Спуфинг расширения в winrar

[BeLove]

sergeybelove.ru/downloads/ZIP_WINRAR_POC.zip

[BeLove]

Скрытый текст

[BeLove]

Отлично, добавлю в топик, но это лишь означает, что есть решение проблемы.
Прямо на главной www.win-rar.ru/download/winrar/ предлагается скачать 4.20

[BeLove]

Ох, точно, спасибо за наводку.
Жаль, что в моей выдаче гугла (думаю, как и многих) ссылка на win-rar.ru стоит выше.

[Infra_HDC]

В данном случае — хотя и не только в данном — более разумно использовать Wikipedia, а не Google.

[Informatik]

Ну, а почему бы и нет?! Я тоже часто смотрю ссылку на официальный сайт в вики.

[luckyredhot]

Левая, зато раскрученная! У меня, например, она тоже первой идёт.

[Rinoa]

На эту «левую» страницу есть ссылка на официальном сайте www.rarlab.com/gp_country.php?country=Russia

[Rinoa]

Какая разница, как она выглядит? Рарлаб тоже c 2002 года не сильно изменился и что с того?

[Rinoa]

5.0 против 5.1 на rarlab. Мне кажется, это не столь серьёзное отставание.

[Rinoa]

Не логичней ли за локальными версиями отправляться на локальные сайты коих довольно много на рарлаб?

[Rinoa]

Меня уже утомил этот разговор. Лицензии продаются для 5.х. Скачивается 5.0ru.
Что до устаревшего списка локализованных версий, то все не идеальны. Это не же повод называть что-то левым и не относящимся к делу.

[BeLove]

Как понимаю, это вообще официальный дилер.

[sebres]

Это не только левая версия, видимо и какая то правленая впридачу — попробовал на старых версиях 3.7, 3.95, 4.01 — никаких проблем — то что видим внутри, то и открываем.

Кстати другое поведение было бы как минимум странно, т.к. работая с одним заголовком в проводнике, использовать имя из другого заголовка при открытии файла видится мне специально сделаной «фичей» — мало того что не логично, еще и сложнее в реализации.

[tyomitch]

Бэкдор для NSA? :-)

[mihmig]

С уважением отношусь к автору замечательного архиватора WinRar и не хочу его «обворовывать», ставя на компьютеры всех родственников/знакомых архиватор. Ставлю 7-zip.

А вообще как то давно во времена CD сам придумал такую фишку в режиме командной строки винрару можно указать процент избыточности архива — вплоть до 90%. Т.о. «расширяем» архив с важными данными до размера CD-болванки и, в случае битых секторов царапания восстанавливаем данные

[Smi1e]

Насколько я помню, максимальный размер информации для восстановления всегда (сколько я застал) был 10%. Или вы что-то другое имеете в виду?

[fshp]

Может тома для востановления?

[mihmig]

Это через GUI, а из командной строки — до 99%

[forgotten]

> С уважением отношусь к автору замечательного архиватора WinRar и не хочу его «обворовывать», ставя на компьютеры всех родственников/знакомых архиватор. Ставлю 7-zip.

Шедевр логики просто. Полагаете, Евгению Рошалу теперь спокойнее по ночем спится?

[Jeditobe]

Евгений и Александр — два брата. Пишет код Евгений.

[amarao]

Забыли упомянуть, что уязвимость только в Windows-версиях архиватора.

[BeLove]

Вроде бы взаимоисключающее выходит: проводник WinRAR есть только в Windows.

[amarao]

Формально на сайте есть «WinRAR for Linux»

[scipe]

А Вы уверены что там нет ошибки? Необязательно с exe же, какой угодно скрипт.

[amarao]

www.rarlab.com/rar/WinRARLinux.tar.gz

А, вы про багу. Ну, в линуксах не принято запускать что-либо «по клику» без указания «ЗАПУСТИ ЭТО».

То есть cd ~/download;./badscript — да. cd ~/download;badscript — нет.

В этом старинное и очень серьёзное различие между юниксами и виндами.

[BeLove]

Все равно не понимаю. Ну нету WinRAR gui под линукс.
Писать — «О, а вот линукс версия не уязвима!» — это такое скрытое программирование людей, что пора бы уже всем под линукс? :)

[amarao]

Тут скорее вопрос в отношении к исполняемым файлам. В виндах общепринято запускать скачанные из интернета исполняемые файлы. Куча добропорядочного софта так распространяется.

В юниксах не принято исполнять что попало как попало. То есть если что-то исполняется (как скрипт, или как исполняемая программа) то обычно требуется явное указание «выполни это», а весь уважающий себя софт распространяется через доверенные каналы с цифровыми подписями, которые в добавок ещё требуют прав суперпользователя для установки.

[areht]

> Тут скорее вопрос в отношении к исполняемым файлам.

Тут вопрос о баге в UI конкретной программы. Обсуждать можно ли написать под линуксы программу, молча запускающую другую программу или что в линуксе нет ни WinRAR, ни его глюков — толстый троллинг.

Кстати, «WinRAR for Linux» нету, есть «RAR for Linux». Но это же мелочи, когда холивар надо разводить.

[amarao]

www.rarlab.com/rar/WinRARLinux.tar.gz

[areht]

WinRAR WINE wrapper allowing to run WinRAR in Linux

нуну

[farcaller]

Ну, в линуксах не принято запускать что-либо «по клику» без указания «ЗАПУСТИ ЭТО».

Хотя всякие «хипстерские» штуки постоянно пытаются эту идеологию протолкнуть через curl… | bash ;-)

[drakmail]

Так это практически ничем не отличается от wget URL && tar -xvf FILE.tar.gz && ./BINARY. Только действий меньше.

[farcaller]

Нет, я о том как многие сайты пропагандируют установку через бездумное выполнение кода, скачанного из сети (бонусные баллы за отсутствие https и пайп в sudo sh).

[amarao]

Есть такая проблема. Впрочем, её решение — не в изменении людей, а в организации адекватной песочницы уровня ОС. В принципе, процесс идёт (база для LXC сделана, осталось всё это очень аккуратно увязать чем-то типа docker'а). Надеюсь в ближайшие лет 5 увидеть, наконец, песочницу, которая сможет запускать нативный код с контролируемыми пермишеннами на всё (и без ада SELinux'а).

[kekekeks]

Так он тянет с собой Wine и представляет собой виндовую версию.

[dbanet]

Разница между ./badscript и badscript минимальна. Тем более — не старинное и очень серёзное различие.

Всего лишь наличие или отсутствие точки (current directory) в путях.

И всё.

[Riateche]

Мало того, что там нет UI. Там, похоже, консольная версия вообще ZIP не поддерживает (что неудивительно).

[luckyredhot]

Unix-way в действии ;-)

[tyderh]

В Андроиде что-то такое было. Только не имя файла подменялось, а сам файл.

[binariti]

Наша старая 3.92 не подвержена этой уязвимости. Проверили ZIP_WINRAR_POC.zip и rar открывает test1.txt как бинарный файл в блокноте.

[AndreyDmitriev]

На старенькой 3.80 не воспроизводится.

[bakset]

Пошел и обновил до 5-й версии, от греха подальше.

[Infra_HDC]

Очевидно, что данный спуфинг расширения имени файла эксплуатирует неортогональность формата архива. Для файла в архиве указано два имени с разными целями: одно — для отображения в GUI, другое — для всего остального. Для чего такое может быть полезно с точки зрения прикладного уровня? И есть ли, к примеру, еще какие-то аттрибуты у этого блока отображаемого имени, например, возможность полного сокрытия файла в архиве с точки зрения того же GUI? Ближайшее по смыслу из известных мне, но более объяснимое явление: короткие и длинные имена в файловой FAT — хотя бы есть веская причина: унаследованный формат каталога, в который просто так не впихнёшь длинные имена; последние, кстати, легко убиваются утилитой SCANDISK из дистрибутива MS-DOS v6.20.

[shifttstas]

А зачем вообще нужен Winrar если есть 7zip?

[toxicdream]

Имхо, потому что иногда за качество + поддержку = уверенность хотят заплатить.
Для примера, загляните хотя бы в баг-трекер 7zip.

[gromka]

что-то платный винрар-то подкачал…

[shanker]

Со списком уязвимых версий везде бардак. Некоторые недоисследователи сообщают, что прям на всех версиях работает, включая WinRAR 5.1

Я залез на эту страничку, скачал и протестировал все находящиеся там версии WinRAR.

Вот что получилось:
На Windows 7 x32 и Windows XP SP3 x32 уязвимы следующие версии WinRAR

1. 4.20
2. 4.11
3. 3.00
4. 2.90
5. 2.80
6. 2.60

Примечательно, что работает на 2.60 и 2.80, тогда как на промежуточными между ними 2.70 и 2.71 не работает.
С 3.11 до 4.01 не работает, но начинает работать на 4.11 и 4.20