LDAPvsNTLM

LDAP

LDAP 是访问目录服务（如 Active Directory）的标准协议，用于查询和管理用户、组、计算机等对象。LDAP 注入是常见的安全漏洞。

NTLM

NTLM 是 Windows 的传统认证协议，虽然已被 Kerberos 替代为默认协议，但因兼容性原因仍广泛存在。NTLM 的安全弱点使其成为 Pass the Hash 等攻击的基础。

LDAP

• 目录服务的标准查询协议
• Active Directory 的底层接口
• LDAP 注入是常见安全漏洞

NTLM

• Windows 传统认证协议
• 存在 Pass the Hash 等已知弱点
• 应尽量禁用，改用 Kerberos

LDAP

访问和管理目录服务的轻量级标准协议

NTLM

Windows 的传统挑战-响应认证协议

LDAP

• AD 用户和权限的查询管理
• 应用程序的用户认证集成
• 目录服务的安全审计

NTLM

• AD 环境的认证安全审计
• NTLM Relay 攻击的检测
• 遗留系统的认证协议迁移

LDAP

LDAP 使用树形结构组织数据（DN、OU、CN），支持搜索、添加、修改、删除操作。在 AD 环境中，LDAP 用于查询用户信息、组成员关系和权限配置。安全风险：LDAP 注入（类似 SQL 注入）、未加密的 LDAP 传输明文凭据（应使用 LDAPS）、匿名绑定泄露信息。BloodHound 的数据采集就是通过 LDAP 查询 AD。

NTLM

NTLM 使用挑战-响应机制认证，但不支持双向认证，容易受到中间人攻击和重放攻击。NTLM 哈希可以直接用于 Pass the Hash 攻击。微软已多次建议禁用 NTLM 改用 Kerberos，但很多遗留系统仍依赖 NTLM。NTLM Relay 攻击可以将截获的 NTLM 认证转发到其他服务，是 AD 攻击的常见手法。