DNSにないドメインコントローラーを特定するにはどうすればよいですか？
組織のブラインドで行われる侵入テストで、設計のネットワークトポロジの知識がない、ドメインが何であるかわからない、ドメインコントローラーがDNSに表示されていない...ドメインを特定する方法コントローラは？
DC DNSを処理する代わりに専用DNSサーバーを想定
このシナリオでドメインコントローラーを特定する方法はありますか？
NMAPバンドワゴンでのジャンプ：TCPポート389（LDAP）、636（LDAPS）、3268（LDAPグローバルカタログ）、または3269（LDAPSグローバルカタログ）を持つマシンも探します。 DCのみがグローバルカタログサーバーになることができるため、2つは特にジューシーです。
TCPブロードキャスト、NBT経由のNetBIOSを探します
https://technet.Microsoft.com/en-us/library/cc940063.aspx
1Cでグループ名を探します。これはドメインコントローラーを示しているためです。この名前は同じサブネットでブロードキャストされ、NBTSTAT -A IPを使用してマシンごとに照会されることを期待します。
ペンテストが起動されている場所に応じて、LDAP、Kerberos、GCなどのSRVレコードを照会することで、DCを判別できるはずです。
この Microsoft TechNetリンク にはいくつかの例があります。
または、ドメインにアカウントがある場合（念のため）、コマンドプロンプトからnltest /dclist:yourdomain.comを実行します。