SAMR Protocol

Définition

SAMR (Security Account Manager Remote Protocol) est un protocole RPC Windows permettant l'interrogation et la gestion à distance des comptes utilisateurs et groupes locaux, ainsi que, dans un contexte de domaine, de certaines informations d'annuaire, à travers une interface historiquement accessible via des Null Sessions non authentifiées sur les systèmes anciens ou insuffisamment durcis. Ce protocole permet notamment l'énumération de la liste complète des utilisateurs et groupes d'un système, la consultation de la politique de mots de passe et de verrouillage de compte configurée, ainsi que, selon les permissions accordées, la modification directe de ces comptes, incluant la réinitialisation de mots de passe. SAMR constitue un vecteur de reconnaissance classique en phase initiale d'un pentest interne Active Directory, exploité par des outils comme Impacket (samrdump.py) ou CrackMapExec pour dresser rapidement la liste des comptes valides d'un domaine sans nécessiter d'identifiants préalables, lorsque les restrictions anonymes ne sont pas correctement appliquées. Microsoft a progressivement renforcé les contrôles d'accès à SAMR via les paramètres de sécurité RestrictAnonymous et, plus récemment, une politique dédiée de durcissement de l'accès à distance à SAMR introduite à partir de Windows 10 et Windows Server 2016, imposant par défaut une authentification pour la plupart des opérations sensibles, réduisant significativement la surface d'énumération anonyme historiquement exploitable sur ce protocole.