Het beheren van Active Directory (AD) beveiliging kan een uitdaging zijn, vooral bij het identificeren van accounts die wachtwoorden delen of het gebruik van zwakke verificatiepraktijken. , een krachtige, lichte PowerShell-tool die snel het gebruik van gedeelde wachtwoorden onthult en de AD-beveiliging van uw organisatie verbetert. LazyAdminFinder Wat is LazyAdminFinder? LazyAdminFinder is een PowerShell-script dat gebruik maakt van de DSInternals-module om: 
 
 
 
 Detecteer en rapporteer gedeelde NTLM-wachtwoordhashes. Archiveer en vergelijk historische hashgegevens om het hergebruik van wachtwoorden te identificeren. Provide comprehensive reports that pinpoint risky account behaviors. Speciaal ontworpen voor Active Directory-beheerders, LazyAdminFinder biedt snelle, handige inzichten in wachtwoordbeveiliging. Waarom LazyAdminFinder gebruiken? 
 
 
 
 
 
  Identify weak or compromised passwords. Security Improvement: 
 
  Maintain AD integrity for audit and compliance purposes. Compliance: 
 
  Quickly audit accounts without manually reviewing data. Efficiency: Hoe werkt LazyAdminFinder? Fetch en filter gebruikersaccounts Het script verzamelt AD-gebruikersaccounts, filtert geactiveerde, machine- en service-accounts uit om zich alleen te concentreren op actieve gebruikers. NTLM hash extractie en archivering LazyAdminFinder extrahert NTLM-hashes uit accounts en archiveert veilig hun SHA-256-hashes voor historische vergelijking. Wachtwoord hergebruik detectie Door de huidige run te vergelijken met eerdere archieven, detecteert de tool het hergebruik van wachtwoorden, het markeren van accounts met potentiële beveiligingsrisico's. 
 
 
 Beheerders of bevoegde gebruikers synchroniseren wachtwoorden tussen standaard en administratieve accounts. Gebruikers, vooral beheerders, herhalen herhaaldelijk hun wachtwoorden naar eerder gebruikte waarden. Gedeelde wachtwoordgroepen Het script identificeert en groept accounts die identieke NTLM-hashes delen, wat kan wijzen op opzettelijk wachtwoord delen of meerdere gebruikers die zelfstandig hetzelfde wachtwoord kiezen - vaak vanwege zwakke wachtwoordgewoonten. Aanbevolen frequentie van gebruik Overweeg om LazyAdminFinder regelmatig uit te voeren op basis van het wachtwoordherstelbeleid van uw organisatie. Als uw beleid bijvoorbeeld elke 90 dagen een wachtwoordherstel vereist, schrijf het script ongeveer elke 100 dagen uit. Deze timing zorgt ervoor dat u instanties vastlegt waar beheerders of bevoorrechte gebruikers hun wachtwoorden kunnen herstellen naar eerder gebruikte. Als uw organisatie geen wachtwoordhergebruikbeleid handhaaft, wordt het uitvoeren van LazyAdminFinder periodiek nog cruciaal om mogelijke beveiligingsrisico's te identificeren en te beperken. Installeer LazyAdminFinder Stap 1: Voorbereiding 
 
 
 Zorg ervoor dat PowerShell op uw systeem is geïnstalleerd. Installeer de vereiste module: Install-Module DSInternals
 Stap 2: Configureer het script Pas deze essentiële parameters aan binnen het opgegeven script: 
 
 De Domain Controller: $dc = "your-domain-controller.example.com"
 
 
 Naam van context: $nc = "DC=yourdomain,DC=com"
 
 
 Uitgangsrapport Path: $outputReport = "C:\Path\To\SharedPasswordsReport.csv"
 
 
 Het archief directory: $archiveDir = "C:\Path\To\HashArchives"
 Stap 3: Run het script Voer het script uit als een Domain admin: powershell.exe -ExecutionPolicy Bypass -File "C:\Path\To\LazyAdminFinder.ps1"
 Het herzien van de resultaten 
 
 
 Een gedetailleerd CSV-rapport wordt gegenereerd, waarbij accounts wachtwoorden delen of onafhankelijk zwakke wachtwoorden kiezen. Historische archieven worden veilig opgeslagen voor toekomstige vergelijkingen, waardoor robuust wachtwoordbeheer wordt gewaarborgd. Gebruiken van gevallen voor LazyAdminFinder 
 
 
 
 
 Beveiligingsaudits: regelmatig gedeelde, zwakke of gecompromitteerde wachtwoorden identificeren en corrigeren. Incident Response: Snelle detectie van gecompromitteerde accounts na beveiligingsincidenten. Routine nalevingscontroles: Zorg voor continue naleving door robuuste accountbeveiligingspraktijken te handhaven. Privileged Account Management: specifiek gericht op beheerders of bevoegde gebruikers die wachtwoorden kunnen hergebruiken of synchroniseren tussen meerdere accounts. Aanpassen van LazyAdminFinder Voel je vrij om het script aan te passen aan uw omgeving en behoeften: 
 
 
 
 De filteringslogica wijzigen om specifieke accounttypen op te nemen/uit te sluiten. De archiverings- en rapportagepaden aanpassen aan uw opslagvoorkeuren. Integreer aanvullende rapportage mogelijkheden als nodig. Voordelen van het gebruik van LazyAdminFinder 
 
 
 
 
 
  Automates complex AD security checks. Rapid Security Assessments: 
 
  Clearly identifies potential security risks within AD. Enhanced Visibility: 
 
  Enables administrators to swiftly address vulnerabilities before exploitation. Proactive Defense: LazyAdminFinder vereenvoudigt de kritieke taak van wachtwoordauditing in Active Directory, waardoor beheerders een veilige, compliante en efficiënte IT-omgeving kunnen behouden. Ontdek gedeelde wachtwoorden, herstel beveiligingsrisico's en versterk de beveiliging van uw advertenties moeiteloos met LazyAdminFinder. #Another        /\_[]_/\
#    fine      |] _||_ [|
#       ___     \/ || \/
#      /___\       ||
#     (|0 0|)      ||
#   __/{\U/}\_ ___/vvv
#  / \  {~}   / _|_P|
#  | /\  ~   /_/   []
#  |_| (____)        
#  \_]/______\  Barberion  
#     _\_||_/_     Production      
#    (_,_||_,_)
#
Import-Module DSInternals

# === Parameters ===
$dc           = "your-domain-controller.example.com"
$nc           = "DC=yourdomain,DC=com"
$outputReport = "C:\Path\To\SharedPasswordsReport.csv"
$archiveDir   = "C:\Path\To\HashArchives"

# Ensure archive directory exists
if (-not (Test-Path $archiveDir)) {
    New-Item -ItemType Directory -Path $archiveDir | Out-Null
}

$timestamp = (Get-Date).ToString("yyyyMMdd_HHmmss")

# === 1. Fetch & filter AD user accounts ===
Write-Host "[+] Fetching AD user accounts (skipping machines, service & disabled)..."
$filteredAccounts = Get-ADReplAccount -All -Server $dc -NamingContext $nc |
    Where-Object { $_.NTHash -and $_.SamAccountName } |
    Where-Object { $_.SamAccountName -notmatch '\$$' } |
    Where-Object { $_.SamAccountName -notmatch '^(?i)(svc|service)' } |
    Where-Object {
        if ($_.PSObject.Properties.Match('IsDisabled').Count -gt 0) {
            -not $_.IsDisabled
        }
        else {
            # bit 2 = disabled
            ( ($_.UserAccountControl -band 2) -eq 0 )
        }
    }

if (-not $filteredAccounts) {
    Write-Host "[-] No matching user accounts found. Exiting."
    exit
}

# === 2. Convert NTLM byte array to hex string ===
$filteredAccounts | ForEach-Object {
    $hex = [BitConverter]::ToString($_.NTHash) -replace '-', ''
    $_ | Add-Member -MemberType NoteProperty -Name NTLMHashString -Value $hex -Force
}

# === 3. Archive SHA-256 of each NTLM hash ===
Write-Host "[+] Archiving SHA-256 of each NTLM hash..."
$sha256 = [System.Security.Cryptography.SHA256]::Create()
$currentArchive = $filteredAccounts | ForEach-Object {
    $shaBytes = $sha256.ComputeHash($_.NTHash)
    $shaHex   = [BitConverter]::ToString($shaBytes) -replace '-', ''
    [PSCustomObject]@{
        SamAccountName = $_.SamAccountName
        HashSha256     = $shaHex
    }
}
$sha256.Dispose()

$archiveFile = Join-Path $archiveDir "UserHashArchive_$timestamp.csv"
$currentArchive | Export-Csv -Path $archiveFile -NoTypeInformation

# === 4. Compare to previous archive ===
$allArchives = Get-ChildItem -Path $archiveDir -Filter "UserHashArchive_*.csv" |
               Sort-Object LastWriteTime -Descending

if ($allArchives.Count -gt 1) {
    $previousFile = $allArchives[1].FullName
    Write-Host "[+] Comparing this run to previous archive: $previousFile"
    $prevData = Import-Csv $previousFile

    $reused = Compare-Object `
        -ReferenceObject $prevData `
        -DifferenceObject $currentArchive `
        -Property SamAccountName, HashSha256 `
        -IncludeEqual |
      Where-Object { $_.SideIndicator -eq '==' } |
      Select-Object SamAccountName, HashSha256

    if ($reused) {
        $reuseReport = Join-Path $archiveDir "PasswordReuse_$timestamp.csv"
        Write-Host "[!] $($reused.Count) accounts reused their old hash; exporting to $reuseReport"
        $reused | Export-Csv -Path $reuseReport -NoTypeInformation
    }
    else {
        Write-Host "[+] No password‑reuse detected this run."
    }
}
else {
    Write-Host "[+] Only one archive present; skipping reuse comparison."
}

# === 5. Shared‑password grouping & report ===
Write-Host "[+] Grouping accounts by shared NTLM hash..."
$sharedGroups = $filteredAccounts |
    Group-Object -Property NTLMHashString |
    Where-Object { $_.Count -gt 1 }

if (-not $sharedGroups) {
    Write-Host "[-] No shared hashes found."
    exit
}

$reportResults = @()
Write-Host "[+] Generating shared‑password report:"
foreach ($g in $sharedGroups) {
    $h     = $g.Name
    $users = $g.Group | ForEach-Object { $_.SamAccountName }
    $reportResults += [PSCustomObject]@{
        SharedHash = $h
        UserCount  = $users.Count
        Users      = $users -join ', '
    }

    Write-Host '----------------------------------------------'
    Write-Host "Shared Hash: $h"
    Write-Host "User Count : $($users.Count)"
    Write-Host "Users      : $($users -join ', ')"
    Write-Host '----------------------------------------------`n'
}

Write-Host "[+] Saving shared‑password report to $outputReport"
$reportResults | Export-Csv -Path $outputReport -NoTypeInformation

Write-Host "[Summary] Shared groups: $($reportResults.Count); Total archives: $($allArchives.Count)"


The code in this story is for educational purposes. The readers are solely responsible for whatever they build with it.

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

Read My Stories

Deze audio wordt geproduceerd in de originele taal van het verhaal!

Te lang; Lezen

Download free Tech Leaders Productivity Report!

LazyAdminFinder: gemakkelijk gedeelde wachtwoorden ontdekken en Active Directory-beveiliging verbeteren

About Author

OPMERKINGEN

LABELS

DIT ARTIKEL WERD GEPRESENTEERD IN

Related Stories

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps