0x01 漏洞描述

近日Check Point团队爆出了一个关于WinRAR存在19年的漏洞,用它来可以获得受害者计算机的控制。攻击者只需利用此漏洞构造恶意的压缩文件,当受害者使用WinRAR解压该恶意文件时便会触发漏洞。

该漏洞是由于 WinRAR 所使用的一个陈旧的动态链接库UNACEV2.dll所造成的,该动态链接库在 2006 年被编译,没有任何的基础保护机制(ASLR, DEP 等)。动态链接库的作用是处理 ACE 格式文件。而WinRAR解压ACE文件时,由于没有对文件名进行充分过滤,导致其可实现目录穿越,将恶意文件写入任意目录,甚至可以写入文件至开机启动项,导致代码执行。

0x02 漏洞影响

影响软件:

WinRAR < 5.70 Beta 1

Bandizip < = 6.2.0.0

好压(2345压缩) < = 5.9.8.10907

360压缩 < = 4.0.0.1170

等等…

0x03 漏洞复现

该漏洞的实现过程:首先新建一个任意文件,然后利用WinACE进行压缩,修改filename来实现目录穿越漏洞,可以将文件解压到任意目录中。

主要所需工具WinACE、010Editor。

下载WinACE并安装,安装完成后新建一个文本文件,名字任意。

然后利用WinACE进行压缩。

然后我们下载acefile.py脚本。

使用命令python acefile.py --headers liehu.ace来读取该文件头信息。

根据漏洞的描述,问题是出现在filename中的。那主要就看下面的header吧。

用010Editor打开该文件。

需要看选中的部分。对比acefile解析的结果,并明白各个段对应的内容。

如果要修改filename,则需要修改上面标注这几处。第一处为0x4e9a(hdr_crc),第二处为0x0044(hdr_size),第三处为0x0025(filename的长度),以及最后一处为filename。

修改顺序是由后到前。

这里修改filename为d:\d:\liehu.txt

长度为15,对应的hex为0x000f

然后修改hdr_size,长度为46,对应的hex为0x002E。

接下来就是修改hdr_crc了,这里有一个取巧的方法。

我们再次运行命令python acefile.py --headers liehu.ace

程序中断并提示CorruptedArchiveError: header CRC failed

定位到错误的位置

这里ace_crc16(buf)的值就是ace文件0x4e9a对应的值,直接打印出该值并将该位置的值修改即可。

对应的值为63232,转换为hex为0xF700。

最后文件内容为

再次查看,可以正常解析,并看到filename已经修改成功

右键解压该文件,则会在D盘生成一个liehu.txt文件。

测试文件:

https://fuping.site/files/liehu.ace

解压后会在D盘生成一个liehu.txt文件

测试脚本:

https://github.com/fupinglee/MyPython/blob/master/exploit/WinRAR_exploit/WinRAR_exploit.py

0x04 修复建议

有两种方式

  1. 升级到最新版本,WinRAR 目前版本是 5.70 Beta 1

  2. 删除UNACEV2.dll文件

此时再次解压恶意文件会提示如下错误:

0x05 参考

https://research.checkpoint.com/extracting-code-execution-from-winrar/