无需注册表开启调试模式，Windows下如何记录LDAP查询？

无需注册表调试的LDAP查询记录方式 #

不修改注册表开启调试模式的前提下，有几种针对性方案可记录LDAP查询，且支持实时过滤，避免全量日志的资源消耗：

1. 利用ETW（Event Tracing for Windows）实现精准过滤 #

Windows的ETW框架可直接针对LDAP服务事件做精准捕获，资源占用远低于全量日志：

• 用logman命令创建LDAP跟踪会话，指定输出路径与基础配置：

  logman create trace LDAPFilteredTrace -p "Microsoft-Windows-LDAP-Server" -o C:\LDAPTraces.etl -ets -f bincirc -max 1024 -cnf 00:15:00
  

• 添加过滤规则，比如仅捕获包含特定关键词（如CN=Admin）或特定客户端IP的查询：

  logman update trace LDAPFilteredTrace -p "Microsoft-Windows-LDAP-Server" -filter "Query LIKE '%CN=Admin%'" -ets
  

• 停止跟踪时执行：

  logman stop LDAPFilteredTrace -ets
  

• 用tracerpt解析ETL文件为可读格式：

  tracerpt C:\LDAPTraces.etl -o C:\LDAPTraceResults.csv
  

2. 通过AD DS扩展插件实现自定义回调 #

Windows LDAP服务（NTDS）支持通过AD DS扩展插件注册回调，订阅LDAP请求事件：

• 编写C++或C#的AD DS扩展，实现IDirectoryObject接口相关方法，在LDAP查询到达时触发自定义逻辑，直接提取并过滤目标查询内容。
• 该方案需要开发能力，但能实现最精准的实时过滤，仅记录符合条件的查询，资源消耗可忽略。

3. 使用Windows自带工具临时排查 #

用系统自带的ldp.exe工具可快速实现定向监控：

• 打开ldp.exe后，在「View」菜单开启「Log」功能，设置过滤规则，仅记录特定类型或包含指定内容的LDAP请求。
• 无需修改系统配置，操作简单，适合临时排查场景。

方案优势对比 #

• ETW过滤：通过内核级事件管道筛选，仅保留符合规则的事件，CPU与磁盘占用极低。
• AD DS扩展插件：直接在服务内部处理，仅对目标查询做记录，资源消耗可忽略。
• ldp.exe：零配置成本，适合快速定位特定LDAP查询问题。

内容的提问来源于stack exchange，提问作者Alex