LDAP 侦察详解

NetSPI 介绍通过 SQL Server 的 OLE DB ADSI 提供程序查询 Active Directory：利用 OPENQUERY/OPENROWSET 执行 LDAP 查询，并新增一组 PowerUpSQL 函数（需 sysadmin 权限）自动化域账户、计算机、组与 OU 等侦察任务。

分析微软 LAPS 方案：将本地管理员口令存入 LDAP 的 ms-MCS-AdmPwd 属性并定期轮换，但若未按建议移除扩展权限，普通域用户即可明文读取这些口令，为横向移动提供便利。

任意域用户查询 AD 中的 SPN 记录即可枚举域内全部 SQL Server（含实例名与端口），无需高噪音的发现扫描；NetSPI 发布的 Get-SQLServerAccess PowerShell 模块可进一步自动测试每个实例的可访问性与攻击面。

介绍通过 LDAP 查询账户的 ServicePrincipalName 属性，定位 Domain Admin 大概率登录的系统，从而加快从本地管理员到域管的提权路径；同时发布自动化此过程的 PowerShell 模块。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。

「把 LDAP 换成 LDAPS」为何大多是伪命题：AD 成员机始终使用 389 端口，SRV 重定向等变通做法行不通；文章解释 LDAPS 的真实局限，并给出加固 AD LDAP 的可行方向。