LDAP Nom Nom

Silenciosamente e anonimamente, force nomes de usuário do Active Directory em velocidades insanas a partir de Controladores de Domínio ao (ab)usar de solicitações LDAP Ping (cLDAP)

Procura por contas de usuário normais habilitadas. Nenhum log de auditoria do Windows é gerado. Alta velocidade ~ até 50K/seg por servidor - vá muito além disso com múltiplos servidores em paralelo!

• Tenta detectar automaticamente o DC a partir de variáveis de ambiente em máquinas associadas ao domínio ou recorre ao sufixo DNS FQDN do nome do host da máquina
• Lê nomes de usuário para testar a partir de stdin (padrão) ou arquivo
• Saída para stdout (padrão) ou arquivo
• Paralelizado, múltiplas conexões para múltiplos servidores (padrão: 8 servidores, 8 conexões por servidor)
• Mostra barra de progresso se você estiver usando arquivos de entrada e saída
• Manobras evasivas: Use --throttle 20 para um atraso de 20ms entre cada solicitação (desacelera tudo para um ritmo lento)
• Manobras evasivas: Use --maxrequests 1000 para fechar a conexão e reconectar após 1000 solicitações em cada conexão (tente evitar detecção com base no volume de tráfego)

Baixe binários pré-compilados automaticamente das releases ou compile e instale com este comando Go

go install github.com/lkarlslund/ldapnomnom@latest

Uso

ldapnomnom [--server dc1.domain.suffix[,dc2.domain.suffix] | --dnsdomain domain.suffix] [--port number] [--tlsmode notls|tls|starttls] [--input filename] [--output filename] [--parallel number-of-connections] [--maxservers number-of-servers] [--maxstrategy fastest|random] [--throttle n] [--maxrequests n]

Mostrar versão

ldapnomnom version

Exemplos de brute force

Conecte-se a até 32 servidores do contoso.local com 16 conexões para cada - RÁPIDO DEMAIS

ldapnomnom --input 10m_usernames.txt --output multiservers.txt --dnsdomain contoso.local --maxservers 32 --parallel 16

Conecte-se a um servidor nomeado com 4 conexões

ldapnomnom --input 10m_usernames.txt --output results.txt --server 192.168.0.11 --parallel 4

Procure listas de nomes de usuário para alimentar isso em outro lugar - por exemplo, a lista de 10M de aqui

Extrair atributos rootDSE

Você também pode usar o LDAP Nom Nom para despejar atributos do objeto rootDSE, adicionando a opção "--dump".

Conecte-se a todos os servidores que encontrar e saída de todos os atributos legíveis para JSON:

ldapnomnom --output rootDSEs.json --dump

Detecção

• Nada nativo nos logs de eventos do Windows é gerado (testado no Windows 2016 / 2019)
• O Microsoft Defender for Identity 2.228 (Fevereiro de 2024) adiciona o ID de evento 2437 e é acionado se o número de solicitações com falha (ou seja, palpites errados de nomes de usuário) ultrapassar um limite desconhecido
• Monitoramento de nível de rede personalizado (análise LDAP não criptografada ou volume de tráfego para LDAPS) também pode ser usado, embora não seja confiável

Mitigação

• Nenhuma, isso faz parte do dcLocator
• Renomeie sua conta de administrador
• Audite contas para ter a mesma senha que o nome de usuário
• Impeça kerberoasting removendo SPNs de quantas contas for possível
• Use senhas longas e complexas em contas com SPNs

Histórico

Durante uma discussão no Twitter sobre localizar serviços Kerberos, alguém sugeriu a existência de solicitações LDAP Ping. Elas estão documentadas nas Páginas de Especificações Abertas da Microsoft, e contém pseudocódigo de como iniciar um LDAP Ping, quais parâmetros ele aceita e os dados retornados. Imediatamente pareceu óbvio que há um vazamento de informações aqui que pode ser abusado.

Após ter lançado a ferramenta, percebo que não sou o único a notar esse "erro" que claramente ainda está presente por razões históricas de compatibilidade reversa.

Se você quiser evitar a detecção em nível de rede como atacante, deve usar TLS na porta 636 (a ferramenta padrão é LDAP não criptografado na porta 389).

Se você gosta do Active Directory, também pode gostar da minha ferramenta de grafo de ataque Adalanche