Ua e iloa le uiga o le LDAP injection? O se metotia o le code injection e fa'atatau i polokalama e fausia ai fesili e fa'aaoga ai mea e ulufale mai ai tagata fa'aoga e le'i fa'amamaina. O le LDAP (Lightweight Directory Access Protocol) e masani ona fa'aaogaina mo su'esu'ega o fa'asinomaga, e pei o le fa'amaoniaina o tagata fa'aoga po'o le toe maua mai o fa'amatalaga fa'ale-fa'alapotopotoga. A tu'uina atu e tagata osofa'i ni mea fa'apitoa ua mamanuina o lo'o i ai ni LDAP metakaracter, e mafai ona latou suia le fa'avae o fesili e ulufale ai i fa'amatalaga i se auala le talafeagai. O le mea moni, e tula'i mai se vaivaiga o le LDAP injection pe a fausia fa'asolosolo faamama mai tau e pulea e le tagata fa'aoga e aunoa ma le fa'amamaina po'o le fa'amaoniaina o mea e ulufale mai ai.
Auala e Galue ai: Faiga o se Osofa'iga Tui LDAP #
E tupu se osofa'iga fa'asu'i LDAP pe a fa'apipi'iina fa'amatalaga na tu'uina mai e le tagata fa'aoga i se fesili LDAP e aunoa ma se saogalemu. Mafaufau i se login faamama:
(&(cn=” + igoa ole tagata faʻaoga + “)(userPassword=” + upu faataga + “))Afai e tuʻuina atu e se tagata osofaʻi ni faʻasologa o le * poʻo le terminator nai lo se igoa faʻaoga aloaia, o le a pa'ū le logic filter i se iloiloga lautele poʻo se tulaga moni i taimi uma, ma faʻaitiitia ai le faʻamaoniga. O le auala tonu lava lea e faʻagaoioia ai lenei tui: tuiina o le logic LDAP e faʻaleagaina ai amioga na fuafuaina.
O lea la, o le vaivaiga o le tui LDAP e mafua mai i le fausiaina o fesili e ala i faʻamatalaga e le faʻatuatuaina e aofia ai mataʻitusi faʻapitoa, e pei o faʻailoga puipui, upusii, ma wildcards, lea e toe faʻatulagaina ai le uiga o fesili.
E le gata i lea, e tutupu pe a kopi e le code application faʻamatalaga a le tagata faʻaoga i se fesili LDAP ma le le mafai ona faʻaleaogaina metakaracter, ma faʻatagaina ai tagata osofaʻi e faʻalavelave pe faʻaogaina le logic o fesili, maua faʻamatalaga e leʻi faʻatagaina, pe suia le tafe o le faʻatinoga.
Aiseā e Tāua ai se Osofa'iga Tui LDAP? #
E mafai e se osofaʻiga LDAP ona faʻalavelaveina le faʻamaoniga, faʻasalalauina faʻamatalaga patino, pe suia foʻi le fausaga o le faʻasinomaga. Ua faʻamamafa e Imperva e mafai e tagata faʻamataʻu ona faʻaleagaina faiga faʻamaoniga, vaʻai pe suia igoa ole tagata faʻaoga/upu faʻalilolilo, faʻapipiʻi polokalama leaga, ma faʻateleina avanoa, ma iʻu ai i le solia o faʻamaumauga, faʻaleagaina o le igoa, ma gau tupe.
E ono fa'asolosolo malie lava vaivaiga o le tuiina o le LDAP i auaunaga feso'ota'i, aemaise lava i totonu enterprise siosiomaga e faʻaaogaina le LDAP mo le saini e tasi (SSO), faʻatagaga, poʻo le faʻamaopoopoina o faʻasinomaga ma faʻatagaga a le tagata faʻaoga.
Fa'ailoga o se Vaivaiga o le LDAP Injectable o lo'o iai nei #
I le puipuiga o le initaneti, o le pulega e faasino i le auala e taitai ai, faiga faavae, ma faailoilo autu e faapea:
- E fa'apipi'i sa'o e le code mea na fa'aofi e tagata fa'aoga i totonu o faamama LDAP.
- Le lava o le fa'amaoniga o le ulufale mai po'o le sola ese.
- Faaaogāina o mataitusi faapitoa e pei o le () * & | = i le fa'aofiina e aunoa ma se fa'atapula'aina.
- O taunuuga o fesili e le'i fa'amoemoeina, mo se fa'ata'ita'iga, e manuia le fa'amaoniga e tusa lava po'o a fa'amaoniga, pe toe fo'i mai le lisi lautele o tagata fa'aoga pe a itiiti le fa'aofiina.
O fesili sese na fausia mai mea na fa'aofi e le tagata fa'aoga e ono mafai ai ona toe maua mai fa'amatalaga e le'i fa'atagaina pe fa'ataga ai fo'i le fa'aogaina o se auala fa'atonutonu.
E faʻapefea ona faʻaitiitia i latou? #
O le faʻaitiitia o le vaivai o le tui LDAP e aofia ai:
a. Fa'amaoniga o le Ulufale / Lisi Fa'atagaina
Ia talia na'o mata'itusi po'o mamanu saogalemu ua iloa. Te'ena pe fa'amamā mata'itusi pulea e pei o le *, (, ), &, |, =. Ua fautuaina e PortsWigger le poloka o mea e ulufale mai ai o lo'o i ai le LDAP metakarita po'o le fa'amalosia o mamanu fa'a-alphanumeric fa'amalosi.
b. Sola ese / Fa'ailogaina
Faaaoga galuega fa'atino e fa'apitoa mo le LDAP e sola ese ai: Distinguished Name e sola ese ai mo fa'amatalaga DN, ma le search filter escape mo predicates. O le OWASP e tu'uina atu ai se fa'amatalaga auiliili. Pepa Fa'ata'ita'i mo le Puipuiga fa'atasi ai ma ta'iala fa'apitoa
c. Fesili Fa'atulagaina / API Saogalemu
Aloese mai le fausiaina o faamama e ala i le fa'apipi'iina o manoa. Faaaoga faletusi LDAP e lagolagoina ai le fa'apipi'iina o parakalafa po'o API fausiaina o faamama (e pei o le UnboundID SDK's Filter.createANDFilter(…)) e fa'amautinoa ai o mea na ulufale mai ai tagata fa'aoga o lo'o taulimaina o fa'amaumauga, ae le o le fa'atulagaga o upu.
o. Fa'avae o Fa'ailoga Fa'atauva'a (PoLP)
Fa'apipi'i le LDAP i ni aia tatau e itiiti lava. Tusa lava pe tupu se tui, e fa'atapula'aina ai gaioiga e mafai ona faia e se tagata osofa'i. Fa'amamafa le PoLP fa'atasi ma leai se fa'atuatuaga ma le MFA e faʻatapulaʻaina ai aafiaga.
e. Fa'avae/Faletusi Saogalemu
Faaaoga ni fa'avae e otometi lava ona sola ese pe fa'amamā ai mea e ulufale mai ma fa'avaivaia ai le fausiaina o fesili mata.
f. Meafaigaluega mo le Su'esu'eina o Tulafono Fa'akomepiuta
I le .NET, fa'aaoga le au'ili'iliga CA3005 e iloa ai le ulufale mai o le HTTP e le'i fa'atuatuaina o lo'o o'o atu i fa'amatalaga LDAP; fa'aleleia e ala i le fa'amamaina, sola ese, po'o le fa'atagaina o le lisiina o ulufale mai.
g. Su'ega (Static, Dynamic, Pen‑Testing)
Tuufaatasia uma le Static AppSec (SAST) ma le Dynamic (Mataʻutia) su'esu'ega e iloa ai le vaivaiga o le tui LDAP i le taimi e malolo ai ma le taimi e fa'agaoioi ai.
h. Fa'amaumauga, Mata'ituina, Lapata'iga
Iloa ni mamanu fa'amama e le masani ai, taumafaiga e le manuia, po'o ni fausaga fesili e le'i mafaufauina. Ua fautuaina e Semperis le mata'ituina o le Active Directory mo fesili LDAP e le masani ai po'o le fa'aogaina o fa'amatalaga.
Lisi o Aotelega o Upu #
| vaitaimi | uiga |
|---|---|
| Tui LDAP | O se metotia e tuiina ai tulafono e faʻaaogaina ai mea e leʻi faʻamamaina e tagata faʻaoga i totonu o faamama LDAP. |
| O le ā le LDAP Tuisuiga | O se vaivaiga e mafua mai i le fausiaina o fesili a le LDAP faatasi ai ma ni fa'amatalaga e le fa'atuatuaina. |
| Osofa'iga Tui LDAP | O le fa'aaogaina moni lea e suia ai e le input le LDAP query logic po'o le maua o le avanoa. |
| Vaivai o le Tui LDAP | O le fa'aletonu o le tulaga-code e mafai ai ona faia osofa'iga tui LDAP. |
Aiseā e Tāua ai Lenei Mea i le DevSecOps? #
mo 'Au a le DevSecOps, o le puipuia o le vaivai o le tui LDAP e taua tele i le faʻamautuina o tafega faʻamaonia ma le puleaina o avanoa e lagolagoina e le faʻasinomaga. Faʻaauau pea ona tuʻufaʻatasia pipelineE tatau ona aofia i le s siaki tulafono tumau mo le fausiaina o fesili e le saogalemu ma suʻega faʻaolaola mo le faʻaogaina o le filter. E tatau i pule o le saogalemu ona faʻamalosia le faʻaaogaina o faletusi e sola ese, faʻaaogaina o le API faʻatulagaina, ma le tausisia o faiga faʻavae e le lava le avanoa ma le faʻamaoniga o le ulufale.
Fa'amalosia o le DevSecOps Pipelinefaatasi ai ma Xygeni #
O lea ua e iloa le mea e ta'ua o le LDAP injection, ua e iloa fo'i o le puipuiga o polokalame fa'aonaponei mai ia polokalame e mana'omia ai le sili atu nai lo na'o ni fa'aleleiga i le tulaga o le code. E tatau i 'au a le DevSecOps ona fa'amalosia le puipuiga i le vaega atoa. polokalama atinae olaga atoa, mai le code i le fausiaina i le faʻatinoina.
Meafaigaluega pei Xygeni fa'amalosia 'au e iloa vave a latou lamatiaga o tui e ala i le tu'ufa'atasia o au'ili'iliga tumau, IaC su'esu'eina, ma fa'amautu le fa'amalosia o tulafono fa'avae sa'o i totonu CI/CD faiga o galuega. I le mata'ituina pea o le fausiaina o fesili e le saogalemu, tulaga lamatia o le faalagolago, po'o fa'atulagaga sese, e fesoasoani Xygeni e puipuia osofa'iga o le LDAP a'o le'i o'o i le gaosiga.
O le faʻapipiʻiina o faʻavae e pei o le Xygeni e faʻafetaui ai le saogalemu ma le saoasaoa o le atinaʻe, e maua ai le vaʻaia i le taimi moni, pulega faʻaautomatika, ma le taʻiala toe faʻaleleia ua faʻatulagaina mo le inisinia saogalemu-e-le-mamanu.
