LDAP Nom Nom

こっそりと匿名でActive Directoryのユーザー名を、LDAP Pingリクエスト(cLDAP)を（悪）用してドメインコントローラーから驚異的な速度でブルートフォースします

有効な通常のユーザーアカウントを探します。Windows監査ログは生成されません。高速～サーバー1台あたり最大50K/秒 - 複数のサーバーを並列で使用すればそれをはるかに超えます！

• ドメイン参加済みマシンの環境変数からDCを自動検出しようとします。またはマシンのホスト名FQDN DNSサフィックスにフォールバックします
• テストするユーザー名をstdin（デフォルト）またはファイルから読み取ります
• stdout（デフォルト）またはファイルに出力します
• 並列化され、複数のサーバーへの複数の接続（デフォルトは8サーバー、サーバーあたり8接続）
• 入力ファイルと出力ファイルの両方を使用している場合、プログレスバーを表示します
• 回避策: --throttle 20 を使用すると、各リクエスト間に20msの遅延が発生します（すべてが遅くなります）
• 回避策: --maxrequests 1000 を使用すると、各接続で1000リクエスト後に接続を閉じて再接続します（トラフィック量に基づく検出を回避しようとします）

自動ビルドされたバイナリをリリースからダウンロードするか、以下のGoコマンドでビルドしてインストールします

go install github.com/lkarlslund/ldapnomnom@latest

使用法

ldapnomnom [--server dc1.domain.suffix[,dc2.domain.suffix] | --dnsdomain domain.suffix] [--port number] [--tlsmode notls|tls|starttls] [--input filename] [--output filename] [--parallel number-of-connections] [--maxservers number-of-servers] [--maxstrategy fastest|random] [--throttle n] [--maxrequests n]

バージョン表示

ldapnomnom version

ブルートフォースの例

contoso.localから最大32台のサーバーに接続し、各サーバーに16接続 - めっちゃ速い

ldapnomnom --input 10m_usernames.txt --output multiservers.txt --dnsdomain contoso.local --maxservers 32 --parallel 16

名前付きサーバー1台に4接続で接続

ldapnomnom --input 10m_usernames.txt --output results.txt --server 192.168.0.11 --parallel 4

このツールに入力するユーザー名リストを探してください - たとえばこちらの1000万リストなど

rootDSE属性の抽出

LDAP Nom Nomを使用して、--dumpオプションを追加することで、rootDSEオブジェクトから属性をダンプすることもできます。

見つかるすべてのサーバーに接続し、読み取り可能なすべての属性をJSONに出力します:

ldapnomnom --output rootDSEs.json --dump

検出

• Windowsイベントログにはネイティブな何も生成されません（Windows 2016/2019でテスト済み）
• Microsoft Defender for Identity 2.228（2024年2月）はイベントID 2437を追加し、失敗したリクエスト（つまりユーザー名の誤った推測）の数が未知のしきい値を超えるとトリガーされます
• カスタムネットワークレベルの監視（暗号化されていないLDAP分析またはLDAPSのトラフィック量）も使用できますが、信頼性は高くありません

緩和策

• なし、これはdcLocator機能の一部です
• 管理者アカウントの名前を変更する
• ユーザー名と同じパスワードを持つアカウントを監査する
• 可能な限り多くのアカウントからSPNを削除してkerberoastingを防ぐ
• SPNを持つアカウントには長く複雑なパスワードを使用する

履歴

TwitterでKerberosサービスの位置特定についての議論の中で、誰かがLDAP Pingリクエストの存在を示唆しました。それらはMicrosoftのオープン仕様ページに文書化されており、LDAP Pingの開始方法、必要なパラメータ、返されるデータの疑似コードが含まれています。すぐに、ここに悪用可能な情報漏洩があることが明らかになりました。

ツールをリリースした後、この「間違い」に気づいたのは私だけではないことがわかりました。これは明らかに歴史的な後方互換性の理由でまだ残っています。

攻撃者としてネットワークレベルの検出を回避したい場合は、ポート636でTLSを使用する必要があります（ツールのデフォルトはポート389の暗号化されていないLDAPです）。

Active Directoryが好きなら、私の攻撃グラフツールAdalancheも気に入るかもしれません。