LDAP 实战与排错 — ldapsearch 抓包、AD 对接与错误码定位

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

# 抓明文 LDAP
sudo tcpdump -i eth0 -s 0 -w ldap.pcap 'tcp port 389 or tcp port 636'

# 直接提取所有 Simple Bind 的 DN 与明文密码（安全审计/演示用）
tshark -r ldap.pcap -Y 'ldap.simple' -T fields \
  -e ip.src -e ip.dst -e ldap.name -e ldap.simple

# 统计失败的 Bind（发现暴力破解）
tshark -r ldap.pcap -Y 'ldap.resultCode == 49' -T fields -e ip.src | sort | uniq -c | sort -rn

# 实时看搜索过滤器（排查应用发了什么查询）
sudo tshark -i eth0 -Y 'ldap.protocolOp == 3' -T fields -e ldap.baseObject -e ldap.filter

1
2
3
4
5
6
7
8
9

Lightweight Directory Access Protocol
    LDAPMessage bindRequest(1) "cn=admin,dc=example,dc=com" simple
        messageID: 1
        protocolOp: bindRequest (0)
            bindRequest
                version: 3 ← LDAPv3 固定为 3
                name: cn=admin,dc=example,dc=com ← 认证身份
                authentication: simple (0)
                    simple: adminP@ssw0rd ← 明文密码，一览无余

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

        protocolOp: searchRequest (3)
            searchRequest
                baseObject: dc=example,dc=com
                scope: wholeSubtree (2) ← 0=base 1=one 2=sub
                derefAliases: neverDerefAliases (0)
                sizeLimit: 0 ← 0 表示不限（受服务器上限约束）
                timeLimit: 0
                typesOnly: False
                Filter: (&(objectClass=inetOrgPerson)(uid=zhangsan))
                attributes: 4 items ← 请求返回的属性

1
2
3
4
5
6
7

# Debian / Ubuntu
sudo apt install ldap-utils

# RHEL / Rocky
sudo yum install openldap-clients

# macOS 自带 ldapsearch；Windows 可用 ldp.exe（AD 自带）或 dsquery

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59

# 语法：ldapsearch [连接选项] [认证选项] [搜索选项] '<过滤器>' [要返回的属性...]

# ① 匿名查 RootDSE —— 探测服务器能力（第一步永远做这个）
ldapsearch -x -H ldap://ldap.example.com -s base -b "" '(objectClass=*)' '+'
# 能看到：namingContexts（有哪些 Base DN）、supportedLDAPVersion、
# supportedSASLMechanisms、supportedExtension（有没有 StartTLS）、
# supportedControl（支不支持分页）

# ② 查 Schema
ldapsearch -x -H ldap://ldap.example.com -s base -b "cn=subschema" '(objectClass=*)' \
  objectClasses attributeTypes

# ③ 认证后搜索单个用户
ldapsearch -x -H ldap://ldap.example.com \
  -D "cn=admin,dc=example,dc=com" -W \
  -b "dc=example,dc=com" -s sub \
  '(uid=zhangsan)'

# 参数说明：
# -x 使用 Simple 认证（不加则默认 SASL）
# -H 服务器 URI（ldap:// 或 ldaps://）
# -D Bind DN
# -w <pass> 命令行给密码（会进 shell history 和 ps 输出）
# -W 交互式提示输入密码（推荐）
# -y <file> 从文件读密码（脚本推荐）
# -b Base DN
# -s base|one|sub 搜索 scope
# -Z 尝试 StartTLS；-ZZ 强制 StartTLS（失败即退出，防降级）
# -LLL 精简 LDIF 输出（去掉版本行和注释）
# -o ldif-wrap=no 不换行折叠（长 DN 便于 grep）
# -E pr=500/noprompt 启用分页
# -C 自动跟随 referral

# ④ 最实用的组合：精简输出 + 强制加密 + 不折行
ldapsearch -x -LLL -o ldif-wrap=no -ZZ \
  -H ldap://ldap.example.com \
  -D "cn=readonly,dc=example,dc=com" -y /etc/ldap.secret \
  -b "dc=example,dc=com" \
  '(&(objectClass=inetOrgPerson)(mail=*))' uid cn mail memberOf

# ⑤ 只要 DN，不要属性（1.1 是特殊值）
ldapsearch -x -LLL -H ldap://host -b "dc=example,dc=com" '(objectClass=person)' 1.1

# ⑥ 分页拉取全量（应对 sizeLimitExceeded）
ldapsearch -x -LLL -E pr=500/noprompt \
  -H ldap://host -D "..." -W -b "dc=example,dc=com" '(objectClass=*)'

# ⑦ 查组成员
ldapsearch -x -LLL -H ldap://host -b "dc=example,dc=com" '(cn=dev-team)' member

# ⑧ 查某人所属的组（OpenLDAP，需 memberOf overlay）
ldapsearch -x -LLL -H ldap://host -b "dc=example,dc=com" '(uid=zhangsan)' memberOf

# ⑨ SASL/GSSAPI（Kerberos）认证，无需明文密码
kinit zhangsan@EXAMPLE.COM
ldapsearch -H ldap://dc.example.com -Y GSSAPI -b "dc=example,dc=com" '(uid=zhangsan)'

# ⑩ 我是谁（Whoami 扩展操作，验证 Bind 身份）
ldapwhoami -x -H ldap://host -D "cn=admin,dc=example,dc=com" -W

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29

AD=ldap://dc01.example.com
BASE="dc=example,dc=com"
BIND="CN=svc-ldap,OU=Service,DC=example,DC=com"

# 按登录名查用户
ldapsearch -x -LLL -H $AD -D "$BIND" -W -b "$BASE" \
  "(&(objectClass=user)(sAMAccountName=zhangsan))" \
  distinguishedName displayName mail memberOf userAccountControl

# 只查【启用】的用户（排除禁用位 0x2）
ldapsearch -x -LLL -H $AD -D "$BIND" -W -b "$BASE" \
  "(&(objectCategory=person)(objectClass=user)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))" \
  sAMAccountName mail

# 递归查某组的所有成员（含嵌套组，AD 专属扩展匹配规则 1941）
ldapsearch -x -LLL -H $AD -D "$BIND" -W -b "$BASE" \
  "(memberOf:1.2.840.113556.1.4.1941:=CN=Domain Admins,CN=Users,DC=example,DC=com)" \
  sAMAccountName

# 查密码永不过期的账号（安全审计，位 0x10000）
ldapsearch -x -LLL -H $AD -D "$BIND" -W -b "$BASE" \
  "(&(objectClass=user)(userAccountControl:1.2.840.113556.1.4.803:=65536))" sAMAccountName

# 查所有域控
ldapsearch -x -LLL -H $AD -D "$BIND" -W -b "$BASE" \
  "(&(objectClass=computer)(userAccountControl:1.2.840.113556.1.4.803:=8192))" dNSHostName

# 通过 DNS SRV 自动发现域控
dig +short SRV _ldap._tcp.dc._msdcs.example.com

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

# ---- add-user.ldif : 新增一个用户 ----
dn: uid=zhangsan,ou=people,dc=example,dc=com
objectClass: top
objectClass: inetOrgPerson
objectClass: posixAccount
objectClass: shadowAccount
uid: zhangsan
cn: 张三
sn: 张
givenName: 三
mail: zhangsan@example.com
mail: z.san@example.com
uidNumber: 10001
gidNumber: 10001
homeDirectory: /home/zhangsan
loginShell: /bin/bash
userPassword: {SSHA}xxxxxxxxxxxxxxxxxxxxxxxxxxxx

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

# ---- modify-user.ldif : 修改属性 ----
dn: uid=zhangsan,ou=people,dc=example,dc=com
changetype: modify
replace: mail
mail: new@example.com
-
add: telephoneNumber
telephoneNumber: 13800138000
-
delete: description

1
2
3
4
5
6

# ---- 移动/改名 ----
dn: uid=zhangsan,ou=people,dc=example,dc=com
changetype: modrdn
newrdn: uid=zhangsan
deleteoldrdn: 1
newsuperior: ou=leavers,dc=example,dc=com

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

# 执行
ldapadd -x -H ldap://host -D "cn=admin,dc=example,dc=com" -W -f add-user.ldif
ldapmodify -x -H ldap://host -D "cn=admin,dc=example,dc=com" -W -f modify-user.ldif
ldapdelete -x -H ldap://host -D "cn=admin,dc=example,dc=com" -W \
  "uid=zhangsan,ou=people,dc=example,dc=com"

# 改密码（走 RFC 3062 扩展操作，服务器负责哈希）
ldappasswd -x -H ldaps://host -D "cn=admin,dc=example,dc=com" -W \
  -S "uid=zhangsan,ou=people,dc=example,dc=com"

# 生成密码哈希（OpenLDAP）
slappasswd -h {SSHA} -s 'MyP@ssw0rd'

# 导出全量数据备份
ldapsearch -x -LLL -H ldap://host -D "cn=admin,dc=example,dc=com" -W \
  -b "dc=example,dc=com" '(objectClass=*)' > backup.ldif

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

docker run -d --name openldap -p 389:389 -p 636:636 \
  -e LDAP_ORGANISATION="Example Inc" \
  -e LDAP_DOMAIN="example.com" \
  -e LDAP_ADMIN_PASSWORD="admin123" \
  osixia/openldap:latest

# 验证
ldapsearch -x -LLL -H ldap://localhost \
  -D "cn=admin,dc=example,dc=com" -w admin123 \
  -b "dc=example,dc=com" '(objectClass=*)'

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

# /etc/sssd/sssd.conf （权限必须是 0600）
[sssd]
services = nss, pam
domains = EXAMPLE

[domain/EXAMPLE]
id_provider = ldap
auth_provider = ldap
ldap_uri = ldaps://ldap.example.com:636
ldap_search_base = dc=example,dc=com
ldap_default_bind_dn = cn=readonly,dc=example,dc=com
ldap_default_authtok = ReadOnlyPass
ldap_tls_reqcert = demand
ldap_tls_cacert = /etc/ssl/certs/ca.crt
cache_credentials = true
enumerate = false

1
2
3
4
5

sudo chmod 600 /etc/sssd/sssd.conf
sudo systemctl restart sssd
getent passwd zhangsan # 能查到即成功
id zhangsan # 看组映射
sudo sssctl user-checks zhangsan # 官方诊断工具

1
2

80090308: LdapErr: DSID-0C0903A9, comment: AcceptSecurityContext error, data 52e, v3839
                                                                              ^^^^

1
2
3
4
5
6
7

# 第 1 步：Base DN 存在吗
ldapsearch -x -LLL -H $H -D "$D" -W -b "$BASE" -s base '(objectClass=*)' dn
# 第 2 步：子树下有东西吗（先只要 DN，避免刷屏）
ldapsearch -x -LLL -H $H -D "$D" -W -b "$BASE" -s sub '(objectClass=*)' dn | head -50
# 第 3 步：逐步加过滤条件
ldapsearch ... '(objectClass=person)' dn | head
ldapsearch ... '(&(objectClass=person)(uid=zhangsan))' dn

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

# 解法一：分页（推荐）
ldapsearch -E pr=500/noprompt ...

# 解法二：缩小范围，按 OU 分批
for ou in beijing shanghai shenzhen; do
  ldapsearch -x -LLL -b "ou=$ou,dc=example,dc=com" '(objectClass=person)' uid
done

# 解法三（服务端，需管理员权限）：调高上限
# OpenLDAP: olcSizeLimit: 5000
# AD: ntdsutil "LDAP policies" connections "connect to server DC01" q \
# "set MaxPageSize to 5000" commit changes q q

1
2
3
4

# 用 StartTLS
ldapsearch -x -ZZ -H ldap://host ...
# 或直接 LDAPS
ldapsearch -x -H ldaps://host:636 ...

1
2

ldap_start_tls: Connect error (-11)
  additional info: TLS error -8172:Peer's certificate issuer has been marked as not trusted

1
2
3
4
5

# 先列出子树所有 DN（按深度倒序），再逐个删
ldapsearch -x -LLL -H $H -D "$D" -W -b "ou=old,dc=example,dc=com" \
  '(objectClass=*)' dn | grep '^dn: ' | sed 's/^dn: //' | \
  awk '{print gsub(/,/,",") "\t" $0}' | sort -rn | cut -f2 | \
  while read d; do ldapdelete -x -H $H -D "$D" -w "$P" "$d"; done

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

# ❌ 危险：直接拼接
filter = f"(uid={username})"
# 用户输入 username = "*)(uid=*))(|(uid=*"
# 得到 (uid=*)(uid=*))(|(uid=*) → 永真，任意用户都能"查到"

# ✅ 正确：转义特殊字符
import re
def escape_ldap_filter(s: str) -> str:
    mapping = {'\\': r'\5c', '*': r'\2a', '(': r'\28', ')': r'\29', '\0': r'\00'}
    return ''.join(mapping.get(c, c) for c in s)

filter = f"(uid={escape_ldap_filter(username)})"

1
2
3
4
5

用户登录 Windows
  → Kerberos AS-REQ/TGS-REQ（88 端口）拿票据 ← 认证
  → LDAP 查用户所属组、组策略链接（389 端口） ← 授权与目录
  → SMB 从 SYSVOL 拉组策略文件（445 端口） ← 策略分发
  → DNS SRV 记录定位域控（53 端口） ← 服务发现

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

(uid=zhangsan) 精确匹配
(cn=张*) 前缀匹配
(mail=*) 属性存在
(!(mail=*)) 属性不存在
(&(objectClass=person)(department=研发)) 与
(|(uid=zs)(uid=ls)) 或
(uidNumber>=10000) 大于等于（无 > 运算符）
(&(objectClass=user)(!(userAccountControl:1.2.840.113556.1.4.803:=2))) AD 启用账号
(memberOf:1.2.840.113556.1.4.1941:=CN=dev,OU=G,DC=example,DC=com) AD 递归组成员
转义：*→\2a (→\28 )→\29 \→\5c NUL→\00