0

Описание: есть windows server 2016 выступающий контроллером AD

ip=192.168.59.240 
dc=DTEST,dc=RDI 
login='Администратор' pass='passw@rd'

На другом сервере в другом домене, но в той же сети под управлением ОС Centos есть словарь пользователей с хешами паролей:

users_hashes = {'user1': 'somenthash', 'user245': 'somenthash'}

Вопрос: как с использованием python ldap установить соединение с AD, и привести всех пользователей и их -NTHash в соответствие со словарем? (словарь не статичен,со временем будет меняться, пользователи будут удалятся и добавляться )

1 ответ 1

1

Предварительный ответ: так не получится.

Нельзя прочитать атрибут, хранящий пароль юзера, работая напрямую с LDAP AD, по аналогии с OpenLDAP, Sun Directory, etc.

Из-за внутреннего устройства безопасности AD этот атрибут можно только изменить специальным механизмом смены пароля.

Варианты прочитать хэш пароля есть, но требуют "вмешательства" в контроллер домена. Например, кулхацкеры знают способы вытаскивания хэшей из файла NTDS.dit

зы но, как говориться, это не точно. Возможно я в этом вопросе отстал от жизни.

5
  • изменить в пошике атрибут пароля можно через : 'Set-ADAccountPasswordHash -SamAccountName p_morozov -Domain test -Server test -NTHash 'xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx’ ', можно ли както применить эту команду через питон ? 30 мар 2018 в 10:31
  • @Андрей вызвать удаленно или если питон на сервере установлен? А если речь про возможность изменить пароль, то вроде как и из питона напрямую можно, не обязательно повершелы использовать.
    – de_frag
    30 мар 2018 в 11:04
  • вообще мысль была , ad контроллер на одной машине , скрипт запускается с другой, вопрос можно ли както забиндить AD машину и редактировать пользователей? в конце концов просто сделать соотвествие аккаунтов. 30 мар 2018 в 11:34
  • @Андрей да, всё можно. Биндиться к AD можно так: binddn = "Администратор@DTEST.RDI"
    – de_frag
    30 мар 2018 в 12:03
  • спасибо, забиндилось буду дальше побывать, я до этого пытался как к openldap подцепится 30 мар 2018 в 12:12

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.