Hoy vamos a utilizar una herramienta que, en alguna ocasión, a la hora de recolectar información tanto de una red, como de otro objetivo, como puede ser una url, un dominio, un dns. Es una herramienta que recolecta información del protocolo ntlm.
¿En qué consiste este protocolo?
Es un poco obsoleto, es un poco antiguo. Es un método de autenticación que desarrolló Microsoft. Permite que distintos equipos puedan verificarse entre sí.
Al hacer esto en una auditoría interna es muy interesante, porque es una herramienta que nos va a dar información de login en esa misma red.
También podemos usarlo en un dominio o en una página web, donde nos puede decir si tenemos algún acceso a algún formulario o a algún login de entrada. Esto es muy bueno a la hora de recolectar información y que hayamos conseguido algún usuario y/o contraseña y los podamos usar para ataques de diccionario, de fuerza bruta. O usarlo con herramientas como responder, sacar un hash y usar esta herramienta para ver algún formulario de entrada, y si desciframos el hash tendríamos el usuario y la contraseña y podríamos acceder.
En este sentido, la prueba hoy la vamos a hacer sobre un dominio que se ha sacado de shodan, aunque evidentemente se va a pixelar para que no se vea donde ha sido.
La herramienta se puede descargar desde github
Es una herramienta de hace 3 años, pero actualizada hace 8 meses, y la verdad es que no está mal. Es útil, evidentemente, para protocolos antiguos pero que se siguen utilizando en muchísimos clientes. Esto, en entorno empresarial es bastante interesante.
El proceso de instalación de ntlmrecon es el siguiente:
- git clone https://github.com/pwnfoo/ntlmrecon
- cd ntlmrecon
- ls
- pip install virtualenv (instalación del entorno virtual)
- virtualenv venv
- source venv/bin/activate
- python setup.py install
En nuestro caso estamos usando kali linux, pero ha funcionado también en parrot. Esta herramienta la hicieron para blackarch, pero funciona en cualquier distribución de auditoría o ataque.
Una vez instalado, vamos a usarlo, primero viendo las opciones:
- ntlmrecon –help
Tendremos que utilizar input siempre antes del objetivo. Se pueden usar diccionarios, threats, output (salida del informe). Podemos usar varias opciones. Vamos a ver alguna muy sencilla obviando los objetivos que se van a marcar, evidentemente por privacidad.
Vamos a empezar a usarla:
- ntlmrecon –input OBJETIVO outfile nltmrecon2.csv
Empieza a funcionar, y nos da una serie de enlaces donde podría acceder a lo que será un login de entrada con el protoco ntlm. Si abro un enlace, nos dirige a un login. Aquí se podría usar usuario y contraseña, con lo que nos da entradas.
Hay que probar con todos los enlaces.
Pues esta es una herramienta que usándola en redes internas tiene una utilidad bastante interesante, porque nos mete bastantes vectores de ataque en diversos tipos de equipos.
Cuando tenemos versiones de ntlm antiguas, suelen ser equipos que nunca se actualizan o bien porque tienen un crm muy difícil, un erp específico, etc. Actualizar estos equipos supondría un problema, así que estos equipos tendrían ese problema.
A pesar de ser antigua, es interesante para auditoría. No sólo en servidores, sino también en los rangos IP en redes internas, que son más interesantes.
Bueno, pues una herramienta para practicar, porque es bastante interesante.
Bueno, nos vemos en el siguiente post.
Aquí teneis el vídeo de esta herramienta.