adnullenum

एक anonymous (null) session के लिए single-pass Active Directory enumerator, जो \samr और \lsarpc named pipes का उपयोग करता है। किसी credentials की आवश्यकता नहीं।

यह वह कुछ नहीं करता जो classic tools नहीं कर सकते। यह जो करता है वह सब कुछ एक ही run में इकट्ठा करता है और परिणामों को साफ़-सुथरे ढंग से प्रस्तुत करता है। किसी engagement में जब आपके पास कोई domain account नहीं होता, DNS के माध्यम से DC मिल जाता है, और आप पूरी तस्वीर चाहते हैं — accounts, per-user detail, groups, policy, और LSA/DNS से जुड़ी जानकारी — बिना rpcclient sessions या कई अलग-अलग scripts को जोड़कर उनके stdout को हाथ से parse किए। यह आपके लिए वह pass करता है और structured, reusable output लिखता है:

• एक command domain info, policy, RID discovery, per-user detail और groups को cover करता है, वह method चुनते हुए जो काम करता है और जब SAMR locked हो तो gracefully degrade करता है (देखें How it compares और When SAMR is locked down)।
• Output अगले tool को feed करने के लिए बनाया गया। Timestamped run folders जिनमें txt / csv / (optional) json, एक manifest.json, उपयोग के लिए तैयार userlist.txt / computerlist.txt, और एक saved RID list जिसे आप दोबारा brute-force करने के बजाय reuse कर सकते हैं।
• दिलचस्प accounts flagged होते हैं जैसे-जैसे वे सामने आते हैं (AS-REP-roastable, password not required, unconstrained delegation, इत्यादि)।

कृपया इसे केवल उन systems पर चलाएँ जिनके आप मालिक हैं या जिन्हें test करने के लिए आपको स्पष्ट रूप से authorized किया गया है। किसी और की directory को बिना अनुमति enumerate करना ठीक नहीं है, और आप कहाँ हैं इसके आधार पर यह अवैध भी हो सकता है।

दो versions हैं जो एक जैसा व्यवहार करते हैं। जो library आपके पास हो वही उपयोग करें:

• adnullenum.py — impacket पर आधारित।

---

यह क्या collect करता है

• Users, computers और groups। Machine accounts (जो $ पर समाप्त होते हैं) को असली users से अलग किया जाता है।
• पूरी per-user detail। Description, group memberships, password और logon timestamps, account flags, और login restrictions (logon hours, allowed workstations, expiry)।
• Groups उनके members के साथ, असली नामों में resolved।
• Domain और policy info। Domain name, SID, server role, वास्तविक user/group/computer counts, और password तथा lockout policy।
• LSA / DNS details। DNS domain और forest name, domain GUID, domain SID, और कोई भी trusts — ये अक्सर तब भी वापस आते हैं जब SAMR खुद locked हो।

यह आपके लिए दिलचस्प accounts भी flag करता है: जैसे "password not required", "password never expires", AS-REP-roastable, unconstrained delegation, never logged on, या ऐसा description जिसमें password का ज़िक्र हो।

इससे स्वाभाविक रूप से कुछ चीज़ें निकलती हैं:

• आपके द्वारा collect किए गए usernames AS-REP roasting के लिए आपकी list हैं।
• Computer names pre-Windows 2000 machine-account checks के लिए आपकी list हैं।

---

यह कैसे तुलना करता है

यहाँ सब कुछ standard anonymous SAMR/LSARPC है, और स्थापित tools पहले से ही वही data तक पहुँचते हैं। यह एक convenience wrapper है, कोई नई capability नहीं, इसलिए alternatives जानना उपयोगी है:

• enum4linux-ng सबसे निकटतम equivalent है: null-session SAMR + LSA, RID cycling, policy, users और groups। यदि आप एक mature, व्यापक रूप से उपयोग किया जाने वाला tool चाहते हैं, तो इसे उपयोग करें। adnullenum इसके साथ काफी overlap करता है।
• NetExec (--rid-brute, --users, --pass-pol) वही enumeration एक बहुत बड़े framework के अंदर cover करता है।
• impacket इसे दो scripts के रूप में देता है: samrdump.py (users/groups/aliases + per-user detail) और lookupsid.py (LSA पर RID cycling)। कोई single run नहीं, कोई SAMR→LSA fallback नहीं, केवल stdout।
• rpcclient underlying calls (queryuser, enumdomusers, querydominfo, lsaquery, lookupsids, …) को expose करता है लेकिन interactively और केवल stdout। इसका enumdomusers standard users को नाम से list करता है, कोई machine ($) accounts नहीं, और पूरी detail के लिए queryuser एक-एक करके चलाना पड़ता है। कोई built-in RID-cycling loop न होने के कारण यह computers को recover नहीं कर सकता या restricted enumeration के आसपास काम नहीं कर सकता। देखें Doing it by hand।

adnullenum जो जोड़ता है वह packaging है: कई tools के बजाय एक null-session run, SAMR-first with an opt-in LSA fallback, curated interesting-account flags, और साफ़ multi-format output जिसे आप सीधे अगले step को दे सकते हैं या बाद में फिर से खोल सकते हैं। यदि यह workflow आपके काम करने के तरीके से मेल खाता है, तो इसे उपयोग करें; यदि आप battle-tested tool पसंद करते हैं, तो enum4linux-ng या NetExec का सहारा लें।

---

Install

आपको Python 3.9+ और एक SMB library चाहिए। एक virtual environment इसे साफ़-सुथरा रखता है:

# clone / copy the files, then from the project folder:
python3 -m venv venv
source venv/bin/activate          # Windows: venv\Scripts\activate

pip install impacket              # for adnullenum.py

बस इतना ही। सब कुछ देखने के लिए python3 adnullenum.py --help चलाएँ।

---

इसका उपयोग कैसे करें

सब कुछ एक ही --mode के माध्यम से चलता है। default recon है, जो पहले चलाने के लिए सुरक्षित चीज़ है।

Mode	आपको क्या मिलता है
recon	Domain info, counts, password/lockout policy, और LSA/DNS details। कोई brute-forcing नहीं। बस एक नज़र।
rids	पता लगाता है कि कौन से accounts मौजूद हैं और उन्हें users / computers / groups में छाँटता है।
users	ऊपर वाला सब, साथ ही हर असली user पर पूरी detail और "interesting accounts" summary। हर user के groups भी list करने के लिए --include-groups जोड़ें।
groups	Domain groups और builtin aliases उनके members के साथ।
full	यह सब कुछ।

# 1. Is anonymous access open, and how big is this domain?
python3 adnullenum.py 10.0.0.10

# 2. Grab everything
python3 adnullenum.py 10.0.0.10 --mode full

# 3. Just the account inventory, wider net for a big domain
python3 adnullenum.py 10.0.0.10 --mode rids --start-rid 1000 --max-rid 200000

# 4. Go slower to stay quiet
python3 adnullenum.py 10.0.0.10 --mode users --sleep 1 --jitter 40

# 5. Also write JSON (txt and csv are always written)
python3 adnullenum.py 10.0.0.10 --mode full --json

Accounts खोजना

यदि domain आपको सीधे users list करने नहीं देता (आम बात है), तो tool RID cycling पर fallback करता है: यह DC से account IDs को 1000 के batches में names में translate करने के लिए कहता है। default रूप से यह तब तक ऊपर की ओर sweep करता है जब तक वह वह सब कुछ नहीं खोज लेता जो DC कहता है मौजूद है, या जब तक लगातार 5000 IDs खाली वापस न आ जाएँ। आप इसे इसके बजाय एक सटीक range पर pin कर सकते हैं:

python3 adnullenum.py 10.0.0.10 --mode rids --range 500-50000

जब SAMR locked हो

कुछ DCs anonymous SAMR को पूरी तरह मना कर देते हैं (enumdomains और RID translation ACCESS_DENIED वापस आते हैं)। Run हार नहीं मानता:

• LSA recon हमेशा चलता है। Domain name, SID, और अक्सर forest, GUID और trusts \lsarpc से आते हैं, जो अक्सर तब जवाब देता है जब SAMR नहीं देता।
• RID cycling LSA पर fallback कर सकता है (opt-in)। यदि SAMR RIDs translate नहीं करेगा और आप --lsa-fallback पास करते हैं, तो tool domain SID का उपयोग करके LSA LsarLookupSids पर वही sweep दोबारा आज़माता है, जो अभी भी आपको account inventory (names और types, computers सहित) देता है। यह default रूप से off है क्योंकि यह एक दूसरा brute-force pass है; flag के बिना run recon पर रुक जाता है और ऐसा बताता है।
• गहरी per-user detail और group membership के लिए SAMR चाहिए। जब SAMR blocked हो तो वे stages skip कर दिए जाते हैं और note कर दिए जाते हैं; आपको अभी भी name/type inventory मिलती है।
• यदि LSA lookups भी blocked हों, तो run केवल recon (domain name और SID) तक degrade हो जाता है। ऐसे target पर, कोई भी anonymous tool accounts enumerate नहीं करेगा।

दोबारा brute-force न करना