安全分析：WinRAR 中的路径遍历漏洞利用（CVE-2025-8088）

注意： 仓库正在开发中。本项目将获得未来更新，包含额外的分析、分析（非利用）脚本和演示材料。新版本将在可用时发布。

本仓库记录了 WinRAR（CVE-2025-8088）中目录遍历（CWE-35）漏洞的分析、研究过程和概念验证（PoC）。

该漏洞影响 7.13 之前版本的 Windows 版 WinRAR，已被评为高严重性（基础评分 8.8）。

I. 感染过程：从 ZIP 文件到任意代码执行

CVE-2025-8088 的成功在于受害者所需交互的简单性：仅需解压一个恶意文件即可触发代码执行。

简单的攻击向量

1. 社会工程学（钓鱼）： 诸如 RomCom 和 Paper Werewolf 等威胁组织已在鱼叉式网络钓鱼活动中利用此漏洞。
2. 诱饵（Decoy）： 攻击者发送伪装成合法文档（如简历或财务报告）的恶意 RAR 文件。
3. 用户操作： 受害者为了访问内容，使用存在漏洞的 WinRAR 版本（≤ 7.12）提取恶意 RAR 文件。
4. 隐藏的利用： 在提取过程中，路径遍历漏洞并未将文件写入预期的目标目录，而是强制 WinRAR 将 payload（恶意代码）写入操作系统的一个关键文件夹。

后果：在操作系统中的持久化

该 exploit 的主要目标是 Windows 启动文件夹（AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\）。

• 当存在漏洞的 WinRAR 解压文件时，payload 会被存入 Startup（启动）文件夹。
• 下次用户登录时（重启或注销后），payload 会被自动执行，从而确保持久化。

RomCom 等威胁组织已使用此模式来植入后门，从而获得对受感染计算机的完全访问权限。

II. 研究与技术分析过程以进行利用

开发一个稳健的概念验证需要对 RAR 格式的二进制结构以及 Windows 操作系统的特性进行深入研究。

1. RAR 5.0 标头（Headers）的操纵

该漏洞通过操纵 RAR 文件标头来利用。攻击者不能简单地重命名文件；他们必须强制 WinRAR 接受一个存储在文件结构中的恶意路径。

• 文件结构： 研究需要理解数据块（如 File header（文件头）和 Service header（服务头））的格式化方式。文件头中的 Name length（名称长度）字段和 Name（名称，包含路径）字段会被修改。
• 二进制修补： 利用脚本对 RAR 标头进行 patch，以注入路径遍历序列（..\..\..\）。
• 文件完整性： 为了使修改后的文件在 WinRAR 看来有效，脚本需要重新计算 CRC 校验和（循环冗余校验）。此类二进制操作通常使用 Python 的 struct 等模块完成，该模块用于将字节解释为打包的二进制数据。

2. 多深度遍历策略

研究揭示，利用的一个重大挑战是不确定确切的解压目录（桌面、下载等）。

• 研究解决方案： 开发了多深度遍历策略。
• 工作原理： exploit 创建多个诱饵文件（例如，20 个 File.txt 文件）。每个文件被配置为尝试遍历不同数量的父目录（例如：..\Startup\payload.bat，然后是 ..\..\Startup\payload.bat，直到 20 层深度）。
• 优势： 这种冗余确保无论受害者在哪个目录深度解压文件，至少有一个 payload 会到达固定目标（Windows 的 Startup 文件夹）。

3. 通过备用数据流（ADS）实现隐蔽性

为了隐蔽地嵌入 payload，本研究利用了 Windows NTFS 文件系统的一项独特功能：备用数据流（ADS）。

• payload（批处理脚本或可执行文件）通过 ADS 附加到一个诱饵文件（如专业 PDF）上。
• 使用 ADS 以及 RELATIVE_DROP_PATH 等 Windows 特定路径，是生成 exploit 需要 Windows 环境的主要原因。

III. 防御缓解措施

CVE-2025-8088 漏洞已被积极利用（in the wild），并已被列入 CISA 的 KEV（已知被利用漏洞）目录。

最关键的防御措施是更新，因为利用依赖于过时的软件：

• 将 WinRAR 更新到 7.13 或更高版本。
• 禁止从不可信来源提取文件。
• 监控安全日志，以检测对 Windows 启动文件夹的未经授权的写入。

---

研究类比： 将 RAR 文件想象成一份邮政包裹。路径遍历就像在投递地址中填入重复的"退回寄件人"（../）命令。技术研究涉及找出包裹标签（RAR 标头）的哪一部分需要被篡改，以及需要多少个"退回"命令（多深度策略）才能确保无论邮件系统（WinRAR）从哪里开始投递，包裹都会被存入保险箱（Startup 文件夹）。仅仅"签收包裹"（解压）这一简单操作就足以保证感染。