CVE-2025-8088 WinRAR 概念验证 (PoC-利用)

本仓库包含针对 CVE-2025-8088（WinRAR 7.12 及之前版本中的路径遍历漏洞）的概念验证 (PoC) 脚本。
该 PoC 演示了攻击者如何利用此漏洞，通过 备用数据流 (ADS) 和精心构造的归档文件，将恶意文件放置在预期解压目录之外。

免责声明： 此工具仅用于教育和研究目的。请勿用于损害系统或网络。作者不对因使用此脚本造成的滥用或损害负责。

CVE-2025-8088 概述

CVE-2025-8088 (CVSS 8.4) 是 WinRAR 中的一个路径遍历漏洞，影响 Windows 版本 7.12 及更早版本，以及相关工具如 UnRAR.dll 及其便携式源代码。
该缺陷允许攻击者将恶意载荷嵌入到特制 RAR 文件中的 ADS 内，从而将文件提取到敏感系统位置（例如 Windows 启动文件夹）。
这可能导致恶意文件（如 DLL 或快捷方式 (.lnk) 文件）在系统重启时自动执行。

关键细节

• 受影响版本： WinRAR ≤ 7.12
• 首次发现： 野外利用始于 2025 年 7 月 18 日（据 ESET 报告）
• 补丁可用： 已在 WinRAR 7.13 中修复，于 2025 年 7 月 30 日 发布
• 攻击者： 与亲俄的 RomCom 组织（又名 Storm-0978、Tropical Scorpius、UNC2596）有关，该组织以网络间谍和金钱驱动攻击著称
• 攻击方法： 通过鱼叉式钓鱼邮件发送伪装成求职申请的 RAR 文件，针对欧洲和加拿大的金融、国防、制造和物流行业

利用原理

该利用利用了 RAR 归档中 ADS 路径内的 路径遍历序列 (..)。
看似无害的文件（例如简历）背后隐藏着恶意 ADS 条目，可能包括：

PoC 使用方法

此脚本创建一个恶意的 RAR 归档，以演示 CVE-2025-8088 漏洞。
它需要 Python 和访问 rar.exe（WinRAR 的命令行工具）。

确保 rar.exe 在系统 PATH 中，或使用 --rar 参数指定其路径。

命令行参数

示例用法

使用诱饵文件、载荷文件和目标投放文件夹创建恶意 RAR 归档，并指定 rar.exe 的路径：

python poc.py --decoy resume.txt --payload payload.bat --drop "C:\Users\you\Documents" --rar "C:\Program Files\WinRAR\rar.exe"

归属

该漏洞于 2025 年 7 月 18 日 被 ESET 首次在野外发现，并归属于 RomCom 黑客组织。
有关 RomCom 策略的更多信息，请参阅 SOCRadar 威胁行为者情报。