前几天粉丝@小蜜蜂问我什么时间写CVE-2025-6218这个漏洞的文章，但是当时我没有测试成功，就没有写。今天仔细研究了一下，测试成功了。我来讲一下测试细节吧。

WinRAR 是一个强大的压缩软件。入侵者的一个精心设计的rar压缩包发送给你，如果你用rar 7.11之前版本解压的话，会把压缩包里的恶意文件解压到你非预期的目录。攻击者可利用此漏洞以当前用户的权限执行指定程序。

EXP：
https://github.com/skimask1690/CVE-2025-6218-POC，里边自带了一个样本，如箭头所示。

你下载这个EXP压缩包后，解压后可以放在桌面上，类似C:\Users\{USER你的用户名}\Desktop\CVE-2025-6218-POC-main这样的目录，不能再深了（稍后我讲下原因）。像我的目录就是C:\Users\Administrator\Desktop\CVE-2025-6218-POC-main。

然后你用winrar 7.11之前的版本，右键对准样本解压到某个目录。

执行操作后，样本里的poc.bat就会解压到启动目录了。poc.bat里写了个calc.exe，计算机重启就执行计算器了。

如果你要自己建样本，你可以在桌面上的CVE-2025-6218-POC-main目录里双击CVE-2025-6218.bat就可以。前提WinRAR必须安装在默认位置：C:\Program Files\WinRAR\WinRAR.exe。

我为什么强调目录层次呢？我们来看bat里的代码：

它是用了\.. \.. \.. \三个虚拟目录来向上跳转到启动项目录。你在C:\Users\{USER你的用户名}\Desktop\CVE-2025-6218-POC-main这个目录里执行，正好跳转到C:\Users\{USER你的用户名}\这个目录下的\AppData\……的启动项目录。所以目录再深就不可能成功了。

这个EXP还是挺鸡肋的。一个是要精确控制跳转目录，二是要确保用户解压的压缩包没有放在非系统盘内。放在D盘解压就不成功了。