WinRAR Path Traversal Exploit (CVE-2025-8088) – Payload-Bereitstellung über mehrere Verzeichnisebenen

Dieses Python-Skript nutzt eine Path-Traversal-Schwachstelle (CVE-2025-8088) in WinRAR aus, um Payloads über mehrere relative Pfad-Tiefen im Windows-Autostart-Ordner zu platzieren. Der Exploit erstellt ein schädliches RAR-Archiv, das beim Entpacken Payloads in den Autostart-Ordner des Opfers auf verschiedenen Verzeichnisebenen schreibt.

Hauptfunktionen

• 🎭 Erstellt mehrere Tarn-Dateien mit konfigurierbarem Inhalt
• 📁 Bettet Payloads über Alternate Data Streams (ADS) ein
• 📈 Erzeugt mehrere Traversal-Tiefen (standardmäßig 1–20)
• 🔄 Patcht RAR-Header, um die Path-Traversal-Schwachstelle auszunutzen
• 🎯 Ziel ist der Windows-Autostart-Ordner für Persistenz
• ⚙️ Findet die WinRAR-Installation automatisch
• 🔒 Berechnet CRC-Prüfsummen für ein gültiges Archiv neu

Kernkonzepte

1. Multi-Tiefen-Traversal-Strategie

Das Skript erstellt mehrere Tarn-Dateien (standardmäßig 20), die jeweils so konfiguriert sind, dass sie eine unterschiedliche Anzahl übergeordneter Verzeichnisse durchlaufen:

NUM_DEPTHS = 20  # Anzahl verschiedener Traversal-Tiefen

Jede Datei verwendet eine andere Pfad-Tiefe:

File1.txt  → ..\Startup\payload.bat
File2.txt  → ..\..\Startup\payload.bat
...
File20.txt → ..\..\..\ (20-mal) \Startup\payload.bat

✅ Stellt sicher, dass egal wo das Opfer das Archiv entpackt (Desktop, Dokumente, Downloads oder verschachtelte Ordner), mindestens ein Payload den Autostart-Ordner erreicht.

2. Anpassung der Tarn-Dateien

Die Tarn-Dateien enthalten standardmäßig generischen Text, sollten jedoch für realistisches Social Engineering angepasst werden:

# Überzeugenderen Tarn-Inhalt erstellen
decoy.write_text("Quarterly Financial Report Q3 2025.docx\n", encoding="utf-8")

Warum den Tarn-Inhalt ändern?

• Lässt das Archiv legitim erscheinen
• Erhöht die Wahrscheinlichkeit, dass das Opfer das Archiv entpackt
• Vermeidet Misstrauen durch realistische Dateinamen/-inhalte
• Passt sich erwarteten Dokumenttypen an

3. Payload-Konfiguration

Der Payload ist standardmäßig ein einfaches Batch-Skript, kann aber durch jede ausführbare Datei ersetzt werden:

PAYLOAD = "@echo off\necho Payload executed!\npause\n"

Speicherort des Payloads:

AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat

• Wird bei der Benutzeranmeldung ausgeführt
• Funktioniert für alle Benutzer des Systems

4. Ausgabedatei

Das finale schädliche RAR-Archiv wird gespeichert als:

OUT_RAR = "exploit.rar"

Anforderung an Windows-Builds

Die Erzeugung dieses Exploits erfordert aus mehreren Gründen eine Windows-Umgebung:

• Abhängigkeit von Alternate Data Streams (ADS)
  Nur-NTFS-Funktion zum Anhängen von Payloads:

  root@kitploit:~

  ads_path = f"{decoy}:{placeholder}"  # Windows-spezifische NTFS-Syntax
  

• Anforderung der WinRAR-Ausführbaren Datei
  Nutzt die Windows-CLI von WinRAR:

  root@kitploit:~

  subprocess.run(f'"{rar_exe}" a -ep -os "{base_rar}" ...')
  

• Kompatibilität der Pfadstruktur
  Ziel sind Windows-spezifische Pfade:

  root@kitploit:~

  RELATIVE_DROP_PATH = "AppData\\Roaming\\Microsoft\\Windows\\Start Menu..."
  

• Ausführung des Payloads
  Erzeugt Windows-Batch-Dateien:

  root@kitploit:~

  @echo off
  start /B notepad.exe
  

Verwendung

Konfiguration anpassen:

# Konfiguration
NUM_DEPTHS = 20
RELATIVE_DROP_PATH = "AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\payload.bat"
PAYLOAD = "@echo off\nstart /B notepad.exe\n"  # Dein eigentlicher Payload
DECOY_FILE_PREFIX = "Financial_Report_Q3_"     # Überzeugendere Namen

Skript ausführen:

python CVE-2025-8088.py

Die Ausgabe verteilen:

• Das Skript erzeugt exploit.rar
• Verteilen per E-Mail, USB-Drop usw.

infect_premade_rarfiles.py

Diese Version des Codes ermöglicht es dir einfach, so etwas auszuführen: python3 infect_premade_rarfiles.py website_backup.rar

Sie extrahiert alle Dateien, injiziert diejenigen, bei denen dies möglich ist, z. B. .txt, srt, sql (Nicht alle Dateitypen funktionieren), und erstellt dann die einsatzbereite RAR-Datei.

Abwehrmaßnahmen

• WinRAR auf die neueste Version aktualisieren
• Entpacken von Archiven aus nicht vertrauenswürdigen Quellen deaktivieren
• Schreibzugriffe auf Autostart-Ordner überwachen
• Sicherheitssoftware verwenden, die Path-Traversal-Versuche erkennt

Rechtlicher & ethischer Hinweis

⚠️ Dieses Tool dient ausschließlich Bildungs- und Sicherheitsforschungszwecken.
Verwende es niemals gegen Systeme ohne ausdrückliche Genehmigung. Unautorisierte Nutzung ist illegal und unethisch.