c779da34139b9bdf373` - 来源标签：`origin/scan`
layue13 added the
priority
p0
area/security
type
security
origin/scan labels 2026-11-09 14:23:45 +00:00
Sign in to join this conversation.
No Branch/Tag Specified
Labels
Clear labels
area/build
构建系统、编译与 CI。
 area/client
仅客户端（渲染除外）
 area/compatibility
跨模组、跨版本或外部接口兼容行为。
 area/config
默认配置、配方、日志噪音
 area/integration
跨仓库 API、工具链或功能联动问题。
 area/lifecycle
实体、区块、世界对象的加载、卸载、持久化与资源所有权。
 area/lighting
光照更新、传播队列及其与区块卸载、渲染路径的行为。
 area/network
网络包与同步
 area/performance
运行时 CPU、内存、分配、网络或存盘开销问题。
 area/persistence
NBT、存档、实体/区块加载卸载与生命周期
 area/release
版本、Maven 坐标、制品发布与发布链路。
 area/render
渲染、光照、着色器
 area/security
权限边界、服务端校验、反序列化或其他安全风险。
 area/server
仅服务端 tick/逻辑
 area/test
测试实现、覆盖与验证设施
 origin/scan
组织内部审计扫描产出
 origin/upstream-sync
日扫上游 GTNH 发现的待吸收改动
priority
p0
最高处理优先级：广泛崩溃、数据或权限风险，或关键发布通道被阻断且无绕行方案。
priority
p1
高处理优先级：核心功能明显受损或影响范围较大，近期安排处理。
priority
p2
常规处理优先级：影响范围有限且有可行绕行，纳入计划处理。
priority
p3
低处理优先级：影响轻微或仅涉及边界场景，有空再处理。
resolution
duplicate
与另一 issue 重复
resolution
fixed
已有合并的 PR/commit 修复
resolution
invalid
复核后不成立/无法复现/无需处理
resolution
recorded
记录类 issue，记录完成即关闭
resolution
wontfix
评估后决定不修
type
audit
扫描、覆盖普查、设计评估等记录类，本身不是待修缺陷
type
chore
构建、CI、发布、依赖、版本、上游同步、清理
type
defect
功能错误、崩溃、数据错乱（不含性能与安全专项）
type
feature
新功能或联动，当前行为不算故障
type
perf
CPU/内存/分配/网络/存盘开销问题
type
question
待答复/待决策，尚未形成实现任务
type
security
权限越界、复制/刷物品、绕过领地、服务端校验缺失、反序列化
No labels area/security origin/scan
priority
p0
type
security
Milestone
No items
No Milestone
Projects
Clear projects
No projects
Assignees
Clear assignees
chowkim layue13 liuhao
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: TDLM/HMCL#8