WinRAR(5.21)-0day漏洞-始末分析

0x00 前言

上月底，WinRAR 5.21被曝出代码执行漏洞,Vulnerability Lab将此漏洞评为高危级，危险系数定为9(满分为10)，与此同时安全研究人员Mohammad Reza Espargham发布了PoC，实现了用户打开SFX文件时隐蔽执行攻击代码，但是WinRAR官方RARLabs认为该功能是软件安装必备，没有必要发布任何修复补丁或升级版本。

本以为就此可以跳过该漏洞，但深入研究后发现了更加有趣的事情。

0x01 WinRar 5.21 - SFX OLE 代码执行漏洞

简要介绍一下WinRar 5.21 - SFX OLE 代码执行漏洞

1、相关概念

SFX： SelF-eXtracting的缩写，中文翻译自解压文件，是压缩文件的一种，其可以在没有安装压缩软件的情况下执行解压缩

MS14-064： Microsoft Windows OLE远程代码执行漏洞，影响Win95+IE3 – Win10+IE11全版本，实际使用时在win7以上系统由于IE存在沙箱机制，启动白名单以外的进程会弹出提示，如图

2、漏洞原理

sfx文件在创建时支持添加html脚本，但又不会受IE沙箱限制，如果主机存在MS14-064漏洞，在打开包含MS14-064 exp的sfx文件后，即可隐蔽执行任意代码

3、测试环境

win7 x86

存在MS14-064漏洞

安装WinRar 5.21

4、测试过程

实现相对简单，因此只作简要介绍

（