NTLMRecon

Uma ferramenta de reconhecimento NTLM sem dependências externas. Útil para descobrir informações sobre endpoints NTLM ao trabalhar com um grande conjunto de endereços IP e domínios em potencial.

NTLMRecon foi criado pensando na flexibilidade. Precisa executar reconhecimento em uma única URL, um endereço IP, um intervalo CIDR inteiro ou uma combinação de tudo isso em um único arquivo de entrada? Sem problemas! O NTLMRecon cuida disso. Continue lendo.

Visão Geral

O NTLMRecon procura por endpoints web habilitados para NTLM, envia uma solicitação de autenticação falsa e enumera as seguintes informações a partir da resposta NTLMSSP:

1. Nome do Domínio AD
2. Nome do servidor
3. Nome do Domínio DNS
4. FQDN
5. Domínio DNS Pai

Como o NTLMRecon utiliza uma implementação Python do NTLMSSP, ele elimina a sobrecarga de executar o http-ntlm-info do Nmap NSE a cada descoberta bem-sucedida.

Em cada descoberta bem-sucedida de um endpoint web habilitado para NTLM, a ferramenta enumera e salva informações sobre o domínio da seguinte forma em um arquivo CSV:

URL	Nome do Domínio	Nome do Servidor	Nome do Domínio DNS	FQDN	Domínio DNS
https://contoso.com/EWS/	XCORP	EXCHANGE01	xcorp.contoso.net	EXCHANGE01.xcorp.contoso.net	contoso.net

Instalação

BlackArch

O NTLMRecon já está empacotado para o BlackArch e pode ser instalado executando pacman -S ntlmrecon

Compilar a partir do código fonte

1. Clone o repositório : git clone https://github.com/pwnfoo/ntlmrecon/
2. RECOMENDADO - Instale o virtualenv : pip install virtualenv
3. Inicie um novo ambiente virtual : virtualenv venv e ative-o com source venv/bin/activate
4. Execute o arquivo de configuração : python setup.py install
5. Execute o ntlmrecon : ntlmrecon --help

Exemplo de Uso

Recon em uma única URL

$ ntlmrecon --input https://mail.contoso.com --outfile ntlmrecon.csv

Recon em um intervalo CIDR ou endereço IP

$ ntlmrecon --input 192.168.1.1/24 --outfile ntlmrecon-ranges.csv

Recon em um arquivo de entrada

A ferramenta detecta automaticamente o tipo de entrada por linha e toma as ações de acordo. Intervalos CIDR são expandidos por padrão (observe que ainda não há desduplicação incorporada!).

P.S. Lida bem com uma boa mistura como esta:

mail.contoso.com
CONTOSOHOSTNAME
10.0.13.2/28
192.168.222.1/24
https://mail.contoso.com

A Fazer

1. Implementar solução baseada em aiohttp para envio de requisições
2. Integrar uma biblioteca de pulverização (spraying)
3. Adicionar outros esquemas de autenticação encontrados à saída
4. Detecção automática de domínios autodiscover se domínio

Agradecimentos

• @nyxgeek pela ideia por trás do ntlmscan.