Télécharger les sites web qui utilisent NTLM

À propos de NTLM

L’acronyme conserve deux mots qui le datent, LAN, là où tout ceci devait rester, et NT, hérité d’une gamme de produits retirée depuis longtemps. Le protocole authentifie les utilisateurs auprès de comptes Windows par un défi et une réponse, et un serveur l’annonce dans un en-tête de réponse HTTP lorsqu’il demande à un client de s’authentifier, ce qui est la seule raison pour laquelle tout cela est observable de l’extérieur. Un hôte public qui répond par ce défi annonce à l’internet qu’il est raccordé à un environnement Windows.

Microsoft a introduit le protocole en 1993 et a passé une bonne part du temps depuis à en détourner ses clients, d’abord vers Kerberos, puis vers l’authentification fédérée moderne. Le protocole reste sous licence Proprietary et reste pris en charge parce qu’il couvre encore ce que Kerberos ne peut pas couvrir, à savoir l’accès par adresse IP plutôt que par nom d’hôte, les machines hors domaine, les configurations en groupe de travail et une longue traîne d’applications auxquelles personne ne veut toucher. Être déprécié dans la documentation et disparaître de la production sont deux événements très différents.

En octobre 2026 nous relevons NTLM sur 528 hôtes, dans la catégorie Security. Ce que ces hôtes partagent n’est pas un secteur d’activité mais une architecture. Applications web internes publiées sur l’internet, portails d’intranet, systèmes de gestion documentaire, interfaces de messagerie et de collaboration, consoles d’administration de parc et vieux logiciels métier se retrouvent tous dans le même ensemble, le plus souvent parce que quelqu’un a ouvert un port pour l’accès distant et laissé la méthode d’authentification exactement telle quelle.

La lecture de sécurité est directe et mérite d’être dite simplement. Une authentification par défi et réponse accessible depuis l’internet ouvert est exposée à des attaques par relais et par vol d’identifiants auxquelles le protocole n’a jamais été conçu pour résister, et chaque hôte du fichier est un point d’entrée public rattaché à un annuaire interne. Quiconque travaille sur la surface d’attaque, sur son propre parc ou sur un portefeuille de sociétés rachetées, veut l’énumération complète et non une réponse isolée.

La détection a un plancher solide et un plafond flou. Un hôte n’apparaît que s’il présente le défi sur un chemin que nous atteignons réellement, si bien que tout ce qui se trouve derrière un VPN, derrière un proxy qui termine l’authentification ou enveloppé dans un formulaire de connexion sera absent alors même que le protocole tourne en dessous. La description honnête de ce décompte est une borne basse de l’exposition.

Demander si un nom d’hôte négocie le protocole tient en une seule requête, à la portée de tout le monde. L’intérêt d’une liste téléchargeable est qu’elle transforme la vérification hôte par hôte en carte, celle des pays, des extensions de domaine et des organisations qui exposent encore l’authentification Windows à l’internet ouvert, de la façon dont cette population se réduit d’un relevé à l’autre, et de ceux de ces domaines qui portent aussi les autres logiciels qui accompagnent souvent un périmètre laissé sans entretien.