Por favor, ejecuta esto solo contra sistemas que poseas o estés explícitamente autorizado a probar. Enumerar el directorio de otra persona sin permiso no está bien, y dependiendo de dónde estés puede ser ilegal.

Hay dos versiones que se comportan de forma idéntica. Usa la biblioteca que tengas:

• adnullenum.py — construido sobre impacket.

Qué recopila

• Usuarios, equipos y grupos. Las cuentas de máquina (las que terminan en $) se separan de los usuarios reales.
• Detalle completo por usuario. Descripción, pertenencia a grupos, marcas de tiempo de contraseña e inicio de sesión, flags de cuenta y restricciones de inicio de sesión (horas de inicio de sesión, estaciones de trabajo permitidas, expiración).
• Grupos con sus miembros, resueltos a nombres reales.
• Información del dominio y la política. Nombre del dominio, SID, rol del servidor, los recuentos reales de usuarios/grupos/equipos, y la política de contraseñas y bloqueo.
• Detalles de LSA / DNS. Nombre de dominio y bosque DNS, GUID del dominio, SID del dominio y cualquier trust — esto a menudo se devuelve incluso cuando SAMR está bloqueado.

También marca cuentas interesantes por ti: cosas como "contraseña no requerida", "la contraseña nunca expira", AS-REP-roastable, delegación sin restricciones, nunca inició sesión, o una descripción que menciona una contraseña.

Un par de cosas que se derivan naturalmente de esto:

• Los nombres de usuario que recopilas son tu lista para AS-REP roasting.
• Los nombres de equipo son tu lista para las comprobaciones de cuentas de máquina pre-Windows 2000.

Cómo se compara

Todo aquí es SAMR/LSARPC anónimo estándar, y las herramientas establecidas ya alcanzan los mismos datos. Esto es un envoltorio de conveniencia, no una nueva capacidad, así que vale la pena conocer las alternativas:

• enum4linux-ng es el equivalente más cercano: SAMR + LSA de sesión nula, RID cycling, política, usuarios y grupos. Si quieres una herramienta madura y ampliamente usada, úsala. adnullenum se solapa en gran medida con ella.
• NetExec (--rid-brute, --users, --pass-pol) cubre la misma enumeración dentro de un framework mucho más grande.
• impacket lo incluye como dos scripts: samrdump.py (usuarios/grupos/alias + detalle por usuario) y lookupsid.py (RID cycling sobre LSA). Sin una sola ejecución, sin fallback SAMR→LSA, solo stdout.
• rpcclient expone las llamadas subyacentes (queryuser, enumdomusers, querydominfo, lsaquery, lookupsids, …) pero de forma interactiva y solo stdout. Su enumdomusers lista usuarios estándar por nombre, sin cuentas de máquina ($), y el detalle completo es queryuser de uno en uno. Sin un bucle de RID-cycling integrado no puede recuperar equipos ni sortear la enumeración restringida. Ver Hacerlo a mano.

Lo que adnullenum añade es el empaquetado: una sola ejecución de sesión nula en lugar de varias herramientas, SAMR primero con un fallback LSA opcional, flags curados de cuentas interesantes, y una salida ordenada multiformato que puedes pasar directamente al siguiente paso o reabrir más tarde. Si ese flujo de trabajo encaja con cómo trabajas, úsalo; si prefieres una herramienta probada en batalla, recurre a enum4linux-ng o NetExec.

Instalación

Necesitas Python 3.9+ y una biblioteca SMB. Un entorno virtual lo mantiene ordenado:

Eso es todo. Ejecuta python3 adnullenum.py --help para verlo todo.

Cómo usarlo

Todo se ejecuta a través de un único --mode. El predeterminado es recon, que es lo seguro para ejecutar primero.

Encontrar cuentas

Si el dominio no te permite listar usuarios directamente (habitual), la herramienta recurre al RID cycling: pide al DC que traduzca los IDs de cuenta a nombres en lotes de 1000. Por defecto barre hacia arriba hasta que ha encontrado todo lo que el DC dice que existe, o hasta que 5000 IDs seguidos vuelven vacíos. Puedes fijarlo a un rango exacto en su lugar:

Cuando SAMR está bloqueado

Algunos DCs rechazan SAMR anónimo por completo (enumdomains y la traducción de RIDs vuelven ACCESS_DENIED). La ejecución no se rinde:

• El recon de LSA siempre se ejecuta. El nombre del dominio, el SID, y a menudo el bosque, el GUID y los trusts vienen de \lsarpc, que con frecuencia responde cuando SAMR no lo hace.
• El RID cycling puede recurrir a LSA (opcional). Si SAMR no traduce los RIDs y pasas --lsa-fallback, la herramienta reintenta el mismo barrido sobre LSA LsarLookupSids usando el SID del dominio, lo que aún te da el inventario de cuentas (nombres y tipos, incluidos los equipos). Está desactivado por defecto porque es una segunda pasada de fuerza bruta; sin el flag la ejecución se detiene en recon y lo indica.
• El detalle profundo por usuario y la pertenencia a grupos necesitan SAMR. Cuando SAMR está bloqueado esas etapas se omiten y se anotan; aún obtienes el inventario de nombre/tipo.
• Si las búsquedas de LSA también están bloqueadas, la ejecución se degrada a solo recon (nombre de dominio y SID). En un objetivo así, ninguna herramienta anónima enumerará las cuentas.

No hacer fuerza bruta dos veces

Encontrar las cuentas es la parte lenta, así que la herramienta guarda la lista (rids.txt) en la carpeta de salida de cada ejecución. Apunta una ejecución posterior a esa carpeta con --session y se salta la fuerza bruta y reutiliza lo que ya encontraste:

--session toma la carpeta de una ejecución anterior. (--rid-file hace lo mismo desde un archivo de texto plano con un RID por línea.)

Salida

Cada ejecución deja una carpeta con marca de tiempo bajo output/:

txt y csv siempre se escriben; añade --json para una carpeta json/ también.

La carpeta lists/ contiene dos archivos planos hechos para alimentar directamente a otras herramientas:

• lists/userlist.txt — para meter directamente en AS-REP roasting, password spraying, o la lista --users de un cracker. En modo users/full contiene solo cuentas habilitadas; en modo rids (sin detalle por usuario) es todos los usuarios.
• lists/computerlist.txt — nombres de cuentas de máquina con el $ conservado (el sAMAccountName), para las comprobaciones de cuentas de máquina pre-Windows 2000.

¿Olvidaste mirarlos, o solo ejecutaste rids y ahora quieres las listas? Apunta a la carpeta de la ejecución y se reconstruyen desde los CSVs, sin necesidad de red:

En pantalla obtienes una vista previa limitada para que un dominio grande no inunde tu terminal (--limit, por defecto 100 por sección) — los archivos siempre tienen los datos completos. El color está activado cuando estás en un terminal; --no-color lo desactiva.

Ejemplo

Una ejecución full contra un DC de prueba (saneado). En pantalla obtienes el recon, el barrido de RIDs, el resumen de cuentas interesantes, y la lista de archivos escritos:

Un único registro de txt/users.txt (el grupo primario y los grupos directos se resuelven a nombres):

Hacerlo a mano

Todo aquí es SAMR/LSARPC estándar, así que puedes obtener los mismos datos llamada a llamada con el rpcclient de Samba. Conéctate anónimamente primero:

enumdomusers devuelve cuentas de usuario estándar solo por nombre; las cuentas de máquina ($) se filtran, y el detalle completo significa ejecutar queryuser de una cuenta en una. rpcclient no tiene un bucle de RID-cycling integrado, así que no puede recuperar las cuentas de máquina (ni nada más) cuando la enumeración del lado del servidor está restringida; tendrías que scriptear lookupsids sobre un rango tú mismo. Tampoco tiene comando de política de bloqueo y no devuelve el DNS/bosque/GUID de LSA ni los trusts, por lo que esta herramienta consulta PolicyDnsDomainInformation directamente.

Para equivalentes scripteados y cómo se relaciona esta herramienta con ellos, ver Cómo se compara.

Mitigaciones

Si estás en el lado azul y quieres cerrar esto, la ruta anónima es lo que hay que cerrar:

• Activa "Do not allow anonymous enumeration of SAM accounts" y "…accounts and shares" (los ajustes RestrictAnonymousSAM / RestrictAnonymous).
• Elimina Anonymous Logon (y Everyone) del grupo Pre-Windows 2000 Compatible Access. Esto es normalmente por qué el RID cycling de sesión nula funciona en un controlador de dominio.
• Pon "Let Everyone permissions apply to anonymous users" en Disabled, y restringe el acceso anónimo a las named pipes.
• Requiere la firma SMB y desactiva SMBv1.

Nada de esto impide que un usuario con sesión iniciada lea los mismos datos — eso es normal y esperado. Solo cierra la ruta sin credenciales.

Detectarlo

• Activa la auditoría de objetos SAM/directorio y vigila una ráfaga de evento 4661 / 4662 (un handle a un objeto SAM o de directorio) desde una máquina en una ventana corta.
• Vigila muchos inicios de sesión anónimos (evento 4624, tipo de inicio de sesión 3, la cuenta ANONYMOUS LOGON) y actividad de IPC$ (5140 / 5145).
• El indicio es el volumen desde una única fuente: muchas búsquedas de IDs de cuenta contra \samr, o llamadas de política/búsqueda contra \lsarpc, en poco tiempo.
• Como --sleep y --jitter pueden repartir las llamadas, alerta sobre el recuento total en una ventana en lugar de solo sobre la tasa.

Notas

• Solo se usa el puerto 445 — esto no toca el endpoint mapper de RPC en el 135.
• Si la traducción de RIDs de SAMR vuelve ACCESS_DENIED, añade --lsa-fallback para probar LSA LsarLookupSids para el inventario (ver "Cuando SAMR está bloqueado"). Si las búsquedas de LSA también están bloqueadas, solo es posible el recon (nombre de dominio + SID).

Licencia

MIT. Ver LICENSE.