LDAP 插入驗證繞過

high Web App Scanning Plugin ID 113331

語系：

概要

LDAP 插入驗證繞過

說明

Web 應用程式使用輕量型目錄存取通訊協定 (LDAP) 來存取和維護目錄資訊服務。

LDAP 最常見的一個用途是提供單一登入 (SSO) 服務，允許用戶端在沒有任何互動的情況下進行網站驗證 (假設其憑證已由 SSO 提供者驗證)。

Web 應用程式在未事先清理的情況下使用未受信任的資料來查詢 LDAP 目錄時，會發生 LDAP 插入。

這是一個嚴重的安全性風險，因為它讓網路不法份子能夠查詢、修改或移除 LDAP 樹狀結構中的任何項目，也允許透過其他進階插入技術執行其他更嚴重的攻擊。

掃描程式可根據已知的錯誤訊息，偵測容易受到 LDAP 插入攻擊的頁面。

由於掃描程式能夠繞過驗證機制並存取經驗證的頁面，因此偵測到此插入弱點。

解決方案

建議切勿使用未受信任的資料來形成 LDAP 查詢。
為驗證資料，應用程式應確保提供的值僅包含執行必要動作所需的字元。例如，如果使用者名稱為必要項，則不應接受任何非字母數字字元。
如果無法執行此操作，則應將特殊字元逸出，以便進行相應處理。下列字元應使用 `\` 進行逸出：
* `&` * `!` * `|` * `=` * `<` * `>` * `,` * `+` * `-` * `'` * `'` * `;`
其他字元篩選必須套用至：
* `(` * `)` * `\` * `/` * `*` * `NULL`
這些字元需要 ASCII 逸出。