CVE-2025-24054 和 CVE-2025-24071 - 通过 .library-ms 漏洞泄露 NTLM 哈希

该 PoC 演示了在未修补的 Windows 系统（2025 年 3 月补丁星期二）上通过 .library-ms 文件利用 NTLM 哈希泄露。

⚠️ 本内容仅供教育和研究目的使用。请勿在生产环境或未经授权的系统上使用。

🧠 描述

当在 Windows 资源管理器中打开（或预览）包含 UNC 路径的 .library-ms 文件时，会触发向指定服务器发送 SMB 认证请求，导致 NTLMv2 哈希泄露。

📁 文件

• generate_library_ms.py：生成恶意的 .library-ms 文件
• xd.library-ms：示例恶意文件（指向可配置的 SMB 服务器）
• Instructions_Responder.md：如何使用 Responder 设置虚假 SMB 服务器

🧪 如何测试

1. 在攻击者机器上启动 Responder：

   root@kitploit:~

   sudo responder -I eth0
   

2. 在受害者 Windows 虚拟机上：

   • 下载或生成 .library-ms 文件
   • 在文件资源管理器中预览该文件

3. 在攻击者端：

   • 在 Responder 的输出中观察捕获的 NTLM 哈希

📸 演示

PoC Demo

📚 参考

• Check Point Research – CVE-2025-24054 分析
• Microsoft 补丁说明（2025 年 3 月）

✅ 缓解措施

• 应用 Microsoft 2025 年 3 月补丁
• 尽可能禁用 NTLM
• 教育用户避免与来自不受信任来源的 .library-ms 文件进行交互

🧑‍💻 作者

PoC 由 Helidem 创建