CVE-2024-21413 | Microsoft Outlook 远程代码执行漏洞 PoC

📜 描述

该脚本提供了 CVE-2024-21413 的概念验证（PoC），这是 Microsoft Outlook 中发现的一个严重安全漏洞，CVSS 评分为 9.8。该漏洞被称为 #MonikerLink 漏洞，影响深远，包括潜在的本地 NTLM 信息泄露和远程代码执行的可能性。此外，它突显了一种可能绕过 Office 受保护视图的攻击向量，从而将威胁扩展到其他 Office 应用程序。

🚀 用法

请负责任地使用此工具，并确保您已获得目标系统所有者的授权。该脚本需要 SMTP 身份验证才能发送电子邮件，从而绕过 SPF、DKIM 和 DMARC 检查，这有助于更有效地模拟真实世界的攻击场景。

python CVE-2024-21413.py --server "<SMTP 服务器>" --port <SMTP 端口> --username "<SMTP 用户名>" --password "<SMTP 密码>" --sender "<发件人邮箱>" --recipient "<收件人邮箱>" --url "<链接 URL>" --subject "<邮件主题>"

参数：

• --server：SMTP 服务器主机名或 IP。
• --port：SMTP 服务器端口。
• --username：用于身份验证的 SMTP 服务器用户名。
• --password：用于身份验证的 SMTP 服务器密码。
• --sender：发件人邮箱地址。
• --recipient：收件人邮箱地址。
• --url：要包含在邮件中的恶意路径。
• --subject：邮件主题。

初始发送

Outlook 中的显示（无警告，无受保护视图）

Wireshark 捕获包含 NTLM 凭据（您也可以使用 impacket 运行）

🧐 为什么需要 SMTP 身份验证？

SMTP 身份验证对于此演示至关重要，以确保发送的电子邮件能绕过常见的邮件验证检查，例如 SPF（发件人策略框架）、DKIM（域名密钥识别邮件）和 DMARC（基于域的消息身份验证、报告与一致性）。这些安全措施旨在检测并防止电子邮件欺骗（攻击者使用伪造地址发送邮件）。通过使用经过身份验证的 SMTP，该演示能更逼真地模拟高级攻击者如何绕过这些保护，使测试环境更加真实，并突显全面邮件安全实践的重要性。

演示

零点击 NTLM 泄漏

一键远程代码执行（RCE）

📆 更新日志

[2024年2月19日] - 新增零点击 NTLM 泄漏

• 确认并实现了零点击 NTLM 泄漏（感谢 JT！）
• 尚未发布

[2024年2月18日] - 新增一键 RCE

• 实现并确认了 Microsoft Outlook 远程代码执行（RCE）
• 尚未发布

[2024年2月16日] - 初始版本

• 初始版本，展示了 CVE-2024-21413 的利用方法。

鸣谢

• Checkpoint 完成了所有出色的研究。
• Microsoft 安全公告

📌 作者

Alexander Hagenah

• 网站
• Twitter
• LinkedIn

⚠️ 免责声明

此工具仅用于教育和道德测试目的。未经授权的扫描、测试或利用系统是非法且不道德的。请确保您已获得明确授权，才能对目标系统进行任何测试或利用活动。