Scaricare i siti web che utilizzano NTLM

Informazioni su NTLM

La sigla conserva due parole che ne tradiscono l’età: LAN, che indica dove tutto questo avrebbe dovuto restare, e NT, che viene da una linea di prodotti ritirata da tempo. Il protocollo autentica gli utenti sugli account Windows tramite un meccanismo di sfida e risposta, e un server lo annuncia in un’intestazione della risposta HTTP quando chiede a un client di autenticarsi, il che è l’unico motivo per cui tutto questo è osservabile dall’esterno. Un host pubblico che risponde con quella sfida sta dicendo a internet di essere collegato a un ambiente Windows.

Microsoft ha introdotto il protocollo nel 1993 e da allora ha passato buona parte del tempo a spingere i clienti ad abbandonarlo, prima verso Kerberos e poi verso il moderno accesso federato. Il protocollo resta sotto licenza Proprietary e resta supportato perché copre ancora ciò che Kerberos non copre: l’accesso tramite indirizzo IP anziché nome host, le macchine fuori da un dominio, le configurazioni a gruppo di lavoro e una coda lunga di applicazioni che nessuno vuole toccare. La deprecazione nella documentazione e la scomparsa dalla produzione sono eventi molto diversi.

A ottobre 2026 registriamo NTLM su 1731 host, nella categoria Security. Gli host dell’elenco non condividono un settore, ma un’architettura. Applicazioni web interne pubblicate su internet, portali intranet, sistemi di gestione documentale, interfacce di posta e collaborazione, console di gestione dei dispositivi e vecchi software gestionali finiscono tutti nello stesso insieme, di solito perché qualcuno ha aperto una porta per l’accesso remoto e ha lasciato il metodo di autenticazione esattamente com’era.

La lettura dal punto di vista della sicurezza è semplice e vale la pena esplicitarla. Un’autenticazione a sfida e risposta raggiungibile liberamente da internet è esposta ad attacchi di relay e sulle credenziali a cui il protocollo non è mai stato progettato per resistere, e ogni host nel file è un endpoint pubblico collegato a una directory interna. Chi lavora sulla superficie di attacco, sul proprio parco informatico o su un portafoglio di aziende acquisite, vuole l’enumerazione completa e non una singola risposta.

Il rilevamento offre un minimo certo e un massimo indefinito. Un host compare solo se presenta la sfida su un percorso che raggiungiamo effettivamente, quindi tutto ciò che si trova dietro una VPN, dietro un proxy che si fa carico dell’autenticazione o all’interno di un modulo di accesso risulterà assente anche se il protocollo è attivo sotto la superficie. Descritto onestamente, il conteggio è una stima per difetto dell’esposizione.

Verificare se un singolo nome host negozia il protocollo richiede una sola richiesta, alla portata di chiunque. Il valore di un elenco scaricabile sta nel trasformare una verifica per singolo host in una mappa: quali paesi, estensioni di dominio e organizzazioni espongono ancora l’autenticazione Windows su internet, come quella popolazione si riduce da un’istantanea all’altra e quali di quei domini ospitano anche gli altri software che tendono ad accompagnare un perimetro trascurato.