CVE-2025-24054 PoC

CVE-2025-24054에 대한 간단한 개념 증명 – Windows 라이브러리(.library-ms) NTLM 해시 노출 취약점.

⚠️ 교육 및 승인된 랩 사용 전용

---

설명

CVE-2025-24054는 공격자가 특수하게 조작된 .library-ms 파일을 사용하여 Windows 시스템이 피해자의 Net-NTLMv2 해시를 유출하도록 강제할 수 있습니다.

피해자가 악성 .library-ms 파일이 포함된 ZIP을 추출하면 Windows 탐색기가 자동으로 SMB 연결을 시작하여 NTLM 해시를 유출합니다.

작동 방식

1. 공격자는 자신의 머신을 가리키는 UNC 경로가 포함된 악성 .library-ms 파일을 생성합니다.
2. 파일은 ZIP 압축 파일 안에 전달됩니다.
3. 피해자가 ZIP 파일을 추출합니다.
4. Windows 탐색기가 자동으로 라이브러리를 로드하려고 시도하여 NTLM 인증 요청을 트리거합니다.
5. 공격자는 Responder를 사용하여 Net-NTLMv2 해시를 캡처합니다.

1. 사용법

python poc.py -i YOUR-IP

2. Responder 시작 (공격자 머신)

sudo responder -I eth0