CVE-2024-21413 — Outlook Moniker Link (Lab / PoC)

교육용 랩 노트와 CVE-2024-21413 공격 흐름을 통제된 환경(TryHackMe 스타일 랩)에서 시연하는 소규모 개념 증명(PoC)입니다.

⚠️ 교육 목적으로만 사용하세요. 소유하지 않았거나 명시적 테스트 허가를 받지 않은 시스템에 대해 사용하지 마십시오.

---

개요

Microsoft Outlook은 HTML 이메일을 렌더링하고 다양한 URL 스킴을 처리할 수 있습니다. 이 랩은 file:// 스킴과 특수 문자(!)를 사용하여 조작된 Moniker Link가 Outlook의 Protected View 동작을 우회하고 SMB 인증 시도를 트리거하여 피해자의 netNTLMv2 해시를 유출할 가능성이 있는 방법을 탐구합니다.

---

실습 내용

• 악성 file:// Moniker Link가 포함된 HTML 이메일 제작
• Moniker Link에서 ! 문자 동작 이해
• Python(SMTP)을 사용한 HTML 이메일 전송
• Responder를 사용한 netNTLMv2 해시 캡처
• 높은 수준의 탐지 및 완화 논의

---