hunt-ntlm-info

⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Porta de confirmação obrigatória Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato, IP, conta ou recurso alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Alvos Principais (Crown Jewel Targets)

A divulgação de informações NTLM é uma descoberta de gravidade média quando combinada com o contexto — a vazamento em si é um comportamento intencional do protocolo (desafio RFC-compliant NTLMSSP), mas em infraestrutura corporativa exposta à internet, fornece reconhecimento exato para o próximo estágio de um ataque. Alvos de maior valor:

• IIS / SharePoint / Exchange / OWA acessíveis pela internet com autenticação dupla (Forms + NTLM, ou NTLM + Kerberos)
• Gateways voltados para a internet do Citrix NetScaler / VMware Horizon View com autenticação AD baseada em NTLM
• Servidores de borda do Lync / Skype for Business / Teams On-Prem
• WSUS / Windows Update Services com caminhos de administrador protegidos por NTLM
• Proxies de compartilhamento de arquivos estilo CIFS (HCL Sametime, IBM Notes Domino) que fazem proxy de NTLM
• Fazendas de SharePoint legadas que mantiveram o NTLM habilitado na vinculação IIS da zona pública

O que torna isso valioso:

• Divulgação do domínio interno do AD (mapeamento de floresta pai, por exemplo, customer.parent-corp.example → tenant dentro da árvore corporativa do AD)
• Divulgação de nome de host padrão do Windows (o padrão WIN-XXXXXXXXXXX sinaliza provisionamento apressado → prováveis senhas de conta de serviço padrão)
• Vazamento de timestamp (usado na aceleração de cracking de hash NTLMv2)
• Enriquecimento direto do mapa de ataque para pulverização de credenciais combinado com a Matriz de Protocolos Legados hunt-auth-bypass

Sinais da Superfície de Ataque

Cabeçalhos de resposta sinalizando disponibilidade NTLM:

WWW-Authenticate: NTLM
WWW-Authenticate: Negotiate
WWW-Authenticate: NTLM, Negotiate
WWW-Authenticate: Negotiate, NTLM

Padrões de URL onde o NTLM é comumente exposto:

/_api/web/CurrentUser                  (SharePoint REST)
/_vti_bin/*.asmx                       (SharePoint legacy SOAP)
/EWS/Exchange.asmx                     (Exchange Web Services)
/Autodiscover/Autodiscover.xml         (Exchange autodiscover)
/owa/                                  (Outlook Web App)
/Microsoft-Server-ActiveSync           (ActiveSync)
/PowerShell                            (Exchange Mgmt Shell over HTTPS)
/api/v3/                               (TeamCity, Atlassian)
/wsus/                                 (Windows Server Update Services)
/manager/html                          (some Tomcat behind IIS)
/iisstart.htm                          (default IIS, sometimes reveals NTLM upstream)

Sinais da pilha tecnológica:

• IIS na internet pública (quase sempre capaz de NTLM, mesmo que Forms seja a fachada)
• SharePoint Web Front End (quase sempre autenticação dupla Forms + NTLM)
• Exchange edge transport
• Cabeçalho Server Microsoft-HTTPAPI/2.0, Microsoft-IIS/*, IIS/*

Metodologia de Caça Passo a Passo

1. Sonde todos os endpoints anônimos para WWW-Authenticate: NTLM. Envie um GET simples e inspecione os cabeçalhos de resposta. Se o NTLM for oferecido, prossiga.

2. Envie uma mensagem NTLMSSP Tipo-1 válida anonimamente. O Tipo-1 em base64 abaixo solicita informações de domínio NetBIOS e Workstation do servidor:

   Authorization: NTLM TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAGAbEdAAAADw==
   

   Este é o teste padrão Tipo-1 com flags de negociação NTLMSSP_NEGOTIATE_UNICODE | NTLMSSP_NEGOTIATE_OEM | NTLMSSP_NEGOTIATE_NTLM | NTLMSSP_NEGOTIATE_ALWAYS_SIGN | NTLMSSP_NEGOTIATE_KEY_EXCH | NTLMSSP_NEGOTIATE_56 | NTLMSSP_NEGOTIATE_128 | NTLMSSP_NEGOTIATE_TARGET_INFO. O campo OS Version (06 01 B1 1D 00 00 00 0F) é Windows 7 build 7601 — aceito por praticamente todos os respondedores NTLM.

3. Use um socket raw com keep-alive, não um one-shot do Python requests / curl. A maioria das bibliotecas HTTP fecha a conexão entre o envio do Tipo-1 e a recepção do Tipo-2. Use um dos seguintes:

   • Burp Repeater com Connection: keep-alive definido explicitamente

…