用途：在互联网可达的 IIS、SharePoint、Exchange/OWA、Citrix、Lync 等服务上探测 NTLM/Negotiate 信息泄露。匿名 NTLMSSP Type-1 会收到符合协议的 Type-2 质询，质询中携带内部 AD 拓扑，可用于后续攻击侦察。
主要能力：先看响应头是否出现 WWW-Authenticate: NTLM 或 Negotiate；再到常见路径（/_api/web/CurrentUser、/_vti_bin/*.asmx、/EWS/Exchange.asmx、/owa/、/Microsoft-Server-ActiveSync、/PowerShell 等）发送类型1消息；捕获 Type-2 头后 base64 解码，解析 TargetName 与 TargetInfo 中的 AV_PAIRS：1 NetBIOS 计算机名、2 NetBIOS 域名、3 DNS 计算机名、4 DNS 域名、5 DNS 林名、7 时间戳、9 Target Name。
使用方式：用显式 keep-alive 的原始连接发送，例如 Burp Repeater 或原始 socket 脚本；一次性 curl 常因连接关闭拿不到 Type-2。示例探测：curl -sk -I -H "Authorization: NTLM TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAGAbEdAAAADw==" "https://target.example/_api/web/CurrentUser"。完整捕获用带 Authorization、Connection: keep-alive 的原始请求，再按字节偏移解析安全缓冲区与 AV 对。
适用场景：公网暴露的企业基础设施，双认证（Forms+NTLM）的 IIS/SharePoint、Exchange 边缘、默认主机名 WIN-XXXXXXXXXXX、子域隶属于母公司 AD 等情况；可与其他认证绕过、SharePoint、M365/Entra 侦察技能串联，补全 UPN 格式、主机命名与林归属。
限制：该泄露本身是协议预期行为，多数场景为低危至中危，仅含拓扑时可能为信息级；是否可报告取决于项目范围，需确认是否接受无链式影响的信息泄露，并评估新鲜时间戳、默认主机名、母林泄露等升级因素。企业内部 VPN 内的同类泄露通常不可报告。仅为检测方法说明，具体授权、路径可用性与结果以目标实际情况为准，其它未提供。