ResetNightmare

أداة إثبات المفهوم (POC) لثغرة ResetNightmare (CVE-2026-27912).

ResetNightmare هي خلل في التحقق في بروتوكول Kerberos لتغيير كلمة المرور (Change Password protocol)، يسمح بإعادة تعيين كلمة مرور أي حساب مستخدم/كمبيوتر مستهدف دون معرفة كلمة المرور الحالية. يتطلب الهجوم وحدة تحكم مجال غير محدّثة، والقدرة على كتابة userPrincipalName (UPN) على أي حساب تتحكم فيه. بدلاً من ذلك، يمكن أيضاً استغلال الثغرة من قبل مهاجم لديه القدرة على إنشاء مستخدمين/أجهزة كمبيوتر جديدة في أي وحدة تنظيمية (OU)، إذ إن إنشاء مستخدم/جهاز كمبيوتر يمنحك صلاحيات GenericWrite عليه.

تسلسل الهجوم

يعمل هذا السكربت على أتمتة تسلسل الهجوم بالكامل وينظف آثاره بنفسه بعد ذلك. تسلسل الهجوم كما يلي:

1. يمتلك المهاجم مستخدماً أو جهاز كمبيوتر يمكنه كتابة UPN عليه. يمكن توفير هذا الحساب أو إنشاؤه باستخدام -CreateNewPath.
2. يقوم المهاجم بتعيين UPN للحساب الذي يتحكم فيه إلى sAMAccountName الخاص بالهدف، على سبيل المثال "Administrator".
3. يمكن للمهاجم بعد ذلك طلب TGT لاسم المستخدم "Administrator"، مع نوع اسم NT-ENTERPRISE. سيتم طلب هذا TGT إلى SPN الخاص بـ kadmin/changepw.
4. يقوم المهاجم بمسح UPN الخاص بحسابه، ليبقى الهدف فقط مع UPN يُحل إلى المهاجم نفسه.
5. يستخدم المهاجم بعد ذلك TGT الذي بحوزته لإعادة تعيين كلمة المرور للمستخدم "Administrator"، دون أن يعرف القيمة السابقة إطلاقاً.
6. إذا نجح الهجوم، يتم تغيير كلمة مرور الهدف، ويمكن للمهاجم الآن المصادقة باستخدام بيانات الاعتماد الجديدة.

يمكن استهداف كل من حسابات المستخدمين وأجهزة الكمبيوتر.

المتطلبات

• نظام Windows مع PowerShell.
• وحدة PowerShell الخاصة بـ ActiveDirectory.
• يستخدم السكربت Rubeus.exe، تم اختباره مع Rubeus مُجمّعاً على .NET Framework 4.6.2. ضعه في الدليل الحالي، أو حدد مساره باستخدام -RubeusPath.
• إما:
  • حساب مجال تتحكم فيه ويمكنك كتابة UPN عليه.
  • صلاحية إنشاء حسابات في وحدة تنظيمية/حاوية (محددة باستخدام -CreateNewPath).
• وحدة تحكم مجال غير محدّثة لاستهدافها. يمكن تحديدها باستخدام -DC.

الاستخدام

قم بتحميل السكربت في الجلسة (Dot-source) لتحميل الدالة، ثم استدعها:

. .\ResetNightmare.ps1

Invoke-ResetNightmare `
    -TargetAccount "victim" `
    -TargetNewPassword "NewP@ssw0rd!" `
    -UPNUser "controlledUser" `
    -UPNUserPassword "ControlledP@ss!"

استهداف حساب جهاز كمبيوتر

استخدم sAMAccountName (المنتهي بـ $) للمعامل -TargetAccount:

Invoke-ResetNightmare `
    -TargetAccount 'server$' `
    -TargetNewPassword "NewP@ssw0rd!" `
    -UPNUser "controlledUser" `
    -UPNUserPassword "ControlledP@ss!"

إنشاء حساب مُتحكَم به جديد

إذا كان لديك صلاحية إنشاء كائنات في وحدة تنظيمية/حاوية، يمكنك تحديد الاسم المميز (DN) للوحدة التنظيمية/الحاوية باستخدام -CreateNewPath. عند تحديده، يتم التعامل مع -UPNUser و -UPNUserPassword كبيانات اعتماد الحساب المراد إنشاؤه، بدلاً من حساب موجود في المجال:

Invoke-ResetNightmare `
    -TargetAccount "victim" `
    -TargetNewPassword "NewP@ssw0rd!" `
    -UPNUser "attackerAcct" `
    -UPNUserPassword "AttackerP@ss!" `
    -CreateNewPath "OU=Temp,DC=demo,DC=lab"

أضف -Computer لإنشاء/استخدام حساب جهاز كمبيوتر بدلاً من حساب مستخدم.

المعاملات

إخلاء مسؤولية
هذا المحتوى مقدم للأغراض التعليمية والإعلامية فقط. يهدف إلى تعزيز الوعي والمعالجة المسؤولة للثغرات الأمنية التي قد تكون موجودة على الأنظمة التي تملكها أو مخوّل باختبارها. يُحظر تماماً الاستخدام غير المصرح به لهذه المعلومات لأغراض خبيثة أو الاستغلال أو الوصول غير القانوني. لا يؤيد المؤلفون أي نشاط غير قانوني ولا يتغاضون عنه، ويتنصلون من أي مسؤولية ناتجة عن إساءة استخدام هذه المادة. بالإضافة إلى ذلك، لا يضمن المؤلفون دقة أو اكتمال المحتوى ولا يتحملون أي مسؤولية عن أي أضرار ناتجة عن استخدامه.