LDAP Nom Nom

اكتشاف أسماء مستخدمين نشطة في Active Directory بهدوء وبشكل مجهول بسرعات هائلة من وحدات تحكم المجال باستخدام طلبات LDAP Ping (cLDAP)

يبحث عن حسابات المستخدمين العادية المفعلة. لا يتم إنشاء سجلات تدقيق Windows. سرعة عالية تصل إلى ~50 ألف طلب في الثانية لكل خادم - يمكنك تجاوز ذلك كثيرًا باستخدام خوادم متعددة بالتوازي!

• يحاول الكشف التلقائي عن DC من متغيرات البيئة على الأجهزة المنضمة للمجال أو يتراجع إلى لاحقة DNS FQDN لاسم المضيف
• يقرأ أسماء المستخدمين لاختبارها من stdin (افتراضي) أو من ملف
• يخرج النتائج إلى stdout (افتراضي) أو إلى ملف
• متوازي، اتصالات متعددة بخوادم متعددة (الافتراضي: 8 خوادم، 8 اتصالات لكل خادم)
• يعرض شريط تقدم إذا كنت تستخدم ملفات الإدخال والإخراج معًا
• مناورات مراوغة: استخدم --throttle 20 لتأخير 20 مللي ثانية بين كل طلب (يبطئ كل شيء بشكل كبير)
• مناورات مراوغة: استخدم --maxrequests 1000 لإغلاق الاتصال وإعادة الاتصال بعد 1000 طلب في كل اتصال (محاولة لتجنب الكشف بناءً على حجم المرور)

تحميل الملفات الثنائية المبنية تلقائيًا من الإصدارات أو البناء والتثبيت باستخدام أمر Go هذا

go install github.com/lkarlslund/ldapnomnom@latest

الاستخدام

ldapnomnom [--server dc1.domain.suffix[,dc2.domain.suffix] | --dnsdomain domain.suffix] [--port number] [--tlsmode notls|tls|starttls] [--input filename] [--output filename] [--parallel number-of-connections] [--maxservers number-of-servers] [--maxstrategy fastest|random] [--throttle n] [--maxrequests n]

عرض الإصدار

ldapnomnom version

أمثلة على القوة العمياء

الاتصال بما يصل إلى 32 خادمًا من contoso.local مع 16 اتصالًا لكل خادم - سريع جدًا جدًا

ldapnomnom --input 10m_usernames.txt --output multiservers.txt --dnsdomain contoso.local --maxservers 32 --parallel 16

الاتصال بخادم واحد محدد مع 4 اتصالات

ldapnomnom --input 10m_usernames.txt --output results.txt --server 192.168.0.11 --parallel 4

ابحث عن قوائم أسماء المستخدمين لتغذيتها في هذا الأداة في مكان آخر - على سبيل المثال قائمة الـ 10 مليون من هنا

استخراج سمات rootDSE

يمكنك أيضًا استخدام LDAP Nom Nom لتفريغ السمات من كائن rootDSE، عن طريق إضافة الخيار --dump.

الاتصال بجميع الخوادم التي يمكنك العثور عليها، وإخراج جميع السمات القابلة للقراءة إلى JSON:

ldapnomnom --output rootDSEs.json --dump

الكشف

• لا يتم إنشاء أي شيء أصلي في سجلات أحداث Windows (تم اختباره على Windows 2016 / 2019)
• يضيف Microsoft Defender for Identity 2.228 (فبراير 2024) معرّف الحدث 2437 ويتم تشغيله إذا تجاوز عدد الطلبات الفاشلة (أي التخمينات الخاطئة لأسماء المستخدمين) حدًا غير معروف
• يمكن أيضًا استخدام المراقبة المخصصة على مستوى الشبكة (تحليل LDAP غير المشفر أو حجم المرور لـ LDAPS)، على الرغم من أنها غير موثوقة

التخفيف

• لا يوجد، هذا جزء من ميزات dcLocator
• أعد تسمية حساب المسؤول الخاص بك
• قم بتدقيق الحسابات لمعرفة ما إذا كانت كلمة المرور مماثلة لاسم المستخدم
• منع هجمات Kerberoasting عن طريق إزالة SPNs من أكبر عدد ممكن من الحسابات
• استخدم كلمات مرور طويلة ومعقدة للحسابات التي تحتوي على SPNs

التاريخ

خلال نقاش على تويتر حول تحديد موقع خدمات Kerberos، أشار أحدهم إلى وجود طلبات LDAP Ping. وهي موثقة في صفحات المواصفات المفتوحة من Microsoft، وتحتوي على كود زائف لكيفية بدء LDAP Ping، والمعلمات التي يأخذها والبيانات التي يعيدها. بدا واضحًا على الفور أن هناك تسربًا للمعلومات هنا يمكن استغلاله.

بعد إصدار الأداة، أستطيع أن أرى أنني لست الوحيد الذي لاحظ هذا "الخطأ" الذي لا يزال موجودًا لأسباب التوافق الخلفي التاريخي.

إذا كنت ترغب في تجنب الكشف على مستوى الشبكة كمهاجم، فيجب عليك استخدام TLS على المنفذ 636 (الأداة تستخدم LDAP غير المشفر على المنفذ 389 افتراضيًا).

إذا كنت تحب Active Directory، فقد تعجبك أيضًا أداة رسم بياني للهجمات Adalanche