LDAP Nom Nom

Fuerza bruta silenciosa y anónima de nombres de usuario de Active Directory a velocidades increíbles desde Controladores de Dominio (ab)usando solicitudes LDAP Ping (cLDAP)

Busca cuentas de usuario normales habilitadas. No se generan registros de auditoría de Windows. Alta velocidad: hasta 50K/segundo por servidor; ¡supere eso con múltiples servidores en paralelo!

• Intenta auto-detectar el DC desde variables de entorno en máquinas unidas al dominio o recurre al sufijo DNS FQDN del nombre de host de la máquina
• Lee nombres de usuario a probar desde stdin (predeterminado) o archivo
• Envía salida a stdout (predeterminado) o archivo
• Paralelizado, múltiples conexiones a múltiples servidores (predeterminado: 8 servidores, 8 conexiones por servidor)
• Muestra barra de progreso si se usan archivos de entrada y salida
• Maniobras evasivas: Use --throttle 20 para un retardo de 20ms entre cada solicitud (ralentiza todo a paso de tortuga)
• Maniobras evasivas: Use --maxrequests 1000 para cerrar la conexión y reconectar después de 1000 solicitudes en cada conexión (intente evitar la detección basada en el volumen de tráfico)

Descargue binarios compilados automáticamente desde releases o compile e instale con este comando Go

go install github.com/lkarlslund/ldapnomnom@latest

Uso

ldapnomnom [--server dc1.domain.suffix[,dc2.domain.suffix] | --dnsdomain domain.suffix] [--port number] [--tlsmode notls|tls|starttls] [--input filename] [--output filename] [--parallel number-of-connections] [--maxservers number-of-servers] [--maxstrategy fastest|random] [--throttle n] [--maxrequests n]

Mostrar versión

ldapnomnom version

Ejemplos de fuerza bruta

Conéctese hasta a 32 servidores de contoso.local con 16 conexiones cada uno - MUUUUUY RÁPIDO

ldapnomnom --input 10m_usernames.txt --output multiservers.txt --dnsdomain contoso.local --maxservers 32 --parallel 16

Conéctese a un servidor con nombre con 4 conexiones

ldapnomnom --input 10m_usernames.txt --output results.txt --server 192.168.0.11 --parallel 4

Busque listas de nombres de usuario para alimentar esto en otro lugar, por ejemplo, la lista de 10M desde aquí

Extraer atributos rootDSE

También puede usar LDAP Nom Nom para volcar atributos del objeto rootDSE, agregando la opción "--dump".

Conéctese a todos los servidores que pueda encontrar y envíe todos los atributos legibles a JSON:

ldapnomnom --output rootDSEs.json --dump

Detección

• No se genera nada nativo en los registros de eventos de Windows (probado en Windows 2016 / 2019)
• Microsoft Defender for Identity 2.228 (Febrero de 2024) agrega event ID 2437 y se activa si el número de solicitudes fallidas (es decir, conjeturas incorrectas de nombres de usuario) supera un umbral desconocido
• La monitorización personalizada a nivel de red (análisis LDAP no cifrado o volumen de tráfico para LDAPS) también puede usarse, aunque no es fiable

Mitigación

• Ninguna, esto es parte de la funcionalidad dcLocator
• Renombre su cuenta de administrador
• Audite las cuentas que tengan la misma contraseña que el nombre de usuario
• Evite el kerberoasting eliminando SPN de tantas cuentas como sea posible
• Use contraseñas largas y complejas en cuentas con SPN

Historia

Durante una discusión en Twitter sobre la localización de servicios Kerberos, alguien insinuó la existencia de solicitudes LDAP Ping. Están documentadas en Microsofts Open Specifications Pages, y contiene pseudocódigo sobre cómo iniciar un LDAP Ping, qué parámetros toma y los datos devueltos. Inmediatamente pareció obvio que hay una fuga de información aquí que puede ser abusada.

Después de haber lanzado la herramienta, veo que no soy el único en detectar este "error" que claramente aún existe por razones históricas de compatibilidad hacia atrás.

Si desea evitar la detección a nivel de red como atacante, debe usar TLS en el puerto 636 (la herramienta por defecto usa LDAP no cifrado en el puerto 389).

Si le gusta Active Directory, también le puede gustar mi herramienta de gráfico de ataque Adalanche