سكربت فحص CVE-2025-33073

يقوم سكربت الفحص التقريبي هذا (PoC) باختبار الأهداف بحثًا عن ثغرة CVE-2025-33073 من خلال محاولة تنفيذ هجمات انعكاس NTLM باستخدام إجبار مصادقة NTLM عبر samba RPC، وللقيام بذلك تحتاج إلى حساب لديه صلاحية الوصول إلى السامبا.

تحتاج أيضًا إلى تسجيل نطاق localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA ليشير إلى عنوان IP الخاص بالمهاجم، كما هو موضح أدناه في نظام DNS الداخلي لويندوز. هذا الأمر مفعّل افتراضيًا لأي حساب في النطاق. كما يمكن استخدام تسميم LLMNR بدلًا من ذلك.

قبل تشغيل هذا السكربت، تأكد من فهمك لطريقة عمل الهجوم، راجع الشرح هنا.

الاستخدام

# Usage: ./CVE-2025-33073-checker.sh -u USERNAME -p PASSWORD -d DOMAIN -i IP_FILE
# Example: 
./CVE-2025-33073-checker.sh -u Administrator -p Password123 -d example.local -i samba_list_ips.txt

الإعداد

• ثبّت crackmapexec وnetcat وpython3
• ضع PetitPotam.py في نفس المجلد الذي يحتوي على هذا السكربت
• سجّل نطاق localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA ليشير إلى عنوان IP الخاص بالمهاجم في DDNS. يمكنك استخدام dnstool.py أو powermad

المصادر

• https://www.synacktiv.com/en/publications/ntlm-reflection-is-dead-long-live-ntlm-reflection-an-in-depth-analysis-of-cve-2025
• https://github.com/mverschu/CVE-2025-33073
• https://github.com/topotam/PetitPotam