WinRAR目录穿越神洞复现及防御 Secer's Blog - 记录互联网安全历程与个人成长经历

0x01漏洞背景

2019 年 2 月 20 日 @Nadav Grossman 发表了一篇关于他如何发现一个在 WinRAR 中存在 19 年的逻辑问题以至成功实现代码执行的文章。
WinRAR 代码执行相关的 CVE 编号如下：
CVE-2018-20250, CVE-2018-20251, CVE-2018-20252, CVE-2018-20253
该漏洞是由于 WinRAR 所使用的一个陈旧的动态链接库UNACEV2.dll所造成的，该动态链接库在 2006 年被编译，没有任何的基础保护机制(ASLR, DEP 等)。该动态链接库的作用是处理 ACE 格式文件。而在解压处理过程中存在一处目录穿越漏洞,允许解压过程写入文件至开机启动项，导致代码执行。

0x02准备工作

下载安装winace，一路默认安装即可

新建一个demo文件夹，创建名为test的文本文档,内容如下

使用winace打开

点击右上角file->create

阴影部分下拉框选择store full path
点击add即可
此时在demo文件夹下生成了test.ace

0x03熟悉ACE格式

接下来使用16进制编辑器打开（winhex,010Editor也行），此处使用010Editor进行

待会儿需要在这儿修改一些数据
接下啦先git clone https://github.com/droe/acefile
我们需要使用acefile.py来进行校验等操作,这是python3写的，它的功能是
1、可以提取ACE档案。
2、包含有关ACE文件格式的简要说明。
3、有一个非常有用的功能，打印文件格式标题和解释
win上没有3的环境，所以我使用kali来进行
首先下载test.ace

然后查看文件头信息

回显如下

关键参数详细说明：
·hdr_crc：
两个CRC字段存在于2个标头中。如果CRC与数据不匹配，则中断提取。
·文件名：
文件名包含文件的相对路径。在提取过程中（包括文件）创建相对路径中指定的所有目录。文件名的大小由十六进制转储中的2个字节（小端）定义。
·advert：
如果使用未注册版本的WinACE创建存档，则在创建ACE存档期间，WinACE会自动添加广告字段。
·文件内容：
“origsize” - 内容的大小。
“hdr_size” – 头部大小。

上图可以看到crc为0xc5e9,size为63，这个63是十进制，转换为16进制为