标签 压缩包安全 下的文章

一、概述

在 Windows 系统中，压缩包（如 RAR、ZIP、7z 等）作为常见的文件分发载体，因其便捷性和通用性被广泛使用。然而，攻击者常利用压缩软件的目录穿越漏洞（如 CVE-2025-8088），通过构造恶意压缩包将恶意载荷写入系统关键路径（如启动项、系统目录等），实现持久化驻留或提权执行。此类攻击隐蔽性强、危害大，且传统静态检测难以有效识别。

为应对这一威胁，天穹沙箱正式上线压缩包目录穿越动态检测能力。该能力通过监控压缩软件在沙箱环境中的实际解压行为，实时捕获文件写入路径，精准识别包含 ..\、绝对路径、UNC 路径等高危操作，有效还原攻击者的真实意图。

二、目录穿越攻击常见手法

当前主流压缩包目录穿越攻击主要包括以下几类：

  1. 路径遍历（Path Traversal）压缩包内构造包含 ..\..\..\ 的文件路径，诱导解压程序将文件写入非预期目录。例如：1
    ..\..\..\AppData\Roaming\Microsoft\Windows\StartMenu\Programs\Startup\demo.exe
  2. 绝对路径写入部分压缩格式（如 RAR）支持在压缩时嵌入绝对路径。攻击者可直接指定目标写入路径，绕过用户预期目录限制。
  3. UNC 路径利用通过构造类似 \\?\C:\Windows\Temp\demo.exe 的 UNC 路径，绕过常规路径校验逻辑，实现任意位置写入。

三、样本分析

样本上传

上传样本到天穹沙箱，即可快速准确地检测未知样本恶意行径，操作步骤如下：

  1. 登录天穹沙箱；
  2. 选择分析环境及配置项，如图 1 所示，选择 Windows x64 作为分析系统，配置自动解压开关为 OFF，点击确认选择；
  1. 登录天穹沙箱；
  2. 选择分析环境及配置项，如图 1 所示，选择 Windows x64 作为分析系统，配置自动解压开关为 OFF，点击确认选择；
图1 分析配置

上传样本，点击上传区域选择样本上传或将样本拖至上传区域即可上传样本，如图 2 所示，等待沙箱分析结束。

图2 上传样本

检测能力

样本一：7z目录穿越利用（CVE-2025-11001）

报告链接：天穹沙箱分析报告

漏洞原理：CVE-2025-11001 漏洞源于 7-Zip 在处理 ZIP 压缩包中的符号链接（Symbolic Links）时存在安全缺陷。具体来说，当 7-Zip 解压包含符号链接的 ZIP 文件时，未能正确验证符号链接指向的目标路径，导致攻击者可以构造恶意的 ZIP 压缩包，其中包含指向系统关键目录（如系统目录、程序目录等）的符号链接。

经天穹沙箱分析，在 7z 解压过程中捕获到以下行为，如图 3 所示:

  • 7z 工具向自启动目录写入文件 c:\Users\luchao\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\calc.exe；
  • 该路径明显超出沙箱指定的解压目录 C:\Users\luchao\AppData\Roaming\；
  • 沙箱触发“目录穿越”高危告警。
图3 目录穿越检测

借助天穹智能分析平台了解 CVE-2025-11001 漏洞的详细信息，如图 4 所示，智能体总结了漏洞成因、攻击条件、影响版本、PoC代码等信息，并以脑图形式直观展示分析结果之间的关联和层级结构。

图4 天穹智能体解读

样本二：winrar 目录穿越利用（CVE-2025-8088）

报告链接：天穹沙箱分析报告

漏洞原理：WinRAR 在解析压缩文件时存在路径校验逻辑缺陷，未对压缩包内嵌的 NTFS 备用数据流（ADS）及路径跳转符号（如 ..\）进行严格过滤。攻击者可利用此缺陷构造恶意压缩包，通过 ADS 特性隐藏恶意文件，并结合路径遍历技术突破解压目录限制，最终将文件写入系统敏感路径（如启动目录）。

基于天穹沙箱的动态分析链还原漏洞利用攻击路径，如图 5 所示：

  1. 触发解压：用户双击恶意压缩包，系统调用 WinRAR.exe 启动解压流程；
  2. 路径篡改：WinRAR 在解析压缩包时，未正确校验文件路径的合法性。攻击者通过 ADS 流嵌入的路径跳转指令（如 ..\Startup\payload.exe），将目标解压路径动态指向系统启动目录（C:\Users\luchao\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup）；
  3. 越权写入：WinRAR 绕过用户指定的解压目录（如 C:\Downloads），直接将恶意文件写入启动目录，完成持久化驻留。
图5 目录穿越检测

四、IOC

恶意文件（SHA256）

1
2		ad9d91db166e91139b41ae1beae99da78ce0d231b32c43daf50eb0270508d5e9
2a8fafa01f6d3863c87f20905736ebab28d6a5753ab708760c0b6cf3970828c3

报告链接

样本一分析报告：天穹沙箱分析报告

样本二分析报告：天穹沙箱分析报告

技术报告, , ,

一、概述

在 Windows 系统中，压缩包（如 RAR、ZIP、7z 等）作为常见的文件分发载体，因其便捷性和通用性被广泛使用。然而，攻击者常利用压缩软件的目录穿越漏洞（如 CVE-2025-8088），通过构造恶意压缩包将恶意载荷写入系统关键路径（如启动项、系统目录等），实现持久化驻留或提权执行。此类攻击隐蔽性强、危害大，且传统静态检测难以有效识别。

为应对这一威胁，天穹沙箱正式上线压缩包目录穿越动态检测能力。该能力通过监控压缩软件在沙箱环境中的实际解压行为，实时捕获文件写入路径，精准识别包含 ..\、绝对路径、UNC 路径等高危操作，有效还原攻击者的真实意图。

二、目录穿越攻击常见手法

当前主流压缩包目录穿越攻击主要包括以下几类：

  1. 路径遍历（Path Traversal）压缩包内构造包含 ..\..\..\ 的文件路径，诱导解压程序将文件写入非预期目录。例如：1
    ..\..\..\AppData\Roaming\Microsoft\Windows\StartMenu\Programs\Startup\demo.exe
  2. 绝对路径写入部分压缩格式（如 RAR）支持在压缩时嵌入绝对路径。攻击者可直接指定目标写入路径，绕过用户预期目录限制。
  3. UNC 路径利用通过构造类似 \\?\C:\Windows\Temp\demo.exe 的 UNC 路径，绕过常规路径校验逻辑，实现任意位置写入。

三、样本分析

样本上传

上传样本到天穹沙箱，即可快速准确地检测未知样本恶意行径，操作步骤如下：

  1. 登录天穹沙箱；
  2. 选择分析环境及配置项，如图 1 所示，选择 Windows x64 作为分析系统，配置自动解压开关为 OFF，点击确认选择；
  1. 登录天穹沙箱；
  2. 选择分析环境及配置项，如图 1 所示，选择 Windows x64 作为分析系统，配置自动解压开关为 OFF，点击确认选择；
图1 分析配置

上传样本，点击上传区域选择样本上传或将样本拖至上传区域即可上传样本，如图 2 所示，等待沙箱分析结束。

图2 上传样本

检测能力

样本一：7z目录穿越利用（CVE-2025-11001）

报告链接：天穹沙箱分析报告

漏洞原理：CVE-2025-11001 漏洞源于 7-Zip 在处理 ZIP 压缩包中的符号链接（Symbolic Links）时存在安全缺陷。具体来说，当 7-Zip 解压包含符号链接的 ZIP 文件时，未能正确验证符号链接指向的目标路径，导致攻击者可以构造恶意的 ZIP 压缩包，其中包含指向系统关键目录（如系统目录、程序目录等）的符号链接。

经天穹沙箱分析，在 7z 解压过程中捕获到以下行为，如图 3 所示:

  • 7z 工具向自启动目录写入文件 c:\Users\luchao\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\calc.exe；
  • 该路径明显超出沙箱指定的解压目录 C:\Users\luchao\AppData\Roaming\；
  • 沙箱触发“目录穿越”高危告警。
图3 目录穿越检测

借助天穹智能分析平台了解 CVE-2025-11001 漏洞的详细信息，如图 4 所示，智能体总结了漏洞成因、攻击条件、影响版本、PoC代码等信息，并以脑图形式直观展示分析结果之间的关联和层级结构。

图4 天穹智能体解读

样本二：winrar 目录穿越利用（CVE-2025-8088）

报告链接：天穹沙箱分析报告

漏洞原理：WinRAR 在解析压缩文件时存在路径校验逻辑缺陷，未对压缩包内嵌的 NTFS 备用数据流（ADS）及路径跳转符号（如 ..\）进行严格过滤。攻击者可利用此缺陷构造恶意压缩包，通过 ADS 特性隐藏恶意文件，并结合路径遍历技术突破解压目录限制，最终将文件写入系统敏感路径（如启动目录）。

基于天穹沙箱的动态分析链还原漏洞利用攻击路径，如图 5 所示：

  1. 触发解压：用户双击恶意压缩包，系统调用 WinRAR.exe 启动解压流程；
  2. 路径篡改：WinRAR 在解析压缩包时，未正确校验文件路径的合法性。攻击者通过 ADS 流嵌入的路径跳转指令（如 ..\Startup\payload.exe），将目标解压路径动态指向系统启动目录（C:\Users\luchao\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup）；
  3. 越权写入：WinRAR 绕过用户指定的解压目录（如 C:\Downloads），直接将恶意文件写入启动目录，完成持久化驻留。
图5 目录穿越检测

四、IOC

恶意文件（SHA256）

1
2		ad9d91db166e91139b41ae1beae99da78ce0d231b32c43daf50eb0270508d5e9
2a8fafa01f6d3863c87f20905736ebab28d6a5753ab708760c0b6cf3970828c3

报告链接

样本一分析报告：天穹沙箱分析报告

样本二分析报告：天穹沙箱分析报告

技术报告, , ,