LDAP Nom Nom

Découvrez silencieusement et anonymement les noms d'utilisateurs Active Directory à une vitesse folle depuis les contrôleurs de domaine en (ab)usant des requêtes LDAP Ping (cLDAP)

Recherche les comptes utilisateurs normaux activés. Aucun journal d'audit Windows généré. Haute vitesse ~ jusqu'à 50K/s par serveur - allez bien au-delà avec plusieurs serveurs en parallèle !

• Tente de détecter automatiquement le DC à partir des variables d'environnement sur les machines jointes au domaine, ou se rabat sur le suffixe DNS FQDN du nom d'hôte de la machine
• Lit les noms d'utilisateurs à tester depuis l'entrée standard (par défaut) ou un fichier
• Sortie vers la sortie standard (par défaut) ou un fichier
• Parallélisé, connexions multiples vers plusieurs serveurs (par défaut 8 serveurs, 8 connexions par serveur)
• Affiche une barre de progression si vous utilisez à la fois des fichiers d'entrée et de sortie
• Manœuvres d'évasion : Utilisez --throttle 20 pour un délai de 20 ms entre chaque requête (ralentit tout à une allure d'escargot)
• Manœuvres d'évasion : Utilisez --maxrequests 1000 pour fermer la connexion et vous reconnecter après 1000 requêtes dans chaque connexion (essayez d'éviter la détection basée sur le volume de trafic)

Téléchargez les binaires pré-compilés depuis les releases ou construisez et installez avec cette commande Go

go install github.com/lkarlslund/ldapnomnom@latest

Utilisation

ldapnomnom [--server dc1.domain.suffix[,dc2.domain.suffix] | --dnsdomain domain.suffix] [--port number] [--tlsmode notls|tls|starttls] [--input filename] [--output filename] [--parallel number-of-connections] [--maxservers number-of-servers] [--maxstrategy fastest|random] [--throttle n] [--maxrequests n]

Afficher la version

ldapnomnom version

Exemples de force brute

Connectez-vous jusqu'à 32 serveurs de contoso.local avec 16 connexions chacun - TRÈS RAPIDE

ldapnomnom --input 10m_usernames.txt --output multiservers.txt --dnsdomain contoso.local --maxservers 32 --parallel 16

Connectez-vous à un serveur nommé avec 4 connexions

ldapnomnom --input 10m_usernames.txt --output results.txt --server 192.168.0.11 --parallel 4

Cherchez des listes de noms d'utilisateurs à alimenter dans cet outil ailleurs - par exemple la liste de 10M ici

Extraire les attributs rootDSE

Vous pouvez également utiliser LDAP Nom Nom pour vider les attributs de l'objet rootDSE, en ajoutant l'option "--dump".

Connectez-vous à tous les serveurs que vous pouvez trouver et sortez tous les attributs lisibles au format JSON :

ldapnomnom --output rootDSEs.json --dump

Détection

• Aucun journal d'événements Windows natif n'est généré (testé sur Windows 2016 / 2019)
• Microsoft Defender for Identity 2.228 (février 2024) ajoute l'ID d'événement 2437 et est déclenché si le nombre de requêtes échouées (c'est-à-dire de mauvaises suppositions de noms d'utilisateurs) dépasse un seuil inconnu
• Une surveillance personnalisée au niveau réseau (analyse LDAP non chiffrée ou volume de trafic pour LDAPS) peut également être utilisée, bien que peu fiable

Atténuation

• Aucune, cela fait partie du mécanisme dcLocator
• Renommez votre compte administrateur
• Auditez les comptes pour savoir s'ils ont le même mot de passe que le nom d'utilisateur
• Empêchez le kerberoasting en supprimant les SPN d'autant de comptes que possible
• Utilisez des mots de passe longs et complexes sur les comptes avec SPN

Historique

Lors d'une discussion sur Twitter à propos de la localisation des services Kerberos, quelqu'un a évoqué l'existence des requêtes LDAP Ping. Elles sont documentées sur les pages de spécifications ouvertes de Microsoft, et contiennent du pseudo-code expliquant comment initier un LDAP Ping, les paramètres qu'il accepte et les données renvoyées. Il est immédiatement apparu évident qu'il y a une fuite d'informations qui peut être exploitée.

Après avoir publié l'outil, je peux voir que je ne suis pas le seul à avoir repéré cette "erreur" qui persiste clairement pour des raisons de rétrocompatibilité historique.

Si vous voulez éviter la détection au niveau réseau en tant qu'attaquant, vous devez utiliser TLS sur le port 636 (l'outil utilise par défaut LDAP non chiffré sur le port 389).

Si vous aimez Active Directory, vous aimerez peut-être aussi mon outil de graphe d'attaque Adalanche