CVE-2025-1868: مختبِر HTTP لتسريب NTLM في Advanced IP Scanner و Advanced Port Scanner

تطبيق PHP صغير مُعبأ في Docker يعمل على تحفيز مصافحة NTLM ويستخرج القيم المُدّعاة domain و user و workstation من رسائل NTLM Type 3.

إنه لا يتحقق من كلمات المرور.
إنه لا يخزّن التحديات.
يسجّل فقط الهوية المُدّعاة والبيانات الوصفية للطلب.

هذا مفيد لتأكيد ما إذا كان أحد الماسحات الضوئية أو سير عمل استكشاف الأخطاء يسبب مصادقة NTLM صادرة عبر HTTP.

مهم: يجب نشره على المنفذ 80 للمضيف. إذا نشرته على منفذ مختلف، فقد يفشل التحقق.

+معلومات: https://labs.itresit.es/2026/01/03/cve-2025-1868-unpatched-advanced-ip-scanner-silently-exposes-ntlm-during-scans/

1. التشغيل في وضع Docker

./run.sh

السجلات

tail -f data/scan.log

2. النشر المستقل

إن src/index.php مكتفٍ ذاتيًا بالكامل ويمكن تشغيله كنقطة نهاية مستقلة على أي خادم ويب يمكنه تنفيذ PHP (مثل Apache + mod_php، Nginx + PHP-FPM، ...).

بدء سريع للنشر المستقل

1. انسخ index.php إلى جذر الويب الخاص بك (أو إلى مضيف افتراضي مخصص)، على سبيل المثال:

   • Apache: /var/www/html/index.php
   • Nginx: جذر موقعك، يتم تقديمه عبر PHP-FPM

2. تأكد من أن مستخدم العملية يمكنه الكتابة إلى ملف السجل (الافتراضي: ../scan.log)

3. المراجع

• https://nvd.nist.gov/vuln/detail/CVE-2025-1868
• https://www.cve.org/CVERecord?id=2025-1868
• https://www.incibe.es/incibe-cert/alerta-temprana/vulnerabilidades/cve-2025-1868
• https://labs.itresit.es/published-vulnerabilities/