这个 LDAP 流量意味着什么？ "<ROOT>" 基础对象答案

【问题标题】：What does this LDAP traffic signify? "<ROOT>" baseObject这个 LDAP 流量意味着什么？ "<ROOT>" 基础对象
【发布时间】：2022-06-16 13:53:36
【问题描述】：

请求主机受到威胁，向 DC 发送流量（前者正在运行 Sharphound 来执行侦察 - 尽管我不知道这是否是其中的一部分）。我对 LDAP 很陌生，对这意味着什么一无所知。这是恶意的吗？详情如下，如有任何帮助，将不胜感激！

【问题讨论】：

LDAP 搜索请求是正常的，不是恶意的。离题。

标签： active-directory ldap bloodhound

【解决方案1】：

对于基于 TCP 的常规 LDAP，“空 DN”对象（通常称为“rootDSE”，由 Wireshark 表示为）用于协议协商 - 它包含指示服务器支持哪些 LDAP 协议扩展的属性.例如，每当 LDAP 客户端想要使用 SASL 身份验证或 StartTLS 时，它首先会查询 rootDSE 条目以确保它可用：

$ ldapsearch -x -b "" -s base + \*
[...]
supportedControl: 1.3.6.1.1.13.1              # 'pre-read' control supported
supportedExtension: 1.3.6.1.4.1.1466.20037    # StartTLS supported
supportedExtension: 1.3.6.1.4.1.4203.1.11.1   # password change supported
supportedFeatures: 1.3.6.1.1.14               # 'Increment' operation supported
supportedSASLMechanisms: GSSAPI               # Kerberos authentication supported
[...]

通过 TCP 看到此类请求对于任何 LDAP 通信都是正常的。

UDP 上的 CLDAP 请求略有不同——它是一个 Netlogon ping，Windows AD 客户端使用它来快速检查与域控制器的通信。它的用途与上述 rootDSE 搜索类似，但处理 AD Netlogon 参数而不是 LDAP 参数。

从任何 AD 成员偶尔看到 CLDAP ping 到您的 DC 是正常的（只要它们的有效负载有意义，并且只要它不是请求的洪水）。

【讨论】：