Koj puas paub LDAP txhaj tshuaj yog dab tsi? Nws yog ib txoj kev txhaj tshuaj code uas tsom mus rau cov ntawv thov uas tsim cov lus nug txhaj tshuaj siv cov lus qhia ntawm tus neeg siv tsis tau ntxuav. LDAP (Lightweight Directory Access Protocol) feem ntau yog siv rau kev tshawb nrhiav cov npe, xws li kev lees paub cov neeg siv lossis rov qab tau cov ntaub ntawv ntawm lub koom haum. Thaum cov neeg tawm tsam muab cov lus qhia tshwj xeeb uas muaj LDAP metacharacters, lawv tuaj yeem hloov kho cov logic ntawm cov lus nug hauv npe kom nkag mus lossis hloov cov ntaub ntawv tsis raug. Qhov tseeb, qhov tsis muaj zog ntawm LDAP txhaj tshuaj tshwm sim thaum cov lim dej raug tsim los ntawm cov nqi tswj hwm los ntawm tus neeg siv yam tsis muaj kev ntxuav lossis kev lees paub cov lus qhia.
Yuav Ua Haujlwm Li Cas: Cov Txheej Txheem ntawm LDAP Injection Attack #
Ib qho kev tawm tsam LDAP tshwm sim thaum cov ntaub ntawv uas tus neeg siv muab tso rau hauv qhov kev nug LDAP tsis muaj kev nyab xeeb. Xav txog ib qho login lim:
(&(cn=” + username + “)(userPassword=” + password + “))Yog tias tus neeg tawm tsam xa cov kab lus * lossis terminator es tsis yog lub npe neeg siv raug, cov logic lim dej yuav tawg mus rau hauv kev ntsuam xyuas dav dua lossis qhov xwm txheej ib txwm muaj tseeb, ua rau hla dhau kev lees paub. Qhov no yog qhov tseeb li cas qhov kev txhaj tshuaj no ua haujlwm: txhaj tshuaj LDAP logic los hloov pauv tus cwj pwm xav tau.
Yog li, qhov tsis muaj zog ntawm LDAP txhaj tshuaj yog los ntawm kev tsim cov lus nug los ntawm kev nkag mus tsis ntseeg siab uas suav nrog cov cim tshwj xeeb, xws li cov ntawv sau, cov lus hais, thiab cov cim tsiaj qus, uas hloov kho cov lus nug semantics.
Ntxiv mus, lawv tshwm sim thaum cov lej thov theej cov ntaub ntawv neeg siv tsis muaj kev nyab xeeb rau hauv LDAP query thiab tsis ua tiav cov metacharacters, cia cov neeg tawm tsam cuam tshuam lossis tswj cov lus nug logic, nkag mus rau cov ntaub ntawv tsis raug cai, lossis hloov pauv kev ua haujlwm.
Vim li cas LDAP Injection Attack thiaj tseem ceeb? #
Kev tawm tsam LDAP txhaj tshuaj tuaj yeem cuam tshuam kev lees paub, xau cov ntaub ntawv rhiab heev, lossis txawm tias hloov kho cov qauv ntawm daim nplaub tshev. Imperva qhia tias cov neeg ua phem tuaj yeem cuam tshuam cov txheej txheem lees paub, saib lossis hloov kho cov npe neeg siv / passwords, teeb tsa malware, thiab nce cov cai, ua rau muaj kev ua txhaum cai ntawm cov ntaub ntawv, ua rau lub koob npe puas tsuaj, thiab kev poob nyiaj txiag.
Qhov tsis muaj zog ntawm LDAP injection tej zaum yuav kis mus rau hauv cov kev pabcuam sib txuas, tshwj xeeb tshaj yog nyob rau hauv enterprise cov chaw ib puag ncig siv LDAP rau kev kos npe ib zaug xwb (SSO), kev tso cai, lossis kev sib koom tes ntawm tus neeg siv tus kheej thiab kev tso cai.
Cov cim qhia txog qhov muaj qhov tsis zoo ntawm LDAP Injection uas twb muaj lawm #
Hauv kev ruaj ntseg hauv internet, kev tswj hwm yog hais txog kev coj noj coj ua, cov cai, thiab cov cim qhia tseem ceeb:
- Cov lej txuas cov lus qhia ntawm tus neeg siv ncaj qha rau hauv LDAP cov ntxaij lim dej.
- Tsis muaj kev lees paub cov ntaub ntawv nkag lossis khiav tawm.
- Siv cov cim tshwj xeeb xws li () * & | = hauv kev nkag yam tsis muaj kev txwv.
- Piv txwv li, cov txiaj ntsig ntawm kev nug uas tsis tau xav txog, kev lees paub ua tiav txawm tias muaj cov ntaub ntawv pov thawj los xij, lossis cov npe neeg siv dav dav rov qab los ntawm kev nkag tsawg kawg nkaus.
Cov lus nug uas tsim tsis raug los ntawm cov neeg siv cov lus qhia yuav ua rau muaj kev rub tawm cov ntaub ntawv tsis raug cai lossis hla dhau logic.
Yuav ua li cas kom txo lawv? #
Kev txo qhov tsis muaj zog ntawm LDAP injection txhais tau tias:
a. Kev Txheeb Xyuas Cov Ntaub Ntawv / Daim Ntawv Teev Npe Tso Cai
Txais tsuas yog cov cim lossis cov qauv uas paub zoo xwb. Tsis lees txais lossis ntxuav cov cim tswj xws li *, (,), &, |, =. PortsWigger pom zoo kom thaiv cov tswv yim uas muaj LDAP metacharacters lossis siv cov qauv alphanumeric nruj heev.
b. Kev Khiav Dim / Kev Sau Npe
Siv cov haujlwm tshwj xeeb ntawm LDAP: Distinguished Name escaping rau DN contexts, thiab search filter escaping rau predicates. OWASP muab cov lus qhia ntxaws ntxaws Daim Ntawv Qhia Txog Kev Tiv Thaiv nrog cov lus qhia tshwj xeeb
c. Cov Lus Nug Uas Muaj Kev Ntsuas / APIs Muaj Kev Nyab Xeeb
Tsis txhob siv cov string concatenation los tsim cov filters. Siv cov LDAP libraries uas txhawb nqa parameter binding lossis filter construction APIs (piv txwv li, UnboundID SDK's Filter.createANDFilter(…)) kom paub tseeb tias cov neeg siv cov input raug suav tias yog cov ntaub ntawv, tsis yog syntax.
d. Lub hauv paus ntsiab lus ntawm Txoj Cai Tsawg Tsawg (PoLP)
Khi LDAP nrog tsawg kawg nkaus txoj cai nkag mus. Txawm tias muaj kev txhaj tshuaj tshwm sim, nws txwv cov kev ua uas tus neeg tawm tsam tuaj yeem ua tau. Underscore PoLP ua ke nrog tsis muaj kev ntseeg siab thiab MFA los txwv kev cuam tshuam.
e. Cov Qauv / Cov Tsev Qiv Ntawv Ruaj Ntseg
Siv cov frameworks uas cia li khiav tawm lossis ntxuav cov inputs thiab tsis txhob tsim cov lus nug raw.
f. Cov Cuab Yeej Tshawb Xyuas Cov Code
Hauv .NET, siv CA3005 kev tshuaj xyuas los nrhiav cov ntaub ntawv HTTP uas tsis ntseeg siab uas ncav cuag LDAP cov lus hais; kho los ntawm kev ntxuav, khiav tawm, lossis tso cai rau cov ntaub ntawv teev cia.
g. Kev Ntsuas (Static, Dynamic, Pen-Testing)
Ua ke ob qho tib si Static AppSec (SAST) thiab Dynamic (DAST) kev tshuaj xyuas kom ntes tau qhov tsis muaj zog ntawm LDAP thaum so thiab thaum khiav.
h. Kev Sau Npe, Kev Saib Xyuas, Kev Ceeb Toom
Nrhiav cov qauv lim dej uas tsis zoo li qub, kev sim ua tsis tiav, lossis cov qauv nug uas tsis tau xav txog. Semperis pom zoo kom saib xyuas Active Directory rau cov lus nug LDAP tsis zoo lossis kev hloov pauv metadata.
Cov Lus Qhia Txog Cov Lus Txhais #
| Term | Lub ntsiab lus |
|---|---|
| Kev Txhaj Tshuaj LDAP | Ib txoj kev txhaj tshuaj code uas siv cov lus qhia ntawm tus neeg siv tsis tau ntxuav hauv LDAP filters. |
| LDAP Txhaj Tshuaj yog dab tsi | Ib qho teeb meem uas tshwm sim los ntawm kev tsim cov lus nug LDAP nrog cov ntaub ntawv tsis ntseeg siab. |
| Kev Tawm Tsam Txhaj Tshuaj LDAP | Qhov kev siv tiag tiag uas cov lus qhia hloov LDAP cov lus nug logic lossis tau txais kev nkag mus. |
| Qhov Tsis Zoo ntawm LDAP Injection | Qhov tsis zoo ntawm qib code ua rau muaj kev tawm tsam LDAP injection. |
Vim li cas qhov no thiaj tseem ceeb hauv DevSecOps? #
rau Cov pab pawg DevSecOps, kev tiv thaiv qhov tsis muaj zog ntawm LDAP txhaj tshuaj yog qhov tseem ceeb rau kev ruaj ntseg cov txheej txheem lees paub thiab kev tswj hwm kev nkag mus rau hauv phau ntawv teev npe. Kev koom ua ke tas mus li pipelines yuav tsum suav nrog kev kuaj xyuas cov lej static rau kev tsim cov lus nug tsis muaj kev nyab xeeb thiab kev sim dynamic rau kev tswj cov lim dej. Cov thawj coj kev ruaj ntseg yuav tsum tswj hwm kev siv cov tsev qiv ntawv khiav tawm, kev siv API parameterized, thiab kev ua raws li txoj cai tsawg tshaj plaws thiab cov cai pov thawj nkag.
Kev Txhawb Nqa DevSecOps Pipelines nrog Xygeni #
Tam sim no koj paub tias LDAP txhaj tshuaj yog dab tsi, koj paub tias kev ruaj ntseg cov ntawv thov niaj hnub no tawm tsam lawv xav tau ntau dua li kev kho cov lej. Cov pab pawg DevSecOps yuav tsum tswj hwm kev ruaj ntseg thoob plaws tag nrho software tsim kho lub neej, los ntawm cov code mus rau kev tsim mus rau kev xa tawm.
Cov cuab yeej nyiam Xygeni txhawb kom cov pab pawg neeg nrhiav tau lawv cov kev pheej hmoo txhaj tshuaj thaum ntxov los ntawm kev koom ua ke ntawm kev tshuaj xyuas zoo li qub, IaC luam theej duab, thiab ua kom muaj kev ruaj ntseg ntawm txoj cai ncaj qha rau hauv CI/CD cov txheej txheem ua haujlwm. Los ntawm kev saib xyuas tas li rau kev tsim cov lus nug tsis muaj kev nyab xeeb, kev pheej hmoo ntawm kev vam khom, lossis kev teeb tsa tsis raug, Xygeni pab tiv thaiv kev tawm tsam LDAP ua ntej lawv mus txog qhov tsim tawm.
Kev siv cov platform xws li Xygeni ua rau kev ruaj ntseg sib haum nrog kev txhim kho sai, muab kev pom tseeb tiag tiag, kev tswj hwm tsis siv neeg, thiab kev taw qhia kho kom haum rau kev tsim kho kom ruaj ntseg.
