Enumerar la política de contraseñas del dominio

Qué es

Enumerar la política de contraseñas del dominio lee las reglas que rigen cada cuenta. Con esas reglas el atacante calcula cuántos intentos de spray son seguros. También sabe si un hash robado se descifra fuera de línea o no.

Cómo funciona

Active Directory guarda la política por defecto como atributos del objeto de dominio. Cualquier usuario autenticado los lee por LDAP. Los atributos clave: longitud mínima, complejidad, umbral de bloqueo, duración del bloqueo, ventana de reinicio, historial y edad máxima. En dominios mal configurados, una sesión NULL por SMB o un bind anónimo LDAP entrega lo mismo sin credenciales. Las políticas detalladas (FGPP) sobrescriben la política por defecto por grupo: una FGPP débil en cuentas de servicio anula una política fuerte.

Comandos

Leer la política por defecto sobre SMB:

netexec smb <IP> -u <USER> -p <PASSWORD> --pass-pol

Sin credenciales, si el DC permite sesión NULL:

netexec smb <IP> -u '' -p '' --pass-pol

Vía RPC, funciona con sesión NULL en DC mal configurados:

rpcclient -U "" -N <IP> -c "getdompwinfo"

Desde un host unido al dominio, comando integrado de Windows:

net accounts /domain

Por LDAP, leyendo los atributos de la política en el objeto de dominio:

ldapsearch -x -H ldap://<IP> -D "<USER>@<DOMAIN>" -w "<PASSWORD>" -b "DC=<DOMAIN>,DC=<TLD>" "(objectClass=domainDNS)" minPwdLength lockoutThreshold lockoutDuration lockOutObservationWindow pwdHistoryLength maxPwdAge pwdProperties

Con PowerView, desde una sesión ya autenticada:

Get-DomainPolicy -Policy Domain | Select-Object -ExpandProperty SystemAccess

Cómo defenderse

Sube la longitud mínima a 14 o más: el descifrado fuera de línea de patrones comunes deja de ser viable.