管理员帐户的ldapsearch和objectsid=*-500

Question

有没有办法运行 ldapsearch 和 ObjectSid=*-500 来获取管理员帐户或任何其他方式？我已经尝试过这个，如果我使用确切的 ObjectSid 值运行搜索，那么我会得到一个值，但 * 不会返回任何内容（甚至不是确切的 ObjectSid 记录）。

感谢您的帮助！

在 LDAP 搜索中： 我尝试运行 ObjectSID= ，这有效。 我尝试运行 ObjectSID=*500 和 ObjectSID=*-500 但这不起作用。如何让它发挥作用？

Answer 1

objectSid

不支持子字符串匹配，因为它首先不是字符串属性——它是一个二进制属性，只有一个特殊的匹配规则来接受字符串搜索，其工作原理是将字符串SID转换为二进制SID并然后对二进制形式执行所有比较（当然不能使用字符串通配符完成）。

查找 RID 为 500 的帐户的一种方法是从域对象检索 objectSid 属性，以获得“域 SID”（二进制形式），将其转换为文本形式，然后附加 -500 RID 以获取“管理员”帐户的 SID，然后您将能够对其进行精确匹配搜索。

（当然，这只会找到内置“管理员”帐户 - 它不会找到任何其他拥有域管理员权限的人；这需要再次搜索具有 -512 RID 的组。）