这里我们学习Ldapsearch的用法，主要是获取域中用户、主机、用户组、指定用户组中的用户信息

测试环境

• 域控：Windows 2016，域名：test.lab
• 测试主机：未加入域，和域控在一个网段，Kali

Ldapsearch的使用

1、Ldapsearch介绍

• 由OpenLDAP Project项目组开发维护，一个在Shell环境下进行调用ldap_search_exe库进行LDAP搜素的工具。Kali中默认安装
• LDAP和Windows AD的关系：Active Directory=LDAP服务器+LDAP应用（Windows域控）。Active Directory先实现一个LDAP服务器，然后自己先用这个LDAP服务器实现了自己的一个具体应用（域控）

2、验证用户是否有效：

ldapsearch -D 用于验证的binddn -w '对应密码' -p ldap服务器端口 -h ldap服务器地址

关于binaddn：binddn表示为“绑定专有名称”，可以理解为和LDAP服务器通信的用户名，对于Windows AD可以有两种形式：

• 用户名@域名
• 用户和用户所在LDAP目录树中的位置组合：CN=dc16,CN=Users,DC=lab,DC=local，Windows的用户一般都是以CN=用户名,CN=Users,DC=xx（按照域名的形式组合）

通过验证的话会返回No such object，因为没有指定搜索的入口

3、导出域中全部信息：

ldapsearch -D 用于验证的binddb -w '对应密码' -p ldap服务器端口 -h ldap服务器地址 -b 'dc=test,dc=lab'

这里结果信息很大，在默认域中只添加一个主机，1个新建用户的情况，产生了近6K行的文件（207K）。里面的信息应有尽有，可以重点关注的关键字：

关键字	备注
dn	记录所对应的专有名称，可以看出该记录是否在某个OU中
description	管理员在创建记录时添加的描述
objectClass	指示记录类型（主机、用户、用户组）
pwdLastSet	最近一次密码设置的时间
sAMAccountName	Windows账户登录名（就是 域名\用户名 这种常见于登录框的）
userPrincipalName	Windows登录名，类似电子右键的形式
memberOf	用户记录中，用来记录用户所属用户组
member	用户组记录中，用来记录组中用户
lastLogon	上一次登录时间
lastLogonTimestamp	上次登录时间戳

4、导出域中全部用户信息：导出指定部分的记录，利用过滤规则，过滤就可以，但是由于域内主机在AD中也有一个对应的机器账号，所以这里查询的结果也会包含主机。

过滤规则直接添加到命令后即可：

ldapsearch -D 用于验证的binddn -w '对应密码' -p ldap服务器端口 -h ldap服务器地址 -b 'dc=test,dc=lab' 'objectClass=user'

5、导出主机信息

ldapsearch -D 用于验证的binddn -w '对应密码' -p ldap服务器端口 -h ldap服务器地址 -b 'dc=test,dc=lab' 'objectClass=computer'

6、 导出用户组信息

ldapsearch -D 用于验证的binddn -w '对应密码' -p ldap服务器端口 -h ldap服务器地址 -b 'dc=test,dc=lab' 'objectClass=group'

7、导出指定用户组的信息：

修改搜索入口到指定组即可，这里以导出域管用户和域控主机为例

#域管用户
ldapsearch -D 用于验证的binddn -w '对应密码' -p ldap服务器端口 -h ldap服务器地址 -b 'cn=domain admins,cn=users,dc=test,dc=lab' #域控主机
ldapsearch -D 用于验证的binddn -w '对应密码' -p ldap服务器端口 -h ldap服务器地址 -b 'ou=domain controllers,dc=test,dc=lab' 'objectClass=computer'

8、超大规模查询：

默认情况ldapsearch显示1000个节点，如果需要查询更多的话添加- e "pr=500/noprompt"选项

9、虽然命令行的ldapsearch操作较为复杂，但更为灵活、在流量、稳定性上也有较好的表现。同时，作为Linux下开源软件，也可以通过交叉编译直接移植到目标边界设备中，在无法进行端口转发时获取内部信息。

---

加油

: )