LDAP Nom Nom

Тихо и анонимно перебирает имена пользователей Active Directory с бешеной скоростью через контроллеры домена, (зло)употребляя запросы LDAP Ping (cLDAP)

Ищет включенные обычные учетные записи пользователей. Не создает журналов аудита Windows. Высокая скорость ~ до 50 тыс./сек на сервер — можно еще больше с несколькими серверами параллельно!

• Пытается автоматически определить DC из переменных окружения на компьютерах, входящих в домен, или использует DNS-суффикс полного имени хоста машины
• Читает имена пользователей для проверки из stdin (по умолчанию) или файла
• Выводит в stdout (по умолчанию) или файл
• Распараллелен, несколько соединений с несколькими серверами (по умолчанию 8 серверов, 8 соединений на сервер)
• Показывает индикатор выполнения, если вы используете и входной, и выходной файлы
• Уклончивые маневры: используйте --throttle 20 для задержки в 20 мс между запросами (сильно замедляет всё до минимума)
• Уклончивые маневры: используйте --maxrequests 1000, чтобы закрыть соединение и переподключиться после 1000 запросов в каждом соединении (попытка уйти от обнаружения на основе объема трафика)

Скачать автоматически собранные бинарники из релизов или собрать и установить с помощью этой команды Go

go install github.com/lkarlslund/ldapnomnom@latest

Использование

ldapnomnom [--server dc1.domain.suffix[,dc2.domain.suffix] | --dnsdomain domain.suffix] [--port number] [--tlsmode notls|tls|starttls] [--input filename] [--output filename] [--parallel number-of-connections] [--maxservers number-of-servers] [--maxstrategy fastest|random] [--throttle n] [--maxrequests n]

Показать версию

ldapnomnom version

Примеры перебора

Подключиться к до 32 серверам из contoso.local с 16 соединениями к каждому — ОООЧЕНЬ БЫСТРО

ldapnomnom --input 10m_usernames.txt --output multiservers.txt --dnsdomain contoso.local --maxservers 32 --parallel 16

Подключиться к одному именованному серверу с 4 соединениями

ldapnomnom --input 10m_usernames.txt --output results.txt --server 192.168.0.11 --parallel 4

Ищите списки имен пользователей для подачи в эту утилиту в другом месте — например, список на 10 млн отсюда

Извлечение атрибутов rootDSE

Вы также можете использовать LDAP Nom Nom для дампа атрибутов объекта rootDSE, добавив опцию "--dump".

Подключиться ко всем найденным серверам и вывести все читаемые атрибуты в JSON:

ldapnomnom --output rootDSEs.json --dump

Обнаружение

• Никаких собственных записей в журналах событий Windows не создается (проверено на Windows 2016 / 2019)
• Microsoft Defender for Identity 2.228 (февраль 2024) добавляет идентификатор события 2437 и срабатывает, если количество неудачных запросов (т.е. неправильных предположений имен пользователей) превышает неизвестный порог
• Сетевой мониторинг на уровне пользовательской логики (анализ незашифрованного LDAP или объем трафика для LDAPS) также может использоваться, хотя он не надежен

Смягчение последствий

• Ничего, это часть функциональности dcLocator
• Переименуйте свою учетную запись администратора
• Аудируйте учетные записи на наличие одинакового пароля и имени пользователя
• Предотвратите кербероастинг, удалив SPN с как можно большего числа учетных записей
• Используйте длинные и сложные пароли для учетных записей с SPN

История

В ходе обсуждения в Twitter о поиске служб Kerberos кто-то намекнул на существование запросов LDAP Ping. Они задокументированы на страницах спецификаций Microsoft, и там содержится псевдокод того, как инициировать LDAP Ping, какие параметры он принимает и какие данные возвращает. Сразу стало очевидно, что здесь есть утечка информации, которой можно злоупотребить.

После выпуска инструмента я вижу, что я не единственный, кто заметил эту "ошибку", которая, очевидно, сохраняется из соображений обратной совместимости.

Если вы хотите избежать обнаружения на сетевом уровне как атакующий, вы должны использовать TLS на порту 636 (инструмент по умолчанию использует незашифрованный LDAP на порту 389).

Если вам нравится Active Directory, вам также может понравиться мой инструмент для построения графов атак Adalanche