LDAP Nom Nom

Bruteforce silenzioso e anonimo di nomi utente di Active Directory a velocità folli dai Domain Controller, (ab)usando le richieste LDAP Ping (cLDAP)

Cerca account utente normali abilitati. Nessun log di audit di Windows generato. Alta velocità ~ fino a 50K/sec per server - vai ben oltre con più server in parallelo!

• Tenta di rilevare automaticamente il DC dalle variabili d'ambiente su macchine unite al dominio o torna al suffisso DNS FQDN del nome host della macchina
• Legge i nomi utente da testare da stdin (predefinito) o da file
• Output su stdout (predefinito) o su file
• Parallelizzato, connessioni multiple a più server (predefiniti 8 server, 8 connessioni per server)
• Mostra una barra di progresso se si utilizzano sia file di input che di output
• Manovre evasive: Usa --throttle 20 per un ritardo di 20ms tra ogni richiesta (rallenta tutto a passo di lumaca)
• Manovre evasive: Usa --maxrequests 1000 per chiudere e riconnettere la connessione dopo 1000 richieste in ogni connessione (cerca di evitare il rilevamento basato sul volume di traffico)

Scarica i binari compilati automaticamente dalle release o compila e installa con questo comando Go

go install github.com/lkarlslund/ldapnomnom@latest

Utilizzo

ldapnomnom [--server dc1.domain.suffix[,dc2.domain.suffix] | --dnsdomain domain.suffix] [--port number] [--tlsmode notls|tls|starttls] [--input filename] [--output filename] [--parallel number-of-connections] [--maxservers number-of-servers] [--maxstrategy fastest|random] [--throttle n] [--maxrequests n]

Mostra versione

ldapnomnom version

Esempi di bruteforcing

Connetti fino a 32 server da contoso.local con 16 connessioni ciascuno - VELOCISSIMO

ldapnomnom --input 10m_usernames.txt --output multiservers.txt --dnsdomain contoso.local --maxservers 32 --parallel 16

Connetti a un server specifico con 4 connessioni

ldapnomnom --input 10m_usernames.txt --output results.txt --server 192.168.0.11 --parallel 4

Cerca liste di nomi utente da caricare altrove - per esempio la lista da 10M da qui

Estrai attributi rootDSE

Puoi anche usare LDAP Nom Nom per scaricare attributi dall'oggetto rootDSE, aggiungendo l'opzione "--dump".

Connetti a tutti i server che riesci a trovare e produci tutti gli attributi leggibili in JSON:

ldapnomnom --output rootDSEs.json --dump

Rilevamento

• Non viene generato nulla nei log eventi nativi di Windows (testato su Windows 2016 / 2019)
• Microsoft Defender for Identity 2.228 (Febbraio 2024) aggiunge event ID 2437 e viene attivato se il numero di richieste fallite (cioè tentativi errati di nomi utente) supera una soglia sconosciuta
• È possibile utilizzare anche monitoraggio personalizzato a livello di rete (analisi LDAP non crittografata o volume di traffico per LDAPS), anche se non è affidabile

Mitigazione

• Nessuna, questo fa parte della roba dcLocator
• Rinomina l'account amministratore
• Controlla gli account per password uguali al nome utente
• Previeni il kerberoasting rimuovendo gli SPN da quanti più account possibile
• Usa password lunghe e complesse sugli account con SPN

Storia

Durante una discussione su Twitter sulla localizzazione dei servizi Kerberos, qualcuno ha accennato all'esistenza delle richieste LDAP Ping. Sono documentate nelle Pagine delle Specifiche Aperte di Microsoft, e contengono pseudo-codice su come avviare un LDAP Ping, quali parametri accetta e i dati restituiti. È sembrato subito ovvio che qui ci fosse una fuga di informazioni che può essere abusata.

Dopo aver rilasciato lo strumento, vedo di non essere l'unico ad aver notato questo "errore" che è chiaramente ancora presente per ragioni storiche di retrocompatibilità.

Se vuoi evitare il rilevamento a livello di rete come attaccante, dovresti usare TLS sulla porta 636 (lo strumento di default usa LDAP non crittografato sulla porta 389).

Se ti piace Active Directory, potresti apprezzare anche il mio strumento per grafi di attacco Adalanche