Access Control: LDAP

在没有适当 access control 的情况下，执行一个包含用户控制值的 LDAP 声明，这可以让攻击者访问未授权的目录条目。

Database access control 错误在以下情况下发生：

1. 数据从一个不可信赖的数据源进入程序。

2. 数据用于在 LDAP 查询中指定一个数据值。
示例 1：当前已验证用户的雇员 ID 会随着各个请求一起，通过客户端界面自动提交。下面的代码会在使用雇员姓名建立 LDAP 查询之前适当地使用允许列表对该姓名进行验证。该验证避免了 LDAP injection 漏洞，但仍可能留下代码漏洞。

static string AllowlistVerify(string name) {
    Regex pattern = new Regex(@"^[a-zA-Z\-\.']+$");
    if (pattern.IsMatch(name)) {
        return name;
    }
    return null;
}

...
string verifiedName = AllowlistVerify(managerName.Text.trim());
if(verifiedName != null) {
    DirectorySearcher src = new DirectorySearcher("(manager=" + verifiedName + ")");
    src.SearchRoot = de;
    src.SearchScope = SearchScope.Subtree;

    foreach(SearchResult res in src.FindAll()) {
        ...
    }
}

问题在于开发人员未能考虑到若攻击者提供可供选择的 empName 值，会发生什么情况。尽管该界面会自动提交当前用户的雇员 ID，但是攻击者也可能在恶意请求中提交其他值替换当前的 ID。因为本例子中的代码是在匿名绑定情况下执行查询，不管当前已验证用户的身份如何，它都会将有效的雇员 ID 返回至目录入口。

在没有适当 access control 的情况下，执行一个包含用户控制值的 LDAP 声明，这可以让攻击者访问未授权的目录条目。

Database access control 错误在以下情况下发生：

1. 数据从一个不可信赖的数据源进入程序。

2. 数据用于在 LDAP 查询中指定一个数据值。
示例 1：以下代码会在使用雇员名称创建 LDAP 查询之前，使用一个允许列表来验证雇员名称的有效性。该验证避免了 LDAP injection 漏洞，但仍可能留下代码漏洞。

char* allowlist_verify(char* name) {
    const char *error;
    int errOffset;
    char* regex = "^[a-zA-Z\\-\\.']+$";
    pcre* re = pcre_compile(regex, 0, &err, &errOffset, NULL);
    int rc = pcre_exec(re, NULL, name, strlen(name), 0, 0, NULL, 0);
    if (rc == 1)
        return name;
    return NULL;
}
...
fgets(managerName, sizeof(managerName), socket);
char* verified_name = allowlist_verify(managerName);
if(verified_name != NULL) {
    snprintf(filter, sizeof(filter), "(manager=%s)", verified_name);
    if ( ( rc = ldap_search_ext_s( ld, FIND_DN, LDAP_SCOPE_BASE,
            filter, NULL, 0, NULL, NULL, LDAP_NO_LIMIT,
            LDAP_NO_LIMIT, &result ) ) == LDAP_SUCCESS ) {
    ...
    }
}

问题在于开发人员未能考虑到若攻击者提供可供选择的 username 值，会发生什么情况。因为本例子中的代码是在匿名绑定情况下执行查询，不管当前已验证用户的身份如何，它都会将有效的雇员 ID 返回至目录入口。