RDP se connecte avec des identifiants Windows (locaux ou de domaine), ce qui en fait une cible directe des attaques par devinette et par réutilisation et l'un des moyens les plus courants par lesquels des identifiants volés ou pulvérisés se transforment en accès interactif. Le brute-force et le spraying fonctionnent contre la connexion, le credential-stuffing rejoue des paires nom d'utilisateur/mot de passe compromises, et la Network Level Authentication (NLA) ne fait que déplacer la vérification plus tôt (dans CredSSP) plutôt que d'empêcher la devinette. Un identifiant valide donne un bureau interactif complet, fréquemment avec des droits administratifs ou de domaine, de sorte que l'authentification RDP est une surface d'attaque à forte valeur et à forte fréquence, soumise au verrouillage de compte Windows.
# spray/guess against RDP, respecting lockout (domain\user forms from enumeration)
nxc rdp <target> -u users.txt -p 'Winter2025!' # marks valid + whether admin
hydra -L users.txt -p 'Winter2025!' rdp://<target> -t 1
Sous-thèmes#
- Brute-force de mot de passe : devinette en ligne contre la connexion.
- Credential stuffing : rejeu d'identifiants compromis et réutilisés.
- Contournement de NLA : considérations et mauvaises configurations de la Network Level Authentication.