CVE-2025-24054 和 CVE-2025-24071 - 通过 .library-ms 利用的 NTLM 哈希泄漏

本 PoC 演示了在未打补丁的 Windows 系统（2025 年 3 月星期二补丁）上通过 .library-ms 文件利用 NTLM 哈希泄漏。

⚠️ 仅用于教育和研究目的。请勿在生产环境或未经授权的系统上使用。

🧠 描述

当在 Windows 资源管理器中打开（或预览）包含 UNC 路径的 .library-ms 文件时，会触发向指定服务器发送 SMB 身份验证请求，从而泄漏 NTLMv2 哈希。

📁 文件

• generate_library_ms.py：生成恶意的 .library-ms 文件
• xd.library-ms：示例恶意文件（指向可配置的 SMB 服务器）
• Instructions_Responder.md：如何使用 Responder 设置虚假 SMB 服务器

🧪 如何测试

1. 在攻击者机器上启动 Responder：

   sudo responder -I eth0
   

2. 在受害者的 Windows 虚拟机上：

   • 下载或生成 .library-ms 文件
   • 在文件资源管理器中预览它

3. 在攻击者端：

   • 在 Responder 的输出中观察捕获的 NTLM 哈希

📸 演示

PoC Demo

📚 参考

• Check Point Research – CVE-2025-24054 分析
• Microsoft 补丁说明（2025 年 3 月）

✅ 缓解措施

• 应用 Microsoft 2025 年 3 月的补丁
• 在可能的情况下禁用 NTLM
• 教育用户不要与来自不可信来源的 .library-ms 文件交互

🧑‍💻 作者

PoC 由 Helidem 创建