LDAP 匿名绑定检查是什么
LDAP 目录服务允许客户端在不提供凭据的情况下执行匿名绑定，用于查询公开的基础信息。问题在于不少目录把匿名可读范围留得太宽：组织架构、部门、账号名、邮箱甚至部分属性都能被陌生人列出来。这类信息本身不构成直接入侵，但会显著降低社工与口令尝试的成本。
基本信息
| 核查对象 | 匿名绑定开关、匿名可读的属性范围 |
|---|---|
| 常见端口 | 389 LDAP / 636 LDAPS / 3268 全局编录（AD） |
| 风险 | 组织架构与账号信息泄露，助推社工 |
| 修复方向 | 关闭匿名绑定，或把可读范围限制到必要属性 |
| 处置纪律 | 只做小范围验证，不批量导出目录数据 |
典型使用场景
- 内网评估：确认目录服务是否允许陌生人枚举账号
- 身份体系梳理：核对目录与业务系统的账号同步关系
- 上线前检查：新部署目录服务是否沿用了默认匿名策略
- 修复验证：限制后复测匿名查询的返回范围
- 风险沟通：向客户说明信息泄露对钓鱼与口令攻击的放大作用
只读检查示例
只读检查示例
ldapsearch -x -H ldap://10.0.20.12 -b '' -s base '(objectClass=*)' namingContexts
# 能匿名得到命名上下文即存在匿名访问；记录后停止
ldapsearch -x -H ldap://10.0.20.12 -b 'dc=corp,dc=local' -s base '(objectClass=*)'
ldapsearch -x -H ldap://10.0.20.12 -b 'dc=corp,dc=local' '(objectClass=user)' sAMAccountName \
-z 5 # 限制返回条目数，仅证明可读性
# 不执行批量导出，不保存完整目录内容可读范围与风险
| 可读内容 | 含义 | 风险参考 |
|---|---|---|
| 命名上下文 | 匿名可探知目录结构 | 中危，信息泄露起点 |
| 账号名与邮箱 | 可枚举有效账号 | 中危至高危，助推口令尝试 |
| 手机号与部门 | 可直接用于社工 | 按数据敏感度上调 |
| 密码相关属性 | 可能包含可复用哈希 | 高危，优先整改 |
组织信息对社工类风险有放大作用：按暴露的属性范围与数据敏感度定级，只暴露少量公开信息与暴露全员手机号，等级差异很大。
不要批量导出目录数据作为证据：导出文件本身就是一份高价值目标清单，泄露后果比原始问题更严重；留最小可证明的查询结果即可。