Je, unajua sindano ya LDAP ni nini? Ni mbinu ya sindano ya msimbo inayolenga programu zinazounda hoja za sindano kwa kutumia ingizo la mtumiaji lisilosafishwa. LDAP (Itifaki ya Ufikiaji wa Saraka Nyepesi) hutumika sana kwa utafutaji wa saraka, kama vile kuthibitisha watumiaji au kupata data ya shirika. Washambuliaji wanaposambaza ingizo lililoundwa maalum lenye herufi za meta za LDAP, wanaweza kurekebisha mantiki ya hoja za saraka ili kufikia au kubadilisha data isivyofaa. Kwa kweli, udhaifu wa sindano ya LDAP hutokea wakati vichujio vinajengwa kwa njia inayobadilika kutoka kwa thamani zinazodhibitiwa na mtumiaji bila usafi wa ingizo au uthibitisho.
Jinsi Inavyofanya Kazi: Mitambo ya Shambulio la Sindano la LDAP #
Shambulio la sindano ya LDAP hutokea wakati data iliyotolewa na mtumiaji inapoingizwa kwa njia isiyo salama katika swali la LDAP. Fikiria login chujio:
(&(cn=” + jina la mtumiaji + “)(userPassword=” + nenosiri + “))Ikiwa mshambuliaji atawasilisha mfuatano wa * au kisimamizi badala ya jina la mtumiaji halali, mantiki ya kichujio huanguka na kuwa tathmini pana au hali halisi kila wakati, ikikwepa uthibitishaji. Hivi ndivyo hasa jinsi sindano hii inavyofanya kazi: kuingiza mantiki ya LDAP ili kupotosha tabia inayokusudiwa.
Kwa hivyo, udhaifu wa sindano ya LDAP unatokana na kujenga hoja kupitia ingizo lisiloaminika ambalo linajumuisha herufi maalum, kama vile mabano, nukuu, na kadi wildcards, ambazo hubadilisha muundo wa semantiki ya hoja.
Zaidi ya hayo, hutokea wakati msimbo wa programu unakili data ya mtumiaji kwa njia isiyo salama kwenye hoja ya LDAP na kushindwa kugeuza herufi za meta, na kuwaruhusu washambuliaji kuingilia au kubadilisha mantiki ya hoja, kufikia data isiyoidhinishwa, au kubadilisha mtiririko wa utekelezaji.
Kwa nini Shambulio la Sindano la LDAP Lina Umuhimu? #
Shambulio la sindano la LDAP linaweza kuvuruga uthibitishaji, kuvuja taarifa nyeti, au hata kurekebisha muundo wa saraka. Imperva inaangazia kwamba wahusika wa vitisho wanaweza kuathiri michakato ya uthibitishaji, kutazama au kurekebisha majina ya watumiaji/manenosiri, kusakinisha programu hasidi, na kuongeza marupurupu, na kusababisha uvujaji wa data, madhara ya sifa, na hasara za kifedha.
Udhaifu wa sindano ya LDAP unaweza kusambaa kupitia huduma zilizounganishwa, hasa katika enterprise mazingira yanayotumia LDAP kwa ajili ya kuingia moja (SSO), uidhinishaji, au uratibu wa utambulisho na ruhusa za mtumiaji.
Dalili za Udhaifu wa Sindano ya LDAP iliyopo #
Katika usalama wa mtandao, utawala unamaanisha jinsi uongozi, sera, na alama muhimu za hatari:
- Msimbo huunganisha ingizo la mtumiaji moja kwa moja kwenye vichujio vya LDAP.
- Ukosefu wa uthibitisho wa ingizo au kutoroka.
- Matumizi ya herufi maalum kama () * & | = katika ingizo bila kizuizi.
- Matokeo yasiyotarajiwa ya hoja, kwa mfano, uthibitishaji hufanikiwa bila kujali sifa, au orodha pana za watumiaji hurejea kwa ingizo dogo.
Maswali yaliyoundwa vibaya kutoka kwa ingizo la mtumiaji yanaweza kuruhusu urejeshaji data usioidhinishwa au upuuzaji wa mantiki.
Jinsi ya kupunguza yao?
Kupunguza udhaifu wa sindano ya LDAP kunahusisha:
a. Uthibitishaji wa Ingizo / Orodha ya Ruhusa
Kubali herufi au ruwaza zinazojulikana salama pekee. Kataa au sanifisha herufi za udhibiti kama *, (, ), &, |, =. PortsWigger inapendekeza kuzuia ingizo zenye metaherufi za LDAP au kutekeleza ruwaza kali za alfabeti na nambari.
b. Kutoroka / Kusimbua
Tumia vitendakazi maalum vya kutoroka vya LDAP: Jina Lililotengwa linalotoroka kwa muktadha wa DN, na kichujio cha utafutaji kinachotoroka kwa viambishi. OWASP hutoa maelezo ya kina Karatasi ya Kudanganya ya Kuzuia yenye mwongozo maalum
c. Maswali Yaliyowekwa Vigezo / API Salama
Epuka kujenga vichujio kupitia mshikamano wa kamba. Tumia maktaba za LDAP zinazounga mkono uunganishaji wa vigezo au API za ujenzi wa vichujio (km, Filter.createANDFilter(…)) ya SDK ya UnboundID ili kuhakikisha kuwa ingizo la mtumiaji linachukuliwa kama data, si sintaksia.
d. Kanuni ya Upendeleo mdogo (PoLP)
Funga LDAP kwa haki ndogo za ufikiaji. Hata kama sindano itatokea, inapunguza vitendo ambavyo mshambuliaji anaweza kufanya. Weka alama ya chini ya PoLP pamoja na uaminifu sifuri na MFA ili kupunguza athari.
e. Mifumo/Maktaba Salama
Tumia mifumo inayotoka au kusafisha ingizo kiotomatiki na kuzuia ujenzi wa hoja ghafi.
f. Zana za Uchambuzi wa Misimbo
Katika .NET, tumia uchanganuzi wa CA3005 ili kugundua ingizo la HTTP lisiloaminika linalofikia taarifa za LDAP; rekebisha kwa kusafisha, kutoroka, au kuruhusu ingizo la kuorodhesha.
g. Upimaji (Tuli, Nguvu, Upimaji wa Kalamu)
Unganisha AppSec Tuli (SAST) na Nguvu (dast) kuchanganua ili kubaini udhaifu wa sindano ya LDAP wakati wa mapumziko na wakati wa utekelezaji.
h. Kurekodi, Ufuatiliaji, Utahadharishaji
Gundua ruwaza zisizo za kawaida za kichujio, majaribio yaliyoshindwa, au miundo isiyotarajiwa ya hoja. Semperis inapendekeza kufuatilia Saraka Inayotumika kwa hoja zisizo za kawaida za LDAP au ubadilishaji wa metadata.
Jedwali la Muhtasari wa Faharasa #
| Mrefu | Maana |
|---|---|
| Sindano ya LDAP | Mbinu ya kuingiza msimbo inayotumia ingizo la mtumiaji lisilosafishwa katika vichujio vya LDAP. |
| Sindano ya LDAP ni nini? | Udhaifu unaotokana na kujenga hoja za LDAP kwa kutumia ingizo lisiloaminika. |
| Shambulio la Sindano ya LDAP | Unyonyaji halisi ambapo ingizo hubadilisha mantiki ya hoja ya LDAP au hupata ufikiaji. |
| Udhaifu wa Sindano ya LDAP | Hitilafu ya kiwango cha msimbo huwezesha mashambulizi ya sindano ya LDAP. |
Kwa Nini Hili Ni Muhimu katika DevSecOps? #
kwa Timu za DevSecOps, kuzuia udhaifu wa kuingiza LDAP ni muhimu katika kuhakikisha mtiririko wa uthibitishaji na udhibiti wa ufikiaji unaoungwa mkono na saraka. Ujumuishaji endelevu pipelines lazima ijumuishe ukaguzi wa msimbo tuli kwa ajili ya ujenzi wa hoja isiyo salama na upimaji unaobadilika kwa ajili ya uchakataji wa vichujio. Wasimamizi wa usalama lazima watekeleze matumizi ya maktaba zinazotoroka, matumizi ya API yenye vigezo, na kufuata sera za uthibitishaji wa upendeleo mdogo na ingizo.
Kuimarisha DevSecOps Pipelines na Xygeni #
Sasa kwa kuwa unajua sindano ya LDAP ni nini, unajua kwamba kulinda programu za kisasa dhidi yake kunahitaji zaidi ya marekebisho ya kiwango cha msimbo. Timu za DevSecOps lazima zitekeleze usalama kote maendeleo ya programu lifecycle, kutoka msimbo hadi ujenzi hadi kusambaza.
Vyombo kama Xygeni kuziwezesha timu kugundua hatari za sindano mapema kwa kuunganisha uchanganuzi tuli, IaC kuchanganua, na kuhakikisha utekelezaji wa sera moja kwa moja katika CI/CD mtiririko wa kazi. Kwa kufuatilia kila mara ujenzi wa hoja zisizo salama, hatari za utegemezi, au usanidi usiofaa, Xygeni husaidia kuzuia mashambulizi ya sindano ya LDAP kabla hayajafikia uzalishaji.
Kujumuisha majukwaa kama vile Xygeni hulinganisha usalama na kasi ya uundaji, kutoa mwonekano wa wakati halisi, vidhibiti otomatiki, na mwongozo wa urekebishaji ulioundwa kwa ajili ya uhandisi salama kwa usanifu.
