LDAP Injection
LDAP-Injection liegt vor, wenn Angreifer LDAP-Filter-Metazeichen in eine Abfragezeichenkette einschleusen, um die Authentifizierung zu umgehen oder zusätzliche Daten auszulesen.
Zweck
Verständnis der durch die Verkettung von LDAP-Abfragen entstehenden Injektion und ihrer Abwehr; eine häufige Schwachstelle bei der Authentifizierung von Verzeichnisdiensten.
Mechanismus
Das Programm baut den LDAP-Filter mit "(uid=" + Eingabe + ")" zusammen; der Angreifer gibt *)(uid=*) ein, um einen stets wahren Filter zu konstruieren, der die Authentifizierung umgeht. Abwehr: parametrisierte LDAP-Abfragen, Escaping der Eingabe.
Anwendungsfälle
- Sicherheit der LDAP-Authentifizierung
- Audit von Verzeichnisdiensten
- Abwehr von Query-Injection