ntlm_theft
一个用于生成多种类型的 NTLMv2 哈希窃取文件的工具。
ntlm_theft 是一个 开源 Python3 工具,可生成 23 种不同类型的哈希窃取文档。这些文档可用于钓鱼攻击,条件是目标允许其网络外部的 SMB 流量,或者您已经进入内部网络。
这些文件类型的优势在于,它们都使用"预期功能"构建,而宏基础的文档或利用文档则不具备此功能。在 2020 年 6 月,这些文件都未被 Windows 防护软件标记为恶意软件,其中 21 次攻击中的 17 次都在完全补丁的 Windows 10 主机上成功。
ntlm_theft 支持以下攻击类型:
- 浏览包含 .url 的文件夹 - 通过 URL 字段
- 浏览包含 .url 的文件夹 - 通过 ICONFILE 字段
- 浏览包含 .lnk 的文件夹 - 通过 icon_location 字段
- 浏览包含 .scf 的文件夹 - 通过 ICONFILE 字段（在最新的 Windows 上不起作用）
- 通过 OPEN 字段打开 autorun.inf（在最新的 Windows 上不起作用）
- 通过 IconResource 字段打开 desktop.ini（在最新的 Windows 上不起作用）
- .bat - Windows 命令脚本
- 打开文档
- .xml - 通过 Microsoft Word 外部样式表
- .xml - 通过 Microsoft Word includepicture 字段
- .htm - 通过 Chrome、IE 和 Edge 的 img src（仅在本地打开，不托管）
- .docx - 通过 Microsoft Word includepicture 字段
- .docx - 通过 Microsoft Word 外部模板
- .docx - 通过 Microsoft Word frameset webSettings
- .xlsx - 通过 Microsoft Excel 外部单元格
- .wax - 通过 Windows Media Player 播放列表（更好，为首选打开）
- .asx - 通过 Windows Media Player 播放列表（更好，为首选打开）
- .m3u - 通过 Windows Media Player 播放列表（更差，在 Groovy 中先打开）
- .jnlp - 通过 Java 外部 jar 文件
- .application - 通过任何浏览器（必须通过浏览器下载或无法运行）
- .odt - OpenDocument Text
使用案例 (为什么要运行此工具)