itres-labs/cve-2025-1868CVE-2025-1868 : Testeur HTTP de fuite NTLM pour Advanced IP Scanner et Advanced Port Scanner
Petite application PHP dockerisée qui déclenche une négociation NTLM et extrait les domaine, utilisateur et poste de travail déclarés à partir des messages NTLM de type 3.
Elle ne valide pas les mots de passe.
Elle ne stocke pas les challenges.
Elle enregistre uniquement l'identité déclarée et les métadonnées de la requête.
Ceci est utile pour confirmer lorsqu'un scanner ou un flux de dépannage provoque une authentification NTLM sortante via HTTP.
Important : Doit être publié sur le port 80 de l'hôte. Si vous le publiez sur un port différent, la validation peut échouer.
./run.sh
tail -f data/scan.log
src/index.php est entièrement autonome et peut fonctionner comme un point de terminaison autonome sur tout serveur web capable d'exécuter PHP (par exemple, Apache + mod_php, Nginx + PHP-FPM, ...).
Copiez index.php dans votre racine web (ou dans un hôte virtuel dédié), par exemple :
Apache : /var/www/html/index.phpNginx : votre racine de site, servie via PHP-FPMAssurez-vous que l'utilisateur du processus peut écrire dans le fichier journal (par défaut : ../scan.log)