CVE-2025-33073 Скрипт проверки

Этот черновой PoC-скрипт проверки проверяет цели на уязвимость CVE-2025-33073, пытаясь выполнить NTLM-рефлексионные атаки с использованием принуждения аутентификации NTLM через samba RPC. Для этого вам нужна учётная запись с доступом к samba.

Также вам нужно зарегистрировать домен localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA на IP-адрес атакующего, как описано ниже во внутреннем DNS Windows. По умолчанию это разрешено любой учётной записи в домене. Также можно использовать отравление LLMNR вместо этого.

Перед запуском этого скрипта убедитесь, что вы понимаете, как работает атака; смотрите объяснение здесь.

Usage

# Usage: ./CVE-2025-33073-checker.sh -u USERNAME -p PASSWORD -d DOMAIN -i IP_FILE
# Example: 
./CVE-2025-33073-checker.sh -u Administrator -p Password123 -d example.local -i samba_list_ips.txt

Setup

• Установите crackmapexec, netcat и python3
• Поместите PetitPotam.py в ту же директорию, что и этот скрипт
• Зарегистрируйте домен localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA на IP-адрес атакующего в DDNS. Вы можете использовать dnstool.py или powermad.

Resources

• https://www.synacktiv.com/en/publications/ntlm-reflection-is-dead-long-live-ntlm-reflection-an-in-depth-analysis-of-cve-2025
• https://github.com/mverschu/CVE-2025-33073
• https://github.com/topotam/PetitPotam