WinRar 4.20 – 文件扩展名欺骗(0Day)

admin

WinRar 是常用的压缩与解压缩软件工具。它能将数据压缩成.rar或则.zip格式的包。这篇文章就是给大家呈现Winrar 4.20的一个最新漏洞（0 day）,下面是关于zip文件的相关简要介绍。

1. Offset
   
2. 
   
3. Bytes
   
4. 
   
5. Description[25]
   
6. 
   
7. 00 4 Local file header signature = 0x04034b50 (read as a little-endian number)
   
8. 04 2 Version needed to extract (minimum)
   
9. 06 2 General purpose bit flag
   
10. 08 2 Compression method
    
11. 10 2 File last modification time
    
12. 12 2 File last modification date
    
13. 14 4 CRC-32
    
14. 18 4 Compressed size
    
15. 22 4 Uncompressed size
    
16. 26 2 File name length (n)
    
17. 28 2 Extra field length (m)
    
18. 30 n File name
    
19. 30+n m Extra field
    
20. 
    
21. (the information taken from wiki - http://en.wikipedia.org/wiki/Zip_(file_format) )
    
22. 
    
23. -------------------------------------------------------------------------------------------------

复制代码

通过文件格式的描述符中，我们可以看到，偏移30的地址指向压缩文件的名字。当我们尝试用WinRar 4.20将文件压缩为"zip 格式"文件时，文件结构看起来没变，但是WinRar添加了一些其独有的文件属性参数。
WINRAR添加额外的“文件名”到压缩文件的“文件名”中。进一步的分析表明，第二个“文件名”是文件的真实文件名，当第一个“文件名”出现在WinRar的 GUI窗口时，WinRar会把第一个“文件名”分配给解压后的文件作为文件名。
这种行为可以很容易地变成一个非常危险的安全漏洞。
假如恶意人员发布一些所谓的txt文本文件，例如“README.TXT”或者PDF格式文件，如“VirusTotal_ScanResults.pdf”，或者更诱人的文件，如“海天盛宴高清图片.jpg”黑客。受害者会因为放松警惕，而运行恶意程序。
相关POC可以参考如下链接:
http://an7isec.blogspot.co.il/20 ... -spoofing-0day.html
From：http://www.exploit-db.com/papers/32480/