LDAP未授权访问漏洞

某天凌晨，未授问漏运维老张收到告警短信：生产环境的权访LDAP服务器流量异常。登录跳板机一看，未授问漏一台原本只对内网开放的权访OpenLDAP，正对着公网IP的未授问漏389端口疯狂发包。他查了一下访问日志，权访冷汗就下来了——一个来自国外的未授问漏IP，用cn=admin,权访dc=example,dc=com这个账号，成功绑定了。未授问漏密码是权访啥？admin。就这，未授问漏连暴力破解都省了。权访

这不是未授问漏段子。LDAP未授权访问，权访说白了就是未授问漏服务器把“匿名登录”或者“弱口令”当成了默认配置，直接摊在公网上。攻击者不需要任何凭据，用空密码或者默认账号就能连上去，然后像翻自家抽屉一样，把组织架构、员工手机号、邮箱、甚至服务账号的密码散列全部捞走。有些系统更离谱，连修改权限都没关，攻击者可以直接改条目，往里面塞一个恶意用户，后门就这么埋下了。

问题出在哪？第一，OpenLDAP和Microsoft AD默认允许部分匿名查询，很多管理员图省事，压根没关。第二，防火墙规则常年“放行所有”，觉得内网服务没必要加白名单。第三，也是最要命的——很多企业把LDAP当“内部基础设施”看待，默认“没人会来打”，可实际上，只要有一个边界设备被穿透，LDAP就是内网横向移动的黄金跳板。

我见过一个真实案例。某家做跨境电商的公司，他们的HR系统绑定了AD域控做员工认证。攻击者利用LDAP未授权访问，dump了全公司几千人的哈希，然后用其中几个高管账号直接登录了财务系统。整个过程没触发任何告警，因为LDAP协议本身是加密的？不，他们用的还是明文389端口。事后排查，发现那条“允许所有来源访问389”的规则，是三年前一个外包工程师图省事加的，注释写着“临时测试”。

别指望攻击者会手软。他们用ldapsearch这个工具，一条命令就能枚举整个目录：ldapsearch -x -H ldap://目标IP -b "dc=example,dc=com" "(objectClass=*)"。返回结果里，连用户密码的userPassword字段如果没做哈希保护，就直接明文躺着。更骚的操作是，有些攻击者会先匿名绑定，再尝试用空密码给管理员账号重置密码——如果ACL配置失误，这招真能成。

怎么防？别光想着改密码。先把389端口从公网彻底摘掉，内网也尽量用LDAPS（636端口）或者StartTLS加密。其次，把匿名绑定关掉，在OpenLDAP里设置disallow bind_anon，AD里则要禁用“允许匿名访问”的组策略。再给管理员账号单独设个ACL，只允许特定IP段绑定。最后，日志别只存不查，LDAP的审计日志里，连续多次bind失败或者异常时段的成功绑定，都是值得盯的信号。

老张后来查了那台OpenLDAP，发现攻击者早就把几个关键条目的objectClass改成了动态配置，相当于在目录里留了个后门。他花了整整两天，才从备份里恢复干净。事后他在运维群里发了句话：“我特么以为LDAP是个目录服务，结果它成了别人进我内网的目录。”这句话糙，但理不糙。LDAP的开放意味着什么？意味着你企业的组织架构、账号体系、信任路径，全裸奔了。别等到日志里出现陌生IP才想起补丁——那会儿，人家可能已经逛完一圈了。

很赞哦!（8）