Winrar目录穿越漏洞复现
Winrar目录穿越漏洞复现
1、漏洞概述
WinRAR 是一款功能强大的压缩包管理器，它是档案工具RAR在Windows环境下的图形界面。2019年 2 月 20 日Check Point团队爆出了一个关于WinRAR存在19年的漏洞，用它来可以获得受害者计算机的控制。攻击者只需利用此漏洞构造恶意的压缩文件，当受害者使用WinRAR解压该恶意文件时便会触发漏洞。
该漏洞是由于 WinRAR 所使用的一个陈旧的动态链接库UNACEV2.dll所造成的，该动态链接库在 2006 年被编译，没有任何的基础保护机制(ASLR, DEP 等)。动态链接库的作用是处理 ACE 格式文件。而WinRAR解压ACE文件时，由于没有对文件名进行充分过滤，导致其可实现目录穿越，将恶意文件写入任意目录,甚至可以写入文件至开机启动项，导致代码执行。
影响版本：
WinRAR < 5.70 Beta 1
Bandizip < = 6.2.0.0
好压(2345压缩) < = 5.9.8.10907
360压缩 < = 4.0.0.1170
漏洞危害：
通过这个漏洞黑客可以将恶意程序放入用户启动项，当目标电脑重新启动时获取目标主机的权限。替换任意dll文件或覆盖任意配置文件。
漏洞细节：
https://research.checkpoint.com/extracting-code-execution-from-winrar/
漏洞主要是由Winrar用来解压ACE压缩包采用的动态链接库unacev2.dll这个dll引起的。unacev2.dll中处理filename时只校验了CRC，黑客可以通过更改压缩包的CRC校验码来修改解压时候的filename来触发这个Path Traversal漏洞。但是Winrar本身检测了filename，有一些限制并且普通用户解压RAR文件时候不能将我们恶意的Payload解压到需要System权限的文件夹。所以当用户将文件下载到默认的C:\Users\Administrator\Downloads 目录下时，我们通过构造
C:\C:C:../AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\test.exe
经过Winrar的CleanPath函数处理会变成
C:../AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\test.exe
其中C:会被转换成当前路径，如果用Winrar打开那么当前路径就是C:\Program Files\WinRAR，要是在文件夹中右键解压到xxx\那么当前路径就是压缩包所在的路径。
当用户在文件夹中直接右键解压到xx那么我们恶意的payload解压地址就会变成
C:\Users\Administrator\Downloads../AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\test.exe
就是当前用户的启动项。这样一个利用完成了从一个Path Traversal到任意命令执行的过程。
2、漏洞复现
所需软件：WinACE、Winhex/010Editor、Winrar5.50
（1）在桌面创建一个txt文件，hello.txt
（2）使用WinACE将hello.txt压缩，注意选择store full path.
（3）使用010Editor打开hello.txt,修改原路径为以下路径（启动项）
C:\C:C:../AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\hello.txt
（4）修改长度，选中路径，可见修改之前文件长度为29
（5）修改后选中文件长度为81
（6）因此修改以下位，值为51（因为81是十进制，所以要改为hex的16进制）
（7）同样，将以下文件长度改为70
（8）使用acefile.py进行解析ace文件，acefile.py文件地址（https://github.com/backlion/CVE-2018-20250/blob/master/acefile.py）
命令：
python acefile.py --headers hello.ace
报错，且提示正确的crc为0xa350,修改文件crc为50 a3 顺序从右到左。
修改后未报错则说明修改成功
（9）使用Winrar解压缩即可将hello.txt释放到C:\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
（10）如果将hello.txt换为后门则可以配合msf远程控制受害机器
https://github.com/backlion/CVE-2018-20250
GitHub的POC-exp.py可以制作一个含有exe文件的漏洞压缩包，只要用户使用低版本的Winrar即可被种下exe后门。
3、修复建议：
-
升级到最新版本，WinRAR 目前版本是 5.70 Beta 1
-
删除其安装目录下的UNACEV2.dll文件
4、参考：
https://research.checkpoint.com/extracting-code-execution-from-winrar/
https://www.cnblogs.com/backlion/p/10417985.html
