CVE-2024-21413 – Microsoft Outlook Moniker Link 漏洞

---

概述

本仓库记录了我对 CVE-2024-21413 (Moniker Link) 的动手分析，这是一个严重的 Microsoft Outlook 漏洞，可绕过受保护视图（Protected View），通过 SMB 认证泄露 Windows NetNTLMv2 凭据。

严重性： 严重 (CVSS 9.8)

---

学习目标

• 了解 Moniker Links
• 学习 Outlook 受保护视图的工作原理
• 分析 CVE-2024-21413
• 捕获 NTLM 凭据
• 检测恶意电子邮件
• 应用缓解策略

---

漏洞详情

字段	值
CVE	CVE-2024-21413
发布时间	2024 年 2 月 13 日
厂商	Microsoft
严重性	严重
CVSS	9.8
影响	凭据泄露与潜在 RCE
攻击复杂度	低

---

攻击流程

Attacker
    │
    ▼
Malicious HTML Email
    │
    ▼
Victim Clicks Moniker Link
    │
    ▼
Protected View Bypass
    │
    ▼
SMB Authentication
    │
    ▼
Responder
    │
    ▼
NetNTLMv2 Hash Captured

---

实验室环境

• TryHackMe AttackBox
• 易受攻击的 Windows 机器
• Microsoft Outlook
• Python PoC
• Responder
• Wireshark

---

利用步骤

1. 配置 Python PoC
2. 修改攻击者 IP
3. 配置 SMTP 服务器
4. 启动 Responder
5. 发送恶意电子邮件
6. 受害者点击 Moniker Link
7. 发生 SMB 认证
8. 捕获 NetNTLMv2 哈希

---

检测

YARA

检测：

• file://
• 可疑的 HTML 超链接
• Moniker Link 利用尝试

网络检测

• SMB 认证请求
• 意外的出站 SMB 流量
• NetNTLMv2 认证事件

工具

• YARA
• Wireshark
• Responder

---

缓解措施

• 安装 Microsoft 2024 年 2 月安全更新
• 保持 Office 更新
• 教育用户防范网络钓鱼
• 点击前验证超链接
• 监控 SMB 流量
• 在适当情况下限制出站 SMB

---

学到的技能

• 漏洞分析
• Outlook 安全
• 电子邮件安全
• NTLM 认证
• 凭据窃取
• SMB 协议
• Responder
• YARA 检测
• Wireshark 分析
• 事件检测

---

关键要点

• Outlook 受保护视图可被绕过。
• Moniker Links 滥用 Windows COM 功能。
• SMB 认证会泄露 NetNTLMv2 哈希。
• 补丁管理是最有效的防御手段。
• 检测需要同时进行端点与网络监控。

---

参考资料

• Microsoft 安全公告
• Check Point Research
• TryHackMe – Moniker Link (CVE-2024-21413)

---

⭐ 如果你觉得本仓库有用，欢迎 star，并在 LinkedIn 上与我联系，我将继续记录我的网络安全学习之旅。