RAR Anomaly Inspector

RAR Anomaly Inspector एक केवल-पठन PowerShell उपकरण है, जो RAR संग्रहों के स्थैतिक निरीक्षण के लिए है, और CVE-2025-8088 (WinRAR RAR5 Path Traversal) से संबंधित पाथ ट्रैवर्सल विसंगतियों का पता लगाने के लिए डिज़ाइन किया गया है।

यह उपकरण संग्रह सामग्री को न तो निकालता है और न ही निष्पादित करता है।

---

विशेषताएँ

• स्थैतिक, केवल-पठन विश्लेषण (कोई निष्कर्षण नहीं, कोई निष्पादन नहीं)
• रॉ पाथ ट्रैवर्सल पैटर्न का पता लगाना (..\)
• निष्कर्षण निर्देशिका के बाहर लेखन की पहचान
• NTFS ऑल्टरनेट डेटा स्ट्रीम (ADS) संकेतकों का पता लगाना
• स्वच्छ, केवल-निर्देशिका आउटपुट (कॉपी-पेस्ट के लिए सुरक्षित)
• ह्यूरिस्टिक-आधारित जोखिम वर्गीकरण

---

आवश्यकताएँ

• Windows
• PowerShell 5.1+
• वैकल्पिक: 7z.exe (उपयोगकर्ता-दृश्यमान फ़ाइलों की सूची बनाने के लिए)

---

उपयोग

.\anom-rar.ps1 .\suspicious.rar

उदाहरण आउटपुट

RAR Anomaly Inspector
CVE      : CVE-2025-8088 (WinRAR Path Traversal)
Author   : Ilham
Source   : https://github.com/ilhamrzr/RAR-Anomaly-Inspector

Mode     : Static / Read-Only Inspection
Warning  : Indicators only - NOT proof of exploitation
ScanTime : 2026-01-11 13:33:05
-------------------------------------------------------

=== Archive File Inventory (7-Zip read-only) ===
Files visible to the user:
  - CVE-2025-8088.pdf

=== Suspicious Path Indicators Extraction ===
RAW suspicious path indicators (UNFILTERED):
  - ..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
  - ..\..\..\..\..\..\..\..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CVE-2025-8088.vbs
Total RAW indicators: 10

Sanitized logical paths (SAFE for copy-paste):
  -> AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

=== Summary ===
Result: [!] ARCHIVE REQUIRES FURTHER INVESTIGATION
[!] High-risk archive structure detected (repeated deep traversal / ADS-style metadata)

Manual investigation hint:
- Review archive construction and intent.
- Do NOT execute extracted files directly.
- Treat repeated traversal as HIGH RISK.

Inspection completete.

---

जोखिम स्तर

• LOW
  संवेदनशील लक्ष्यों के बिना मामूली विसंगतियाँ

• MEDIUM
  स्पष्ट पर्सिस्टेंस पथों के बिना ट्रैवर्सल का पता चला

• HIGH
  संवेदनशील निर्देशिकाओं को लक्षित करने वाला स्पष्ट ट्रैवर्सल

जोखिम स्तर ह्यूरिस्टिक हैं और शोषण की सफलता का संकेत नहीं देते हैं।

---

यह उपकरण क्या नहीं करता है

• संग्रह निष्कर्षित नहीं करता

• फ़ाइलें निष्पादित नहीं करता

• पेलोड सत्यापित नहीं करता

• शोषण की गारंटी नहीं देता

---

दायरा

• रक्षात्मक विश्लेषण और ट्राइएज के लिए अभिप्रेत

• ब्लू टीमों, रिस्पॉन्डर्स और शोधकर्ताओं के लिए उपयुक्त

• शोषण ढांचा नहीं है

---

CVE संदर्भ

• CVE-2025-8088

• प्रभावित: Windows के लिए WinRAR ≤ 7.12

• इसमें ठीक किया गया: WinRAR 7.13+

---

अस्वीकरण

यह उपकरण केवल रक्षात्मक और शैक्षिक उद्देश्यों के लिए प्रदान किया गया है।