CVE-2025-24071 PoC (SMB + Metodo di Estrazione TAR)

Questa è una PoC per sfruttare CVE-2025-24071, una vulnerabilità in Windows che consente la divulgazione dell'hash NTLM tramite file .library-ms. Questa versione si differenzia leggermente dalle altre utilizzando un archivio .tar invece di .zip, migliorando la compatibilità in ambienti solo SMB.

📌 Perché .tar invece di .zip?

La maggior parte delle PoC pubbliche utilizza .zip per impacchettare il file .library-ms dannoso. Tuttavia, se lavori in un ambiente SMB ristretto (ad esempio, solo accesso tramite smbclient), i file ZIP non possono essere estratti da remoto. Utilizzando un archivio .tar, puoi estrarre il payload direttamente dalla condivisione SMB usando il comando tar integrato in smbclient, consentendo il deploy remoto senza bisogno di interazione con l'utente.

---

🔧 Requisiti

• Macchina attaccante con:
  • Responder installato e in esecuzione
  • Un server SMB (es. Responder, impacket-smbserver o samba)
• Macchina vittima:
  • Windows con accesso SMB abilitato all'IP dell'attaccante

---

🧪 Passaggi

1. Avvia Responder

Avvia Responder sull'interfaccia corretta:

sudo responder -I <interface>

Assicurati che l'IP nel payload corrisponda a questa interfaccia.

2. Genera il .library-ms dannoso e impacchettalo in .tar

python3 create_tar_poc.py

Ti verrà chiesto di inserire:

• Un nome file (es. exploit)
• L'IP dell'attaccante (es. 192.168.1.100)

Questo genera:

• exploit.library-ms (all'interno di exploit.tar)
• exploit.tar

3. Carica ed estrai nella condivisione SMB della vittima

Dalla tua macchina attaccante, connettiti alla condivisione SMB della vittima usando smbclient:

smbclient //<victim_ip>/<sharename> -U <USERNAME>
put exploit.tar
tar x exploit.tar

Questo decomprimerà il .library-ms nella condivisione.

Quando exploit.tar viene estratto, il file .library-ms contenente un xml dannoso si connetterà al nostro SMB, che è il Responder attivo sulla nostra macchina, avviando così un tentativo di autenticazione utilizzando NTLM inviando una richiesta contenente il nome utente, il dominio e l'hash NTLM della password dell'utente, che possiamo successivamente decifrare.

📽️ Video PoC

Prossimamente...

🙏 Crediti

Daniel Miranda Barcelona alias Excal1bur | Basato sul lavoro originale di 0x6rss, adattato per deploy SMB basati su TAR in scenari di laboratorio.