LDAP Injection

通过用户输入构造的动态 LDAP 筛选器允许攻击者修改指令的含义。

LDAP injection 错误在以下情况下出现：

1. 数据从一个不可信赖的数据源进入程序。

在这种情况下，Fortify Static Code Analyzer（Fortify 静态代码分析器）无法确定数据源是否可信赖。

2. 该数据用于动态构造 LDAP 筛选器。
示例 1：以下代码动态构造一个 LDAP 查询，并对其加以执行，该查询可以检索所有报告给指定经理的雇员记录。该经理的名字是从 HTTP 请求中读取的，因此不可信任。

...
DirectorySearcher src =
           new DirectorySearcher("(manager=" + managerName.Text + ")");
src.SearchRoot = de;
src.SearchScope = SearchScope.Subtree;

foreach(SearchResult res in src.FindAll()) {
  ...
}

在正常情况下，诸如搜索向 John Smith 经理报告的雇员，该代码执行的筛选器如下：

(manager=Smith, John)

但是，由于筛选器是通过连接一个常数基本查询串和一个用户输入串动态构造而成的，因此，该查询只在 managerName 不包含任何 LDAP 元字符时才能正常运行。如果攻击者为 managerName 输入字符串 Hacker, Wiley)(|(objectclass=*)，则该查询会变成：

(manager=Hacker, Wiley)(|(objectclass=*))

根据执行查询的权限，增加 |(objectclass=*) 条件会导致筛选器与目录中的所有输入都匹配，而且会使攻击者检索到有关用户输入池的信息。根据执行 LDAP 查询的权限大小，此次攻击的影响范围可能会有所差异，但是如果攻击者可以控制查询的命令结构，那么这样的攻击至少会影响执行 LDAP 查询的用户可以访问的所有记录。

通过用户输入构造的动态 LDAP 筛选器允许攻击者修改指令的含义。

LDAP injection 错误在以下情况下出现：

1. 数据从一个不可信赖的数据源进入程序。

2. 该数据用于动态构造 LDAP 筛选器。
示例 1：以下代码动态构造一个 LDAP 查询，并对其加以执行，该查询可以检索所有报告给指定经理的雇员记录。该经理的名字是从网络套接字中读取的，因此不可信任。

fgets(manager, sizeof(manager), socket);

snprintf(filter, sizeof(filter, "(manager=%s)", manager);

if ( ( rc = ldap_search_ext_s( ld, FIND_DN, LDAP_SCOPE_BASE,
       filter, NULL, 0, NULL, NULL, LDAP_NO_LIMIT,
       LDAP_NO_LIMIT, &result ) ) == LDAP_SUCCESS ) {
  ...
}

在正常情况下，诸如搜索向 John Smith 经理报告的雇员，该代码执行的筛选器如下：

(manager=Smith, John)

但是，由于筛选器是通过连接一个常数基本查询串和一个用户输入串动态构造而成的，因此，该查询只在 manager 不包含任何 LDAP 元字符时才能正常运行。如果攻击者为 manager 输入字符串 Hacker, Wiley)(|(objectclass=*)，则该查询会变成：

(manager=Hacker, Wiley)(|(objectclass=*))

根据执行查询的权限，增加 |(objectclass=*) 条件会导致筛选器与目录中的所有输入都匹配，而且会使攻击者检索到有关用户输入池的信息。根据执行 LDAP 查询的权限大小，此次攻击的影响范围可能会有所差异，但是如果攻击者可以控制查询的命令结构，那么这样的攻击至少会影响执行 LDAP 查询的用户可以访问的所有记录。

通过用户输入构造的动态 LDAP 筛选器允许攻击者修改指令的含义。

LDAP injection 错误在以下情况下出现：
1.数据从一个不可信赖的数据源进入程序。

2.该数据用于动态构造 LDAP 筛选器。
示例 1：以下代码动态构造一个 LDAP 查询，并对其加以执行，该查询可以检索所有报告给指定经理的雇员记录。该经理的名字是从 HTTP 请求中读取的，因此不可信任。

...
$managerName = $_POST["managerName"]];

//retrieve all of the employees who report to a manager

$filter = "(manager=" . $managerName . ")";

$result = ldap_search($ds, "ou=People,dc=example,dc=com", $filter);
...

在正常情况下，诸如搜索向 John Smith 经理报告的雇员，该代码执行的筛选器如下：

(manager=Smith, John)

但是，由于筛选器是通过连接一个常数基本查询串和一个用户输入串动态构造而成的，因此，该查询只在 managerName 不包含任何 LDAP 元字符时才能正常运行。如果攻击者为 managerName 输入字符串 Hacker, Wiley)(|(objectclass=*)，则该查询会变成：

(manager=Hacker, Wiley)(|(objectclass=*))

根据执行查询的权限，增加 |(objectclass=*) 条件会导致筛选器与目录中的所有输入都匹配，而且会使攻击者检索到有关用户输入池的信息。根据执行 LDAP 查询的权限大小，此次攻击的影响范围可能会有所差异，但是如果攻击者可以控制查询的命令结构，那么这样的攻击至少会影响执行 LDAP 查询的用户可以访问的所有记录。