LDAP Injection

透過使用者輸入來建立的動態 LDAP 篩選，可讓攻擊者修改指令的意義。

在以下情況會發生 LDAP injection 錯誤：

1. 資料從一個不可信賴的來源進入程式。

在此案例中，Fortify Static Code Analyzer 無法判斷資料來源是否可信賴。

2. 資料用於動態建構 LDAP 篩選器。
範例 1：以下程式碼動態建構和執行 LDAP 查詢，此 LDAP 查詢擷取了所有向指定經理報告的員工的記錄。經理的名稱是從 HTTP 要求中讀取，因此是不可信賴的。

...
DirectorySearcher src =
           new DirectorySearcher("(manager=" + managerName.Text + ")");
src.SearchRoot = de;
src.SearchScope = SearchScope.Subtree;

foreach(SearchResult res in src.FindAll()) {
  ...
}

正常情況下，例如搜尋向 John Smith 經理報告的員工，該程式碼執行的篩選如下所示：

(manager=Smith, John)

但是，因為此篩選是由連續的常數基本查詢字串和使用者輸入字串所動態建立的，所以此查詢只有在 managerName 不包含任何 LDAP 中介字元時才會執行正確。如果攻擊者為 managerName 輸入字串 Hacker, Wiley)(|(objectclass=*)，那麼查詢將會變更為：

(manager=Hacker, Wiley)(|(objectclass=*))

根據執行查詢的權限，增加 |(objectclass=*) 條件會使篩選與目錄中的所有項目相符合，而且會讓攻擊者擷取關於整個使用者儲存池的資訊。根據執行 LDAP 查詢所需的權限，此攻擊的廣度會受到限制，但是如果攻擊者可能控制查詢的指令結構，則此類攻擊至少會影響執行 LDAP 查詢的使用者能夠存取的所有記錄。

透過使用者輸入來建立的動態 LDAP 篩選，可讓攻擊者修改指令的意義。

在以下情況會發生 LDAP injection 錯誤：

1. 資料從一個不可信賴的來源進入程式。

2. 資料用於動態建構 LDAP 篩選器。
範例 1：以下程式碼動態建構和執行 LDAP 查詢，此 LDAP 查詢擷取了所有向指定經理報告的員工的記錄。經理的名稱是從網路通訊端中讀取，因此是不可信賴的。

fgets(manager, sizeof(manager), socket);

snprintf(filter, sizeof(filter, "(manager=%s)", manager);

if ( ( rc = ldap_search_ext_s( ld, FIND_DN, LDAP_SCOPE_BASE,
       filter, NULL, 0, NULL, NULL, LDAP_NO_LIMIT,
       LDAP_NO_LIMIT, &result ) ) == LDAP_SUCCESS ) {
  ...
}

正常情況下，例如搜尋向 John Smith 經理報告的員工，該程式碼執行的篩選如下所示：

(manager=Smith, John)

但是，因為此篩選是由連續的常數基本查詢字串和使用者輸入字串所動態建立的，所以此查詢只有在 manager 不包含任何 LDAP 中介字元時才會執行正確。如果攻擊者為 manager 輸入字串 Hacker, Wiley)(|(objectclass=*)，那麼查詢將會變更為：

(manager=Hacker, Wiley)(|(objectclass=*))

根據執行查詢的權限，增加 |(objectclass=*) 條件會使篩選與目錄中的所有項目相符合，而且會讓攻擊者擷取關於整個使用者儲存池的資訊。根據執行 LDAP 查詢所需的權限，此攻擊的廣度會受到限制，但是如果攻擊者可能控制查詢的指令結構，則此類攻擊至少會影響執行 LDAP 查詢的使用者能夠存取的所有記錄。

透過使用者輸入來建立的動態 LDAP 篩選，可讓攻擊者修改指令的意義。

在以下情況會發生 LDAP injection 錯誤：
1.資料從一個不可信賴的來源進入程式。

2.資料用於動態建構 LDAP 篩選器。
範例 1：以下程式碼動態建構和執行 LDAP 查詢，此 LDAP 查詢擷取了所有向指定經理報告的員工的記錄。經理的名稱是從 HTTP 要求中讀取，因此是不可信賴的。

...
$managerName = $_POST["managerName"]];

//retrieve all of the employees who report to a manager

$filter = "(manager=" . $managerName . ")";

$result = ldap_search($ds, "ou=People,dc=example,dc=com", $filter);
...

在正常情況下，例如搜尋向 John Smith 經理報告的員工，該程式碼執行的篩選如下所示：

(manager=Smith, John)

但是，因為此篩選是由連續的常數基本查詢字串和使用者輸入字串所動態建立的，所以此查詢只有在 managerName 不包含任何 LDAP 中繼字元時才會執行正確。如果攻擊者為 managerName 輸入字串 Hacker, Wiley)(|(objectclass=*)，則查詢將會變更為：

(manager=Hacker, Wiley)(|(objectclass=*))

根據執行查詢的權限，新增 |(objectclass=*) 條件會使篩選與目錄中的所有項目相符合，而且會讓攻擊者擷取整個使用者集區的相關資訊。根據執行 LDAP 查詢所需的權限，此攻擊的廣度會受到限制，但是如果攻擊者可能控制查詢的指令結構，則此類攻擊至少會影響執行 LDAP 查詢的使用者能夠存取的所有記錄。