Re: SAM / Active Directory

Vittorio said:
> Daniele,
> la tua spiegazione è chiarissima, ma come posso fare un Vulnerability
> Assessment sugli account registrati su un Domain Controller, quindi con
>  una tecnologia basata sul motore ESE?
> Con quali software?

Non sono al corrente di qualcosa che legga il motore ESE direttamente.
Ma, come ha suggerito Fabio Pietrosanti (naif):

>> Per il dump del SAM o dell'NDIS.sit ( o come si chiama quello di active
>> directory ) penso che il migliore strumento rimanga pwdump in tutte le sue
>> varianti:
>> pwdump2  http://razor.bindview.com/tools/desc/pwdump2_readme.html

difatti questo non legge NTDS.dit (il DB "fisico" di Active Directory), ma
tramite DLL injection CHIEDE alla Local Security Authority (LSASS.EXE) di
leggerlo ed estrarre le informazioni per te.......ovviamente per usarlo DEVI essere gia'Amministratore della macchina.

Pero'tieni presente che A ME da'problemi su macchine W2K dove ci sono i
Terminal Services installati (il sito di BindView menziona questa cosa,
tra l'altro).NON HO mai provato le altre varianti che Fabio cita, quindi su quelle non
so che dirti, sinceramente. Puo'darsi che non abbiano questo limite e
funzionino anche su macchine con i TS... sinceramente non ho nemmeno tempo
di provare, ora.... Fabio, illuminaci, se tu le hai usate - A questo punto
interessa pure a me sapere questa cosa... :)
Altrimenti, se vuoi un approccio DALLA rete, senza avere i privilegi di
amministratore... (cosi', simulando l'hacker che prova ad entrare)...
un'altra cosa che puoi fare e'un antico e rozzo ma efficace BRUTE FORCE o
Dictionary Attack via LDAP.... ammesso che tu non abbia "Account Lockout"
policy....
Altrimenti, invece che via LDAP puoi fare il brute force tramite una
directory di IIS che abbia basic authenitication: tramite IIS, puoi
provare quante volte vuoi, l'Account Lockout non "vale" per le logon via
IIS, ma solo per le logon al dominio "vere e proprie".... (anche su questo
NON ho informazioni: potrebbe essere cambiato in IIS6 .... ma su IIS4 e 5
e'come ti ho appena scritto. Qualcuno ha info riguardo IIS6 su questa
cosa?)
Dovresti praticamente ottenere "ALLA cieca" (beh, quasi alla cieca.... se
RestrictAnonymous non e'settato, ma ANCHE se e'settato, in realta'....) la
lista degli utenti (anche con NESSUS puoi fare questo).
...se quello che vuoi verificare e' se vengono usate password semplici,
questo dovrebbe bastare...
ciao
Daniele




________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List