WinRAR パストラバーサルエクスプロイト (CVE-2025-8088) - マルチ深度ペイロード展開

このPythonスクリプトは、WinRARのパストラバーサル脆弱性（CVE-2025-8088）を悪用し、複数の相対パス深度を使用してWindowsのスタートアップフォルダにペイロードを展開します。このエクスプロイトは、悪意のあるRARアーカイブを作成し、解凍されると被害者のスタートアップフォルダにさまざまなディレクトリ深度でペイロードを書き込みます。

主な機能

• 🎭 設定可能なコンテンツで複数のデコイファイルを作成
• 📁 代替データストリーム（ADS）を介してペイロードを埋め込む
• 📈 複数のトラバーサル深度を生成（デフォルト1〜20）
• 🔄 RARヘッダーをパッチしてパストラバーサル脆弱性を悪用
• 🎯 Windowsのスタートアップフォルダを標的にして永続化
• ⚙️ WinRARのインストール場所を自動的に特定
• 🔒 有効なアーカイブのためのCRCチェックサムを再計算

中核となる概念

1. マルチ深度トラバーサル戦略

このスクリプトは、それぞれ異なる数の親ディレクトリをトラバースするように設定された複数のデコイファイル（デフォルトでは20個）を作成します。

NUM_DEPTHS = 20  # Number of different traversal depths

各ファイルは異なるパス深度を使用します。

File1.txt  → ..\Startup\payload.bat
File2.txt  → ..\..\Startup\payload.bat
...
File20.txt → ..\..\..\ (20 times) \Startup\payload.bat

✅ 被害者がアーカイブをどこに解凍しても（デスクトップ、ドキュメント、ダウンロード、またはネストされたフォルダ）、少なくとも1つのペイロードがスタートアップフォルダに到達することを保証します。

2. デコイファイルのカスタマイズ

デコイファイルにはデフォルトで一般的なテキストが含まれていますが、現実的なソーシャルエンジニアリングのためにカスタマイズする必要があります。

# Create more convincing decoy content
decoy.write_text("Quarterly Financial Report Q3 2025.docx\n", encoding="utf-8")

デコイの内容を変更する理由は？

• アーカイブを正当に見せかける
• 被害者が解凍する可能性を高める
• 現実的なファイル名/内容で疑念を避ける
• 期待されるドキュメントタイプに溶け込む

3. ペイロード設定

ペイロードはデフォルトでは単純なバッチスクリプトですが、任意の実行ファイルに置き換えることができます。

PAYLOAD = "@echo off\necho Payload executed!\npause\n"

ペイロードの場所：

AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.bat

• ユーザーログイン時に実行
• システム上のすべてのユーザーに対して機能

4. 出力ファイル

最終的な悪意のあるRARアーカイブは、次のように保存されます。

OUT_RAR = "exploit.rar"

Windowsビルドの要件

このエクスプロイトの生成には、いくつかの理由からWindows環境が必要です。

• 代替データストリーム（ADS）への依存
  ペイロードを添付するために使用されるNTFS専用機能：

  root@kitploit:~

  ads_path = f"{decoy}:{placeholder}"  # Windows-specific NTFS syntax
  

• WinRAR実行ファイルの要件
  WinRARのWindows CLIを使用します。

  root@kitploit:~

  subprocess.run(f'"{rar_exe}" a -ep -os "{base_rar}" ...')
  

• パス構造の互換性
  Windows固有のパスをターゲットにします。

  root@kitploit:~

  RELATIVE_DROP_PATH = "AppData\\Roaming\\Microsoft\\Windows\\Start Menu..."
  

• ペイロードの実行
  Windowsバッチファイルを生成します。

  root@kitploit:~

  @echo off
  start /B notepad.exe
  

使用方法

設定をカスタマイズします。

# Configuration
NUM_DEPTHS = 20
RELATIVE_DROP_PATH = "AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\payload.bat"
PAYLOAD = "@echo off\nstart /B notepad.exe\n"  # Your actual payload
DECOY_FILE_PREFIX = "Financial_Report_Q3_"     # More convincing names

スクリプトを実行します。

python CVE-2025-8088.py

出力を配布します。

• スクリプトはexploit.rarを生成します
• メール、USBドロップなどで配布します

infect_premade_rarfiles.py

このバージョンのコードでは、python3 infect_premade_rarfiles.py website_backup.rar のように実行するだけです。

このスクリプトはすべてのファイルを抽出し、.txt、srt、sql などの注入可能なファイル（すべてのファイルタイプが機能するわけではありません）に注入してから、実行可能なrarファイルを作成します。

防御策

• WinRARを最新版に更新する
• 信頼できないソースからのアーカイブの解凍を無効にする
• スタートアップフォルダへの書き込みを監視する
• パストラバーサル試行を検出するセキュリティソフトウェアを使用する

法的および倫理的注意事項

⚠️ このツールは教育およびセキュリティ研究目的のみです。
明示的な許可なしにシステムに対して使用しないでください。無断使用は違法かつ非倫理的です。