LDAP Injection

LDAPインジェクションは、攻撃者がLDAPフィルタのメタ文字をクエリ文字列に注入し、認証を回避したり追加データを窃取する攻撃である。

目的

LDAPクエリの文字列連結によって生じるインジェクションとその防御を理解する。ディレクトリサービスの認証でよく見られる脆弱性である。

メカニズム

プログラムが「(uid=」+ 入力 + 「)」でLDAPフィルタを組み立てる際、攻撃者は *)(uid=*) を入力して常に真となるフィルタを構築し、認証を回避する。防御策はパラメータ化されたLDAPクエリと入力のエスケープである。

ユースケース

LDAP認証のセキュリティ
ディレクトリサービスの監査
クエリインジェクションへの防御

関連ツール

ハッシュ計算ツール

Compute MD5, SHA-1, SHA-256, or SHA-512 hashes with hex or Base64 output。無料、プライベート、100%クライアントサイド。

正規表現テスター

Test regular expressions with match highlighting, capture groups, and replace preview。無料、プライベート、100%クライアントサイド。

References