CVE-2025-33073 检测脚本

这个粗略的 PoC 检测脚本通过尝试使用 samba RPC 进行 NTLM 认证强制，来对目标执行 NTLM 反射攻击，以检测 CVE-2025-33073 漏洞；为此，你需要拥有一个可访问 samba 的帐户。

此外，你还需要按照下文所述，在内部 Windows DNS 中将域名 localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA 注册到你的攻击者 IP。默认情况下，域中的任何帐户都可以执行此操作。也可以使用 LLMNR 投毒攻击 代替。

在运行此脚本之前，请确保你了解该攻击的工作原理，参见 此处 的说明。

用法

# Usage: ./CVE-2025-33073-checker.sh -u USERNAME -p PASSWORD -d DOMAIN -i IP_FILE
# Example: 
./CVE-2025-33073-checker.sh -u Administrator -p Password123 -d example.local -i samba_list_ips.txt

环境准备

• 安装 crackmapexec、netcat 和 python3
• 将 PetitPotam.py 放到与本脚本相同的目录中
• 在 DDNS 中将域名 localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA 注册到攻击者 IP。你可以使用 dnstool.py 或 powermad。

参考资料

• https://www.synacktiv.com/en/publications/ntlm-reflection-is-dead-long-live-ntlm-reflection-an-in-depth-analysis-of-cve-2025
• https://github.com/mverschu/CVE-2025-33073
• https://github.com/topotam/PetitPotam