crypt0p3g/adnullenumSAMR 및 LSARPC를 통한 원패스 익명 Active Directory 열거 — 널 세션, 자격 증명 불필요, 구조화된 재사용 가능 출력.
익명(null) 세션을 위한 단일 패스 Active Directory 열거 도구로,
\samr 및 \lsarpc 명명된 파이프를 사용합니다. 자격 증명이 필요하지 않습니다.
기존 도구들이 할 수 없는 일을 하는 것은 아닙니다. 이 도구가 하는 일은 모든 정보를
한 번의 실행으로 수집하고 결과를 깔끔하게 정리하는 것입니다. 침투 테스트에서
도메인 계정 없이 진입하고, DNS를 통해 DC를 찾고, 계정, 사용자별 상세 정보, 그룹,
정책, 그리고 LSA/DNS 관련 정보까지 전체 그림을 원할 때, rpcclient 세션을 이어
붙이거나 여러 개의 개별 스크립트를 실행한 뒤 그 stdout을 손으로 파싱할 필요 없이
한 번에 처리합니다. 이 도구가 그 작업을 대신 수행하고 구조화된 재사용 가능한
출력을 작성합니다:
manifest.json, 바로 사용 가능한
userlist.txt / computerlist.txt, 그리고 두 번 브루트포스하지 않도록 재사용
가능한 저장된 RID 목록이 포함됩니다.소유하고 있거나 명시적으로 테스트 권한을 받은 시스템에만 실행하십시오. 허가 없이 다른 사람의 디렉터리를 열거하는 것은 옳지 않으며, 위치에 따라 불법일 수 있습니다.
동일하게 동작하는 두 가지 버전이 있습니다. 가지고 있는 라이브러리에 맞는 것을 사용하십시오:
adnullenum.py — impacket 기반.$로 끝나는 계정)은 실제 사용자와
분리됩니다.또한 흥미로운 계정을 표시해 줍니다: "비밀번호 불필요", "비밀번호 만료 안 됨", AS-REP-roastable, unconstrained delegation, 로그온한 적 없음, 또는 설명에 비밀번호가 언급된 경우 등.
여기서 자연스럽게 도출되는 두 가지:
여기의 모든 것은 표준 익명 SAMR/LSARPC이며, 기존 도구들도 이미 동일한 데이터에 도달합니다. 이것은 새로운 기능이 아니라 편의를 위한 래퍼이므로 대안을 알아둘 가치가 있습니다:
--rid-brute, --users,
--pass-pol)는 훨씬 더 큰 프레임워크 안에서 동일한 열거를 다룹니다.samrdump.py
(사용자/그룹/별칭 + 사용자별 상세 정보)와 lookupsid.py (LSA를 통한 RID
cycling). 단일 실행도, SAMR→LSA 폴백도 없고 stdout만 출력합니다.rpcclient 는 기본 호출(queryuser, enumdomusers, querydominfo,
lsaquery, lookupsids, …)을 노출하지만 대화식이며 stdout만 출력합니다.
enumdomusers는 표준 사용자를 이름으로 나열하며 머신($) 계정은 없고, 전체
상세 정보는 queryuser를 한 번에 하나씩 실행해야 합니다. 내장된 RID-cycling
루프가 없어 컴퓨터를 복구하거나 제한된 열거를 우회할 수 없습니다.
수동으로 하기를 참조하십시오.adnullenum이 추가하는 것은 패키징입니다: 여러 도구 대신 하나의 null-session 실행, SAMR 우선에 선택적 LSA 폴백, 선별된 흥미로운 계정 플래그, 그리고 다음 단계로 바로 넘기거나 나중에 다시 열 수 있는 깔끔한 다중 형식 출력. 이 워크플로가 작업 방식에 맞으면 사용하고, 검증된 도구를 선호한다면 enum4linux-ng나 NetExec을 사용하십시오.
Python 3.9+와 SMB 라이브러리 하나가 필요합니다. 가상 환경을 사용하면 깔끔합니다:
# clone / copy the files, then from the project folder:
python3 -m venv venv
source venv/bin/activate # Windows: venv\Scripts\activate
pip install impacket # for adnullenum.py
그게 전부입니다. python3 adnullenum.py --help를 실행하면 모든 것을 볼 수
있습니다.
모든 것은 단일 --mode를 통해 실행됩니다. 기본값은 recon이며, 가장 먼저
실행하기 안전한 것입니다.
| 모드 | 얻는 것 |
|---|---|
recon | 도메인 정보, 수, 비밀번호/잠금 정책, 그리고 LSA/DNS 세부 정보. 브루트포스 없음. 그냥 둘러보기. |
rids | 어떤 계정이 존재하는지 찾아 사용자 / 컴퓨터 / 그룹으로 분류합니다. |
users | 위의 내용에 더해 모든 실제 사용자의 전체 상세 정보와 "흥미로운 계정" 요약. --include-groups를 추가하면 각 사용자의 그룹도 나열합니다. |
groups | 멤버가 포함된 도메인 그룹 및 기본 제공 별칭. |
full | 전부. |
# 1. Is anonymous access open, and how big is this domain?
python3 adnullenum.py 10.0.0.10
# 2. Grab everything
python3 adnullenum.py 10.0.0.10 --mode full
# 3. Just the account inventory, wider net for a big domain
python3 adnullenum.py 10.0.0.10 --mode rids --start-rid 1000 --max-rid 200000
# 4. Go slower to stay quiet
python3 adnullenum.py 10.0.0.10 --mode users --sleep 1 --jitter 40
# 5. Also write JSON (txt and csv are always written)
python3 adnullenum.py 10.0.0.10 --mode full --json
도메인이 사용자를 직접 나열하도록 허용하지 않는 경우(흔함), 도구는 RID cycling으로 폴백합니다: DC에 계정 ID를 1000개 단위로 이름으로 변환하도록 요청합니다. 기본적으로 DC가 존재한다고 말하는 모든 것을 찾을 때까지, 또는 5000개의 ID가 연속으로 비어 있는 결과를 반환할 때까지 위로 스윕합니다. 대신 정확한 범위로 고정할 수도 있습니다:
python3 adnullenum.py 10.0.0.10 --mode rids --range 500-50000
일부 DC는 익명 SAMR을 완전히 거부합니다(enumdomains와 RID 변환이
ACCESS_DENIED를 반환). 실행은 포기하지 않습니다:
\lsarpc에서 오며, 이는 SAMR이 응답하지 않을 때 자주
응답합니다.--lsa-fallback을 전달하면, 도구는 도메인 SID를 사용하여 LSA
LsarLookupSids를 통해 동일한 스윕을 재시도하며, 이는 여전히 계정 인벤토리
(컴퓨터를 포함한 이름과 유형)를 제공합니다. 두 번째 브루트포스 패스이기
때문에 기본적으로 꺼져 있습니다; 플래그가 없으면 실행은 recon에서 멈추고
그렇게 알립니다.계정을 찾는 것이 느린 부분이므로, 도구는 모든 실행의 출력 폴더에 목록
(rids.txt)을 저장합니다. 나중 실행에서 --session으로 그 폴더를 가리키면
브루트포스를 건너뛰고 이미 찾은 것을 재사용합니다:
python3 adnullenum.py 10.0.0.10 --mode rids
# -> output/20260917-1530_10.0.0.10_rids/
python3 adnullenum.py 10.0.0.10 --mode users \
--session output/20260917-1530_10.0.0.10_rids
--session은 이전 실행의 폴더를 받습니다. (--rid-file은 한 줄에 하나의
RID가 있는 일반 텍스트 파일로 동일한 작업을 수행합니다.)
각 실행은 output/ 아래에 타임스탬프가 붙은 폴더를 만듭니다:
output/20260917-1530_10.0.0.10_full/
├── rids.txt # the account IDs found (reuse with --session)
├── manifest.json # summary: counts, interesting accounts, run details
├── access_denied.txt # only if something was denied/restricted (with a timestamp)
├── output
├──── lists/ # ready-to-use lists (see below)
├──── txt/ # easy to read
└──── csv/ # easy to grep / open in a spreadsheet
txt와 csv는 항상 작성됩니다; json/ 폴더도 원하면 --json을 추가하십시오.
lists/ 폴더에는 다른 도구에 직접 투입하기 위해 만들어진 두 개의 일반 파일이
있습니다:
lists/userlist.txt — AS-REP roasting, password spraying, 또는 크래커의
--users 목록에 바로 투입. users/full 모드에서는 활성화된 계정만
포함합니다; rids 모드(사용자별 상세 정보 없음)에서는 모든 사용자입니다.lists/computerlist.txt — 머신 계정 이름으로 $가 유지됩니다
(sAMAccountName), pre-Windows 2000 머신 계정 검사용.목록을 보는 것을 잊었거나, rids만 실행했는데 이제 목록을 원하십니까? 실행의
폴더를 가리키면 네트워크 없이 CSV에서 다시 작성됩니다:
python3 adnullenum.py --lists-from output/20260917-1530_10.0.0.10_full
화면에는 큰 도메인이 터미널을 범람하지 않도록 제한된 미리보기가 표시됩니다
(--limit, 섹션당 기본 100) — 파일에는 항상 전체 데이터가 있습니다. 터미널에
있을 때 색상이 켜집니다; --no-color로 끕니다.
테스트 DC에 대한 full 실행(정제됨). 화면에는 recon, RID 스윕, 흥미로운 계정
요약, 그리고 작성된 파일 목록이 표시됩니다:
$ python3 adnullenum.py 10.0.0.10 --mode full
[*] Connecting to 10.0.0.10:445 anonymously ...
[+] SAM domain: CORP (S-1-5-21-1111111111-2222222222-3333333333)
...
[ COUNTS ]
Users: 43
Groups: 0
Aliases: 17
[ PASSWORD POLICY ]
Min length: 7
Max age: 42 days
Properties: COMPLEX
[*] Bruting RIDs via SAMR (chunk=1000, open-ended 500-100000, stop-after 5000)
[*] up to RID 1498: 31 resolved, gap=0
[*] stop: 5000 consecutive empty RIDs (--stop-after 5000)
[+] Resolved: 5 users, 4 computers, 22 groups, 0 other
[*] Deep-querying 5 users (skipping 4 computers)
[!] Administrator (RID 500) PWD_NEVER_EXPIRES
[!] Guest (RID 501) (disabled) PWD_NOT_REQUIRED, PWD_NEVER_EXPIRES
[!] svc_sql (RID 1104) ASREP_ROASTABLE
[+] 5 users: 3 enabled, 2 disabled, 3 interesting (full detail in the users file)