Zip Slip 演示

本项目使用存在漏洞版本的 mholt/archiver 包，演示 Zip Slip 漏洞（CVE-2019-10743）。

什么是 Zip Slip？

Zip Slip 是 Snyk 的安全研究人员发现的一种漏洞。该漏洞影响多个被广泛使用的软件包。攻击者可以利用该漏洞导致以下问题：

• 远程代码执行
• 系统上任意写入，可用于使系统崩溃
• 篡改网站并损害声誉
• 能够重写网站中的各个页面，可能导致其他漏洞（如 XSS）

漏洞详情

| CVE | CVE-2019-10743 | | 包 | github.com/mholt/archiver | | 受影响版本 | >= 3.0.0, < 3.3.2 | | 修复版本 | 3.3.2 | | CVSS 评分 | 5.5（中等） |

mholt/archiver

mholt/archiver 是一个 Go 包，提供简单一致的 API 来处理归档文件和压缩文件。它支持 .zip、.tar、.tar.gz、.7z 或 .rar 等格式。

主要特性

• 易于使用的接口，用于：
  • 归档：从目录或文件列表创建归档文件
  • 解归档：从归档中提取文件
  • 单个文件的压缩和解压缩
• 基于文件扩展名的自动格式检测
• 无论归档或压缩类型如何，API 统一

漏洞原理

1. 服务器通过 HTTP POST 接受 ZIP 文件
2. 使用存在漏洞的 mholt/archiver 包提取文件
3. 恶意 ZIP 文件可以包含路径遍历文件名（例如 ../../../../../tmp/hacked.txt）
4. 这些路径可能逃逸预期的提取目录
5. 这可能导致任意文件覆盖和潜在的代码执行

运行演示

使用 Docker（推荐）

# 启动存在漏洞的服务器
./docker-run.sh start

# 停止服务器
./docker-run.sh stop

# 查看日志
./docker-run.sh logs

# 清理
./docker-run.sh cleanup

注意： 确保 docker-run.sh 具有执行权限：

# 赋予执行权限
chmod +x ./docker-run.sh

容器启动并运行后，可以使用类似下面的命令访问测试环境：

# 连接到运行应用程序的容器
docker exec -it zipslip-vulnerable-server /bin/bash

测试漏洞

# 安装 Python 依赖
pip3 install -r requirements.txt

# 执行载荷
python3 test_exploit.py -p "../../../../../../tmp/hacked.txt" -c "You were pwned!"

注意： 上述命令应在容器内执行。

可用的测试选项

• -u, --url：服务器 URL（默认：http://localhost:8080）
• -z, --zip：ZIP 文件名（默认：malicious_test.zip）
• -p, --path：路径遍历文件名（默认：../../../malicious_escaped.txt）
• -c, --content：文件内容

缓解措施

修复此漏洞的方法：

1. 更新包：使用 mholt/archiver 3.3.2 或更高版本
2. 验证路径：在提取前实现路径验证
3. 使用安全提取：使用能够验证和清理文件路径的库
4. 限制应用权限：实施最小权限原则，限制运行应用程序的用户权限

参考

• CVE-2019-10743
• GitHub 安全公告
• Zip Slip 漏洞研究