hunt-ldap 是 claude-bughunter 技能集中专注于 LDAP 注入与 XPath 注入的安全狩猎技能。其内容以公开可验证的参考资料为基础，包括 OWASP LDAP 注入防护/测试指南（WSTG-INPV-06）、PortSwigger Web Security Academy 的 LDAP 注入内容，以及 RFC 4515 过滤器语法，而非虚构的漏洞报告编号。
用途 该技能用于在授权测试中识别和验证 LDAP 注入与 XPath 注入漏洞，覆盖认证绕过、盲注属性外带、目录枚举与 XML 后端绕过等场景。它把“高价值目标”按影响分级：绕过认证的 LDAP 注入为严重，盲注外带凭据/密钥为高危，仅 AD 枚举为中高危。
主要能力
- 后端确认：通过发送单个不平衡括号，观察是否出现过滤器语法错误、500 或响应差异，判断输入是否被转义。
- 认证绕过：针对形如 (&(uid=USERNAME)(userPassword=PASSWORD)) 的过滤器，提供通配、OR 恒真、NUL 截断等载荷，并强调括号平衡规则，避免把语法错误误判为绕过。
- 盲注外带：使用已知真/假对照建立稳定预言机，逐字符提取属性值，并给出重复验证、假对照复测等误报防护措施。
- XPath 注入：针对 XML 后端认证，提供 ' or '1'='1 等绕过载荷，并指出 XPath 没有注释语法，必须保持引号与括号平衡。
- AD 枚举：通过通配符计数预言机枚举 sAMAccountName，并转向 memberOf、description 等属性寻找特权账户或管理员误存的明文凭据。
- 工具与带外确认：给出 ldapsearch 验证命令、Burp Intruder 用法，以及通过 referral 指向 Collaborator 的带外确认思路。
关键区分：AD 与通用 LDAP 技能特别强调不可混淆两者。通用 LDAP（OpenLDAP、389-DS、ApacheDS）的 userPassword 可能保存 {SSHA}/{MD5}/{CRYPT} 哈希，在 ACL 允许时可被查询读取；Active Directory 的 unicodePwd 是只写属性，任何搜索都不会返回。因此对 AD 不应声称可导出密码哈希，其成果是枚举（sAMAccountName、memberOf、description/info 等管理员可能误存密码的字段）与认证绕过。哈希外带技术仅适用于暴露 userPassword 的非 AD 目录。
使用方式 技能以分阶段方法论组织：先建立基线对照，再测试认证绕过载荷，随后用受控预言机进行盲注外带，接着测试 XPath 注入，然后进行 AD 通配符枚举，最后用工具或带外方式确认。文中提供 curl 命令、载荷数组、探测函数与 ldapsearch 示例，可直接参考执行。
适用场景 适用于企业 SSO/内网登录页、Windows + IIS 集成目录认证、/api/ldap/、/api/directory/、/people、/address-book、员工搜索/组织架构图等功能，以及 XML 配置或认证后端。文中还列出可确认 LDAP 后端的错误字符串，如 javax.naming.NameNotFoundException、LDAP: error code 49 - 80090308、Bad search filter 等。
限制与验证纪律 技能要求报告前排除误报：认证绕过需返回有效会话并能访问登录后资源，且移除一个括号应产生语法错误；负对照载荷应返回失败响应；盲注每个字符需重复三次且大小稳定；XPath 需保持引号括号平衡；带外确认优先于仅凭长度推断。严重性分级为：以管理员/特权目录条目身份绕过认证为严重；非 AD 的 userPassword 哈希外带或 description 字段凭据读取为高危；仅 AD 用户/组枚举为中高危；确认盲注布尔预言机但无可达有用属性为中危。
其他事实（如具体收费、价格、平台支持范围）暂未提供。