0

Описание: есть windows server 2016 выступающий контроллером AD

ip=192.168.59.240 
dc=DTEST,dc=RDI 
login='Администратор' pass='passw@rd'

На другом сервере в другом домене, но в той же сети под управлением ОС Centos есть словарь пользователей с хешами паролей:

users_hashes = {'user1': 'somenthash', 'user245': 'somenthash'}

Вопрос: как с использованием python ldap установить соединение с AD, и привести всех пользователей и их -NTHash в соответствие со словарем? (словарь не статичен,со временем будет меняться, пользователи будут удалятся и добавляться )

1 ответ 1

1

Предварительный ответ: так не получится.

Нельзя прочитать атрибут, хранящий пароль юзера, работая напрямую с LDAP AD, по аналогии с OpenLDAP, Sun Directory, etc.

Из-за внутреннего устройства безопасности AD этот атрибут можно только изменить специальным механизмом смены пароля.

Варианты прочитать хэш пароля есть, но требуют "вмешательства" в контроллер домена. Например, кулхацкеры знают способы вытаскивания хэшей из файла NTDS.dit

зы но, как говориться, это не точно. Возможно я в этом вопросе отстал от жизни.

5
  • изменить в пошике атрибут пароля можно через : 'Set-ADAccountPasswordHash -SamAccountName p_morozov -Domain test -Server test -NTHash 'xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx’ ', можно ли както применить эту команду через питон ? 30 мар 2018 в 10:31
  • @Андрей вызвать удаленно или если питон на сервере установлен? А если речь про возможность изменить пароль, то вроде как и из питона напрямую можно, не обязательно повершелы использовать.
    – de_frag
    30 мар 2018 в 11:04
  • вообще мысль была , ad контроллер на одной машине , скрипт запускается с другой, вопрос можно ли както забиндить AD машину и редактировать пользователей? в конце концов просто сделать соотвествие аккаунтов. 30 мар 2018 в 11:34
  • @Андрей да, всё можно. Биндиться к AD можно так: binddn = "Администратор@DTEST.RDI"
    – de_frag
    30 мар 2018 в 12:03
  • спасибо, забиндилось буду дальше побывать, я до этого пытался как к openldap подцепится 30 мар 2018 в 12:12

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.