Bitte führe dies nur gegen Systeme aus, die dir gehören oder für die du ausdrücklich autorisiert bist, zu testen. Das Verzeichnis von jemand anderem ohne Erlaubnis zu enumerieren, ist nicht in Ordnung, und je nachdem, wo du bist, kann es illegal sein.

Es gibt zwei Versionen, die sich identisch verhalten. Verwende die Bibliothek, die du hast:

• adnullenum.py — basiert auf impacket.

Was es sammelt

• Benutzer, Computer und Gruppen. Maschinenkonten (die, die auf $ enden), werden von echten Benutzern getrennt.
• Vollständige Details pro Benutzer. Beschreibung, Gruppenmitgliedschaften, Passwort- und Anmelde- Zeitstempel, Kontofahnen und Anmeldebeschränkungen (Anmeldezeiten, erlaubte Arbeitsstationen, Ablauf).
• Gruppen mit ihren Mitgliedern, aufgelöst zu echten Namen.
• Domänen- und Richtlinieninformationen. Domänenname, SID, Serverrolle, die tatsächlichen Benutzer-/Gruppen-/Computerzahlen und die Passwort- und Sperrrichtlinie.
• LSA-/DNS-Details. DNS-Domänen- und Gesamtstruktur-Name, Domänen-GUID, Domänen-SID und etwaige Vertrauensstellungen – diese kommen oft auch dann zurück, wenn SAMR selbst gesperrt ist.

Es markiert außerdem interessante Konten für dich: Dinge wie „Passwort nicht erforderlich“, „Passwort läuft nie ab“, AS-REP-roastable, unconstrained delegation, nie angemeldet oder eine Beschreibung, die ein Passwort erwähnt.

Ein paar Dinge, die sich daraus natürlich ergeben:

• Die Benutzernamen, die du sammelst, sind deine Liste für AS-REP Roasting.
• Die Computernamen sind deine Liste für Pre-Windows-2000-Maschinenkonto- Prüfungen.

Wie es sich vergleicht

Alles hier ist Standard-anonymes SAMR/LSARPC, und die etablierten Tools erreichen bereits dieselben Daten. Dies ist ein Komfort-Wrapper, keine neue Fähigkeit, daher lohnt es sich, die Alternativen zu kennen:

• enum4linux-ng ist das nächste Äquivalent: Null-Session-SAMR + LSA, RID-Cycling, Richtlinie, Benutzer und Gruppen. Wenn du ein ausgereiftes, weit verbreitetes Tool willst, verwende es. adnullenum überschneidet sich stark damit.
• NetExec (--rid-brute, --users, --pass-pol) deckt dieselbe Enumeration innerhalb eines viel größeren Frameworks ab.
• impacket liefert es als zwei Skripte: samrdump.py (Benutzer/Gruppen/Aliase + Details pro Benutzer) und lookupsid.py (RID-Cycling über LSA). Kein einzelner Durchlauf, kein SAMR→LSA-Fallback, nur stdout.
• rpcclient legt die zugrunde liegenden Aufrufe offen (queryuser, enumdomusers, querydominfo, lsaquery, lookupsids, …), aber interaktiv und nur stdout. Sein enumdomusers listet Standardbenutzer nach Namen auf, keine Maschinen- ($) Konten, und vollständige Details gibt es mit queryuser einzeln. Ohne eingebaute RID-Cycling-Schleife kann es Computer nicht wiederherstellen oder eingeschränkte Enumeration umgehen. Siehe Manuell durchführen.

Was adnullenum hinzufügt, ist die Verpackung: ein Null-Session-Durchlauf statt mehrerer Tools, SAMR-first mit einem optionalen LSA-Fallback, kuratierte Flags für interessante Konten und ordentliche Multi-Format-Ausgabe, die du direkt an den nächsten Schritt weitergeben oder später erneut öffnen kannst. Wenn dieser Workflow zu deiner Arbeitsweise passt, verwende es; wenn du lieber ein kampferprobtes Tool möchtest, greife zu enum4linux-ng oder NetExec.

Installation

Du brauchst Python 3.9+ und eine SMB-Bibliothek. Eine virtuelle Umgebung hält es ordentlich:

Das war's. Führe python3 adnullenum.py --help aus, um alles zu sehen.

Verwendung

Alles läuft über einen einzigen --mode. Der Standard ist recon, was das Sicherste ist, was man zuerst ausführt.

Konten finden

Wenn die Domäne dich Benutzer nicht direkt auflisten lässt (häufig), fällt das Tool auf RID-Cycling zurück: Es bittet den DC, Konto-IDs in Stapeln von 1000 in Namen zu übersetzen. Standardmäßig tastet es aufwärts ab, bis es alles gefunden hat, was der DC als existierend angibt, oder bis 5000 IDs in Folge leer zurückkommen. Du kannst es stattdessen auf einen exakten Bereich festlegen:

Wenn SAMR gesperrt ist

Einige DCs verweigern anonymes SAMR vollständig (enumdomains und RID-Übersetzung kommen als ACCESS_DENIED zurück). Der Durchlauf gibt nicht auf:

• LSA-Recon läuft immer. Der Domänenname, die SID und oft die Gesamtstruktur, GUID und Vertrauensstellungen kommen aus \lsarpc, das häufig antwortet, wenn SAMR es nicht tut.
• RID-Cycling kann auf LSA zurückfallen (optional). Wenn SAMR RIDs nicht übersetzen will und du --lsa-fallback übergibst, wiederholt das Tool denselben Sweep über LSA LsarLookupSids unter Verwendung der Domänen-SID, was dir immer noch das Konto- Inventar liefert (Namen und Typen, einschließlich Computer). Es ist standardmäßig deaktiviert, weil es ein zweiter Brute-Force-Durchlauf ist; ohne das Flag stoppt der Durchlauf beim Recon und sagt es dir.
• Tiefe Details pro Benutzer und Gruppenmitgliedschaft benötigen SAMR. Wenn SAMR blockiert ist, werden diese Phasen übersprungen und vermerkt; du bekommst trotzdem das Inventar aus Namen/Typen.
• Wenn LSA-Lookups ebenfalls blockiert sind, degradiert der Durchlauf auf nur Recon (Domänenname und SID). Bei einem solchen Ziel wird kein anonymes Tool die Konten enumerieren.

Nicht zweimal brute-forcen

Das Finden der Konten ist der langsame Teil, daher speichert das Tool die Liste (rids.txt) im Ausgabeordner jedes Durchlaufs. Richte einen späteren Durchlauf mit --session auf diesen Ordner und es überspringt das Brute-Forcing und verwendet wieder, was du bereits gefunden hast:

--session nimmt den Ordner eines vorherigen Durchlaufs. (--rid-file macht dasselbe aus einer einfachen Textdatei mit einer RID pro Zeile.)

Ausgabe

Jeder Durchlauf legt einen zeitgestempelten Ordner unter output/ ab:

txt und csv werden immer geschrieben; füge --json für einen json/-Ordner hinzu.

Der Ordner lists/ enthält zwei einfache Dateien, die dafür gemacht sind, direkt andere Tools zu versorgen:

• lists/userlist.txt — direkt einsetzbar für AS-REP Roasting, Password Spraying oder die --users-Liste eines Crackers. Im Modus users/full enthält sie nur aktivierte Konten; im Modus rids (keine Details pro Benutzer) ist es jeder Benutzer.
• lists/computerlist.txt — Maschinenkontonamen mit beibehaltenem $ (der sAMAccountName), für Pre-Windows-2000-Maschinenkonto-Prüfungen.

Hast du vergessen, sie anzusehen, oder nur rids ausgeführt und willst jetzt die Listen? Richte es auf den Ordner des Durchlaufs und sie werden aus den CSVs neu erstellt, ohne Netzwerk:

Auf dem Bildschirm bekommst du eine begrenzte Vorschau, damit eine große Domäne dein Terminal nicht überflutet (--limit, Standard 100 pro Abschnitt) – die Dateien enthalten immer die vollständigen Daten. Farbe ist an, wenn du an einem Terminal bist; --no-color schaltet sie aus.

Beispiel

Ein full-Durchlauf gegen einen Test-DC (bereinigt). Auf dem Bildschirm bekommst du Recon, den RID- Sweep, die Zusammenfassung der interessanten Konten und die Liste der geschriebenen Dateien:

Ein einzelner Datensatz aus txt/users.txt (die primäre Gruppe und direkte Gruppen sind zu Namen aufgelöst):

Manuell durchführen

Alles hier ist Standard-SAMR/LSARPC, sodass du dieselben Fakten einen Aufruf nach dem anderen mit Sambas rpcclient abrufen kannst. Verbinde dich zuerst anonym:

enumdomusers gibt Standardbenutzerkonten nur nach Namen zurück; Maschinen- ($) Konten werden herausgefiltert, und vollständige Details bedeuten, queryuser Konto für Konto auszuführen. rpcclient hat keine eingebaute RID-Cycling-Schleife, sodass es die Maschinen- konten (oder irgendetwas anderes) nicht wiederherstellen kann, wenn die serverseitige Enumeration eingeschränkt ist; du müsstest lookupsids selbst über einen Bereich skripten. Es hat außerdem keinen Befehl für die Sperrrichtlinie und gibt nicht die LSA-DNS-/Forest-/GUID- oder Vertrauensstellungsinformationen zurück, weshalb dieses Tool PolicyDnsDomainInformation direkt abfragt.

Für skriptgesteuerte Äquivalente und wie dieses Tool mit ihnen zusammenhängt, siehe Wie es sich vergleicht.

Gegenmaßnahmen

Wenn du auf der blauen Seite bist und das abschalten willst, ist der anonyme Pfad die Sache, die geschlossen werden muss:

• Aktiviere „Keine anonyme Enumeration von SAM-Konten zulassen“ und „…Konten und Freigaben“ (die Einstellungen RestrictAnonymousSAM / RestrictAnonymous).
• Entferne Anonymous Logon (und Everyone) aus der Gruppe Pre-Windows 2000 Compatible Access. Dies ist normalerweise der Grund, warum Null-Session-RID-Cycling auf einem Domänencontroller funktioniert.
• Setze „Everyone-Berechtigungen auf anonyme Benutzer anwenden“ auf Deaktiviert und beschränke den anonymen Zugriff auf Named Pipes.
• Erfordere SMB-Signierung und deaktiviere SMBv1.

Nichts davon hindert einen angemeldeten Benutzer daran, dieselben Daten zu lesen – das ist normal und zu erwarten. Es schließt nur den Pfad ohne Anmeldedaten.

Erkennung

• Aktiviere SAM-/Verzeichnisobjekt-Auditing und achte auf einen Ausbruch von Ereignis 4661 / 4662 (ein Handle auf ein SAM- oder Verzeichnisobjekt) von einer Maschine in einem kurzen Zeitfenster.
• Achte auf viele anonyme Anmeldungen (Ereignis 4624, Anmeldetyp 3, das ANONYMOUS LOGON-Konto) und IPC$-Aktivität (5140 / 5145).
• Das verräterische Zeichen ist das Volumen von einer einzigen Quelle: viele Konto-ID-Lookups gegen \samr oder Richtlinien-/Lookup-Aufrufe gegen \lsarpc in kurzer Zeit.
• Da --sleep und --jitter die Aufrufe verteilen können, alarmiere auf die Gesamt- anzahl über ein Zeitfenster statt nur auf die Rate.

Hinweise

• Es wird nur Port 445 verwendet — dies berührt nicht den RPC-Endpoint-Mapper auf 135.
• Wenn die SAMR-RID-Übersetzung als ACCESS_DENIED zurückkommt, füge --lsa-fallback hinzu, um LSA LsarLookupSids für das Inventar zu versuchen (siehe „Wenn SAMR gesperrt ist“). Wenn auch LSA- Lookups blockiert sind, ist nur Recon (Domänenname + SID) möglich.

Lizenz

MIT. Siehe LICENSE.