大家好，感谢邀请，今天来为大家分享一下Game of Rars 探索WinRAR 中新的远程代码执行漏洞(CVE202340477)的问题，以及和的一些困惑，大家要是还不太明白的话，也没有关系，因为接下来将为大家分享，希望可以帮助到大家，解决大家的问题，下面就开始吧！

二进制文件对比

我们知道6.23版本已经修复，我们找到修复之前的版本进行复现。通过下载WinRAR-v6.23 和WinRAR-v6.22 的便携版本，我们观察到：

WinRAR 目录结构和文件

可见winrar.exe可能只是一个图形界面。如果解压过程中存在漏洞，也可能存在于“unrar.exe”中。通过比较6.23和6.22之间的差异（忽略注释），我们得到以下结果：

第一个BinDiff 输出

查看流程图，在6.23 版本中发现了一些有趣的补充（在大函数图中，它看起来像是主要的提取）：

提取中的BinDiff 额外内容

仔细一看，这些似乎是额外的检查！

blocksBinDiff x86 中有趣的附加块

这看起来很有希望！我们在这里看到一些var 255！有趣的是，这里似乎存在溢出检查。因此，是时候触发漏洞了（例如，将字节更改为其最大值）。

我对RAR 格式进行了研究，从描述中我们知道这与RAR4（vol3？）恢复卷有关，因此我生成了具有这些特征的RAR4 文件，它给了我以下文件列表：

RAR_FILE.rarRAR_FILE.r00RAR_FILE00.revRAR_FILE.r01RAR_FILE01.rev 我尝试暴力破解“.rev”和“rXX”卷中的“类字节”值，但没有成功。它什么也触发不了。然后尝试搜索一些“unrar”源代码并成功找到这个旧存储库：https://github.com/aawc/unrar

查看源代码，可以看到多个“255”常量检查，尤其是在“recvol3.cpp”中。它们也存在于原始的6.22 源代码中，是否由于溢出而添加了额外的检查？

经过进一步研究，我发现这些安全检查实际上与0xff/255有关。

recvol3.cpp 中的

漏洞

CVE-2023-40477

这里，P[i]是从‘.rev’文件中提取的。它们位于文件的末尾。这些P[i] 用于确定它们代表哪个恢复卷以及它们应用到哪个FileNumber。 FileNumber 也从中取出并存储在P[2] 中。

紧接着File\就被分配出来，放在我们控制的索引位置，这个数组的大小就是256！（第241 行），这解释了为什么有255 个检查。

因为索引实际上等于：P[2]+P[0]-1，所以我们几乎可以任意控制转速量的内容。因此，我们可以使用指针（指向File 结构）覆盖此缓冲区，这将覆盖当前对象中的下一个属性。

Poc撰写

为了触发此漏洞，我们发现需要在recvol3.cpp中调用“Restore()”函数。还需要重建步骤来覆盖指针。

为了实现此目的，需要缺少一些rar 卷（缺少.r00 文件）以及可用的.rev 文件。另外，还要保证crc32校验正确，只需要几行代码就可以触发。

为了方便起见，使用了通过GUI 生成的原始rar4 恢复卷，但这可以使用更小、更高效的触发器，并且可能最多只需要2-3 个文件。

# 1. 重新生成格式错误的恢复vols.data=open(‘%s01.rev’ % ARCHIVE_NAME, ‘rb’).read() # 只需使用第一个并将其格式错误up.names=[‘%s%s. rev’ % (ARCHIVE_NAME, str(i).zfill(2)) for i in range(256)]# ‘销毁’ P[i]’sdatas=[data[:-7] + bytes([0xf0,0x00 , i]) + calc_crc(data[:-7] + bytes([0xf0,0x00, i])) for i in range(256)]# 2. 覆盖格式错误的恢复vols.for i in range(256): fname=name[i] data=datas[i] open(fname, ‘wb’).write(data)PoC地址：https://github.com/wildptr-io/Winrar-CVE-2023-40477-POC/

发现该漏洞后不久，我们还在rar-labs网站上看到了https://www.rarlab.com/vuln_rev3_names.html，这基本上证实了我们的发现。

利用这一点，在多种情况下成功使winrar/unrar 崩溃：

内存集用零覆盖无效内存（可能在缓冲区之后） :

在Buf 的memset 上使用winrar 的unrar.exe 时崩溃

源码中Buf的memset

使用“提取到”功能时，winrar.exe 中可能出现堆溢出情况winrar.exe 堆溢出可能的情况

利用性

要确定可利用性，请查看256 个数组后面覆盖的结构。这用于确定攻击者如何利用此原语来获得远程代码执行（RCE）以及存在哪些缓解措施。

//RecVolume3 结构- 发生溢出class RecVolumes3{ private: File *SrcFile[256]; //File* 指针在这里溢出。 Array Buf;#ifdef RAR_SMP ThreadPool *RSThreadPool;#endif public: RecVolumes3(CommandData *Cmd,bool TestOnly) ; RecVolumes3(); void Make(CommandData *Cmd,wchar *ArcName); bool Restore(CommandData *Cmd,const wchar *Name,bool Silent); void Test(CommandData *Cmd,const wchar *Name);};//数组模板class:template class Array{ private: T *Buffer; size_t 缓冲区大小； size_t 分配大小； size_t 最大尺寸； public: 数组();数组（size_t 大小）；数组（常量数组源）； //复制构造函数。数组（）；总之，我们使用“File*”指针溢出“Buffer”对象，同时还需要绕过此处启用的许多防御措施。幸运的是，有很多保护措施：ASLR、CFG、Stack-Cookie 和DEP。

这甚至没有提到winrar 版本之间的二进制差异。虽然可能存在漏洞被利用的可能性，但对于普通黑客来说，实际被利用的可能性并不高。