搜索

[297] 2019-05-28_LDAP注入与防御

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2019-05-28_LDAP注入与防御 L D A P   注 入 与 防 御 发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 9 - 0 5 - 2 8 0 x 0 0 ： 介 绍 ： 介 绍 L D A P   全 英 文 ： L i g h t w e i g h t   D i r e c t o r y   A c c e s s   P r o t o c o l ， 翻 译 过 来 就 是 轻 量 级 的 目 录 访 问 协 议 。 其 实 就 是 访 问 目 录 ， 浏 览 目 录 。 有 很 多 企 业 存 储 一 些 数 据 信 息 ， 例 如 部 门 信 息 ， 部 门 里 成 员 的 信 息 ， 公 司 的 可 用 设 备 信 息 等 ， 这 些 信 息 单 独 放 在 类 似 于 网 站 的 那 种 数 据 库 中 的 话 ， 会 显 的 有 点 大 材 小 用 ， 而 把 它 们 放 在 目 录 中 ， 文 本 中 最 合 适 。 好 比 在 文 档 中 搜 索 指 定 的 内 容 ， 在 目 录 中 搜 索 指 定 的 文 件 一 样 。 L D A P   也 有 自 己 指 定 的 语 法 ， 也 可 理 解 为 它 是 一 个 存 储 信 息 的 数 据 库 ， 为 了 搜 索 方 便 ， 很 多 网 站 提 供 了 其 查 询 的 接 口 ， 和 普 通 的 搜 索 框 无 异 ， 对 于 指 定 的 搜 索 内 容 ， 在 没 有 严 格 过 滤 的 情 况 下 ， 便 可 以 造 成   L D A P   注 入 。 0 x 0 1 ： 语 法 ： 语 法 了 解   L D A P   语 法 之 前 ， 应 该 先 了 解 下 它 的 目 录 树 结 构 ， L D A P   目 录 是 以 树 状 的 层 次 结 构 来 存 储 数 据 的 ， 如 下 图 所 示 。
d n   表 示 一 条 记 录 所 处 的 位 置 。 d c   表 示 一 条 记 录 所 属 的 区 域 。 o u   代 表 一 条 记 录 所 属 的 组 织 。 c n   表 示 一 条 记 录 的 名 字 。 这 些 理 解 起 来 也 很 容 易 ， L D A P   就 好 比 我 们 程 序 用 的 关 系 型 数 据 库 ， 关 系 型 数 据 库 我 们 一 般 用 数 据 库 名 称 、 表 名 、 行 来 定 位 一 条 数 据 记 录 ， 而   L D A P   首 先 要 说 明 是 哪 一 棵 树   ( d c ) ， 然 后 是 从 树 根 到 目 标 所 经 过 的 所 有 分 叉   ( o u ) ， 最 后 就 是 目 标 的 名 字 ( c n ) 。 了 解   L D A P   的 目 录 结 构 后 ， 我 们 来 简 单 看 下 语 法 ， 也 就 是 用 指 定 的 语 法 在   L D A P   目 录 结 构 中 查 找 指 定 的 数 据 。 = ： 等 于 的 作 用 ， 例 如 查 找   N a m e   等 于   w e i k e t a n g   的 对 象 ： & ： 多 条 件 满 足 查 询 ， 例 如   N a m e   等 于   w e i k e t a n g   的 ， 同 时 性 别 为 男 的 ， 这 里 用   1   表 示 ： | ： 或 查 询 ， 例 如   N a m e   等 于   w e i k e t a n g ， 或 性 别 为 男 的 ： ! ： 非 查 询 ， 用 来 排 除 对 象 ， 例 如   N a m e   不 等 于   w e i k e t a n g   的 ： * ： 星 号 代 表 通 配 符 ， 可 表 示 任 何 内 容 ， 例 如 查 询   N a m e   有 内 容 的 ， 相 当 于 不 为 空 ， 基 本 上 是 查 询 所 有 ： 以 上 就 是 常 用 的 语 法 ， 可 相 互 结 合 使 用 ， 例 如 姓 名 以   w e i   开 头 的 ： ( N a m e = w e i ) ， 再 例 如 姓 名 以   w e i   开 头 的 ， 且 家 住 北 京 或 者 上 海 的 ： ( & ( N a m e = w e i ) ( | ( a d d r = b e i j i n g ) ( a d d r = s h a n g h a i ) ) ) . 0 x 0 2 ： 环 境 ： 环 境 ( N a m e = w e i k e t a n g ) ( & ( N a m e = w e i k e t a n g ) ( s e x = 1 ) ) ( ! ( N a m e = w e i k e t a n g ) ( s e x = 1 ) ) ( ! N a m e = w e i k e t a n g ) ( N a m e = * )
L D A P   环 境 不 像   S Q L   那 么 多 ， 这 里 就 简 单 的 搭 建 一 个 做 示 例 方 便 点 ， 下 载   O p e n L D A P   后 进 行 安 装 ， 默 认 一 直 下 一 步 即 可 ， 安 装 好   O p e n L D A P   后 ， 可 以 使 用   L D A P   A d m i n   连 接 测 试 一 下 ， 然 后 新 建 几 条 记 录 ， 如 下 图 。 这 里 结 合 上 文 中 说 的   L D A P   目 录 结 构 可 以 看 一 下 ， d n   树 根 就 是   d c = m a x c r c , d c = c o m ， 命 名 时 一 般 都 是 域 名 来 命 名 的 ， o u   是 组 织 单 元 ， 这 里 是 开 发 部 分 ， 最 后 具 体 的 记 录 数 据 是   c n ， 也 叫   u i d ， 也 就 是 用 户 以 及 用 户 的 信 息 。 我 们 用   L D A P   A d m i n   来 进 行 一 下 简 单 的 搜 索 ， 即 姓 名 包 含   l u   关 键 字 的 ， 如 下 图 。 可 以 看 到 其 搜 索 语 句 为   ( | ( u i d = l u ) ( d i s p l a y N a m e = l u ) ( c n = l u ) ( s n = l u ) ) ， 也 就 是 多 个 或 的 意 思 。 0 x 0 3 ： ： b w a p p 然 后 我 们 使 用   b w a p p   自 带 的   l d a p   练 习 平 台 来 做 示 例 ， 首 先 需 要 填 入 相 应 的 连 接 信 息 ， 连 接 的   p h p   文 件 是   l d a p _ c o n n e c t . p h p ， 我 们 可 以 简 单 看 一 下 文 件 的 内 容 。 $ m e s s a g e   =   " " ; $ l o g i n   =   " b e e @ b w a p p . l o c a l " ; $ p a s s w o r d   =   " " ; $ s e r v e r   =   " " ; $ d n   =   " D C = b w a p p , D C = l o c a l " ; i f ( i s s e t ( $ _ R E Q U E S T [ " c l e a r " ] ) ) {         / /   C l e a r s   t h e   L D A P   s e t t i n g s         $ _ S E S S I O N [ " l d a p " ]   =   a r r a y ( ) ;         $ m e s s a g e   =   " < f o n t   c o l o r = " g r e e n " > S e t t i n g s   c l e a r e d   s u c c e s s f u l l y ! < / f o n t > " ;       } i f ( i s s e t ( $ _ R E Q U E S T [ " s e t " ] )   & &   i s s e t ( $ _ R E Q U E S T [ " l o g i n " ] )   & &   i s s e t ( $ _ R E Q U E S T [ " p a s s w o r d " ] )   & &   i s s e t ( $ _ R E Q U E S T [ {           / /   L D A P   c o n n e c t i o n   s e t t i n g s         $ l o g i n   =   $ _ R E Q U E S T [ " l o g i n " ] ;
以 上 是 连 接   l d a p   服 务 器 的 核 心 代 码 ， 其 在 接 收 网 页 传 来 的 连 接 参 数 后 ， 使 用 了   l d a p _ c o n n e c t   函 数 进 行 了 连 接 。 我 们 填 入 相 应 的 连 接 参 数 连 接 即 可 ， 如 下 图 。         $ l o g i n   =   $ _ R E Q U E S T [ " l o g i n " ] ;         $ p a s s w o r d   =   $ _ R E Q U E S T [ " p a s s w o r d " ] ;         $ s e r v e r   =   $ _ R E Q U E S T [ " s e r v e r " ] ;         $ d n   =   $ _ R E Q U E S T [ " d n " ] ;         i f ( $ l o g i n   = =   " "   | |   $ p a s s w o r d   = =   " "   | |   $ s e r v e r   = =   " "   | |   $ d n   = =   " " ) {                 $ m e s s a g e   =   " < f o n t   c o l o r = " r e d " > P l e a s e   e n t e r   a l l   f i e l d s ! < / f o n t > " ;             } e l s e {                     / /   C o n n e c t s   a n d   b i n d s   t o   t h e   L D A P   s e r v e r                 $ d s   =   l d a p _ c o n n e c t ( $ s e r v e r ) ;                 l d a p _ s e t _ o p t i o n ( $ d s ,   L D A P _ O P T _ P R O T O C O L _ V E R S I O N ,   3 ) ; / /   S e t s   t h e   L D A P   p r o t o c o l   u s e d   b y   t h e   A D   s e r v i c e                 l d a p _ s e t _ o p t i o n ( $ d s ,   L D A P _ O P T _ R E F E R R A L S ,   0 ) ;                 $ r   =   @ l d a p _ b i n d ( $ d s ,   $ l o g i n ,   $ p a s s w o r d ) ;                 / /   $ r   =   @ l d a p _ b i n d ( $ d s ,   $ d o m a i n   .   " "   .   $ l o g i n ,   $ p a s s w o r d ) ; / /   P r e - W i n d o w s   2 0 0 0   u s e r n a m e                 / /   $ r   =   @ l d a p _ b i n d ( $ d s ) ; / /   A n o n y m o u s   l o g i n .   N e e d s   s o m e   a d j u s t m e n t s   i n   A D !                       / /   D e b u g g i n g                 / /   P r i n t s   T R U E   i f   t h e   c r e d e n t i a l s   a r e   v a l i d                 / /   p r i n t _ r ( $ r ) ;                 i f ( ! $ r ) {                           $ m e s s a g e   =   " < f o n t   c o l o r = " r e d " > I n v a l i d   c r e d e n t i a l s   o r   i n v a l i d   s e r v e r ! < / f o n t > " ;                 } e l s e {                         $ f i l t e r   =   " ( c n = * ) " ;                                           / /   C h e c k s   i f   t h e   b a s e   D N   h a s   a   v a l i d   s y n t a x                         i f ( ! ( $ s e a r c h = @ l d a p _ s e a r c h ( $ d s ,   $ d n ,   $ f i l t e r ) ) ) {                               $ m e s s a g e   =   " < f o n t   c o l o r = " r e d " > B a s e   D N   i n v a l i d   s y n t a x ! < / f o n t > " ;                                                     } e l s e {                                                         / /   C h e c k s   i f   t h e   b a s e   D N   i s   v a l i d                                 $ n u m b e r _ r e t u r n e d   =   l d a p _ c o u n t _ e n t r i e s ( $ d s , $ s e a r c h ) ;                                                         i f ( $ n u m b e r _ r e t u r n e d   = =   0 ) {                                                                               $ m e s s a g e   =   " < f o n t   c o l o r = " r e d " > B a s e   D N   i n v a l i d ! < / f o n t > " ;                                                                   }                                                         / /   I f   t h e   c o n n e c t i o n   s e t t i n g s   a r e   v a l i d                                 e l s e {                                         $ _ S E S S I O N [ " l d a p " ] [ " l o g i n " ]   =   $ l o g i n ;                                         $ _ S E S S I O N [ " l d a p " ] [ " p a s s w o r d " ]   =   $ p a s s w o r d ;                                         $ _ S E S S I O N [ " l d a p " ] [ " s e r v e r " ]   =   $ s e r v e r ;                                         $ _ S E S S I O N [ " l d a p " ] [ " d n " ]   =   $ d n ;                                                                                                                 / /   $ m e s s a g e   =   " < f o n t   c o l o r = " g r e e n " > V a l i d   c o n n e c t i o n   s e t t i n g s ! < / f o n t > " ;                                         h e a d e r ( " L o c a t i o n :   l d a p i . p h p " ) ;                                         e x i t ;                                                                       }                                               }                 }                 l d a p _ c l o s e ( $ d s ) ;                     } }
这 里 的 登 录 用 户 名 和 密 码 是   O p e n L D A P   的 配 置 文 件 中 指 定 的 。 然 后 输 入 服 务 器 地 址 和   d n   即 可 。 这 里 注 意 的 是 ， 如 果   d n   中 没 有 相 应 的 记 录 ， l d a p   连 接 会 报 错 提 示 你   d n   无 效 。 连 接 成 功 后 ， 会 跳 到   l d a p i . p h p   文 件 ， 这 个 文 件 用 来 进 行 查 询 ， 例 如 输 入 关 键 字   l u ， 查 询 结 果 如 下 。 而   l d a p i   文 件 处 理 搜 索 的 时 候 ， 是 直 接 将 搜 索 的 关 键 字 进 行 查 询 的 ， 并 没 有 进 行 过 滤 处 理 ， 如 果 输 入   *   号 则 可 查 出 所 有 的 用 户 信 息 ， 如 下 图 。
我 们 可 以 查 看 下   l d a p i . p h p   文 件 的 内 容 。 以 下 是 核 心 代 码 。 程 序 会 通 过   r e q u e s t   获 取   u s e r   的 内 容 ， 然 后 直 接 赋 给   s e a r c h _ f o r   变 量 拼 接 到 了   f i l t e r   搜 索 语 句 中 ， 所 以 造 成 了   l d a p   注 入 ， 原 理 和   s q l   注 入 一 样 ， 未 过 滤 而 直 接 拼 接 。 这 里 可 以 看 到   l d a p   中 很 多 注 释 的 语 句 ， 都 是 不 同 的 查 询 语 法 ， 便 于 我 们 切 换 语 法 进 行 练 习 。 0 x 0 4 ： 防 御 ： 防 御 程 序 在 收 到   u s e r   内 容 后 交 给 了   l d a p i   函 数 进 行 处 理 ， 我 们 可 以 看 到   l d a p i   函 数 内 容 。         $ s e a r c h _ f o r   =   $ _ R E Q U E S T [ " u s e r " ] ; / /   T h e   s t r i n g   t o   f i n d         $ s e a r c h _ f o r   =   l d a p i ( $ s e a r c h _ f o r ) ;         $ s e a r c h _ f i e l d _ 1   =   " g i v e n n a m e " ; / /   T h e   L D A P   f i e l d   t o   s e a r c h   f o r   t h e   s t r i n g         $ s e a r c h _ f i e l d _ 2   =   " s n " ; / /   T h e   L D A P   f i e l d   t o   s e a r c h   f o r   t h e   s t r i n g         $ s e a r c h _ f i e l d _ 3   =   " u s e r p r i n c i p a l n a m e " ; / /   T h e   L D A P   f i e l d   t o   s e a r c h   f o r   t h e   s t r i n g         / / $ s e a r c h _ f i e l d   =   " u s e r p r i n c i p a l n a m e " ; / /   T h e   L D A P   f i e l d   t o   s e a r c h   f o r   t h e   s t r i n g                   / /   F i l t e r s   t h e   L D A P   s e a r c h         / /   $ f i l t e r   =   " C N = * " ; / /   S e a r c h e s   a l l   t h e   ' C o m m o n   N a m e s '         / /   $ f i l t e r   =   " ( $ s e a r c h _ f i e l d = $ s e a r c h _ f o r * ) " ; / /   W i l d c a r d   i s   * .   R e m o v e   i t   i f   y o u   w a n t   a n   e x a c t   m a t c h         / /   $ f i l t e r   =   " ( $ s e a r c h _ f i e l d = $ s e a r c h _ f o r ) " ; / /   E x a c t   m a t c h         / /   $ f i l t e r   =   " ( o b j e c t C l a s s = u s e r ) " ; / /   S e a r c h e s   a l l   t h e   u s e r s         / /   $ f i l t e r   =   " ( & ( $ s e a r c h _ f i e l d = $ s e a r c h _ f o r ) ( o b j e c t C l a s s = u s e r ) ) " ; / /   S e a r c h e s   a   s p e c i f i c   u s e r         / /   $ f i l t e r   =   " ( & ( $ s e a r c h _ f i e l d = $ s e a r c h _ f o r ) ( o b j e c t C l a s s = u s e r ) ( o b j e c t C a t e g o r y = p e r s o n ) ) " ; / /   S e a r c h e s   a   s p e c i f i c   u s e r         / / $ f i l t e r   =   " ( | ( $ s e a r c h _ f i e l d = $ s e a r c h _ f o r ) ) " ; / /   I n j e c t i o n ! ! !             $ f i l t e r   =   " ( | ( $ s e a r c h _ f i e l d _ 1 = $ s e a r c h _ f o r ) ( $ s e a r c h _ f i e l d _ 2 = $ s e a r c h _ f o r ) ( $ s e a r c h _ f i e l d _ 3 = $ s e a r c h _ f o r ) ) "         / /   C o m m o n   L D A P   q u e r i e s         / /   h t t p : / / w w w . g o o g l e . c o m / s u p p o r t / e n t e r p r i s e / s t a t i c / g a p p s / d o c s / a d m i n / e n / g a d s / a d m i n / l d a p . 5 . 4 . h t m l             / /   R e t r i e v e s   o n l y   s p e c i f i c   a t t r i b u t e s         $ l d a p _ f i e l d s _ t o _ f i n d   =   a r r a y ( " o b j e c t s i d " ,   " s a m a c c o u n t n a m e " ,   " u s e r p r i n c i p a l n a m e " ,   " c n " ,   " d i s p l a y n a m e " ) ;         / /   S e a r c h e s   t h e   L D A P   d a t a b a s e         / /   $ s r   =   l d a p _ s e a r c h ( $ d s ,   $ d n ,   $ f i l t e r ) ;         $ s r   =   l d a p _ s e a r c h ( $ d s ,   $ d n ,   $ f i l t e r ,   $ l d a p _ f i e l d s _ t o _ f i n d ) ;
是 一 个 过 滤 内 容 的 函 数 ， 0 ， 1 ， 2   分 别 代 表 用 不 同 的 函 数 来 处 理 内 容 ， 0   即 低 ， 也 就 是 不 做 任 何 处 理 ， 1   是 中 级 的   2   是 高 级 的 ， 我 们 根 据   l d a p i . p h p   头 部 引 入 的 文 件 可 找 到 这 些 检 查 函 数 在   f u n c t i o n _ e x t e r n a l . p h p   文 件 中 。 n o _ c h e c k   函 数 未 作 任 何 过 滤 ， 会 直 接 原 封 不 动 的 返 回 内 容 。 l d a p i _ c h e c k _ 1   函 数 过 滤 掉 了 一 些   l d a p   语 法 中 的 特 殊 符 号 ， 这 是 中 级 的 过 滤 代 码 ， 也 就 意 味 着 直 接 输 入 不 会 返 回 全 部 内 容 。 而 高 级 内 容 也 是 用 的   l d a p i _ c h e c k _ 1   函 数 ， 这 时 我 们 输 入 查 询 结 果 为 空 。 f u n c t i o n   l d a p i ( $ d a t a ) {                           s w i t c h ( $ _ C O O K I E [ " s e c u r i t y _ l e v e l " ] )         {                                 c a s e   " 0 "   :                                                   $ d a t a   =   n o _ c h e c k ( $ d a t a ) ;                                               b r e a k ;                                 c a s e   " 1 "   :                                               $ d a t a   =   l d a p i _ c h e c k _ 1 ( $ d a t a ) ;                         b r e a k ;                                 c a s e   " 2 "   :                                                                                               $ d a t a   =   l d a p i _ c h e c k _ 1 ( $ d a t a ) ;                                                 b r e a k ;                                 d e f a u l t   :                                                   $ d a t a   =   n o _ c h e c k ( $ d a t a ) ;                                                 b r e a k ;               }                       r e t u r n   $ d a t a ; } f u n c t i o n   n o _ c h e c k ( $ d a t a ) {                       r e t u r n   $ d a t a ;             } f u n c t i o n   l d a p i _ c h e c k _ 1 ( $ d a t a ) {         / /   R e p l a c e s   d a n g e r o u s   c h a r a c t e r s :   (   )   =   &   |   *   W H I T E S P A C E         $ i n p u t   =   s t r _ r e p l a c e ( " ( " ,   " " ,   $ d a t a ) ;         $ i n p u t   =   s t r _ r e p l a c e ( " ) " ,   " " ,   $ i n p u t ) ;         $ i n p u t   =   s t r _ r e p l a c e ( " = " ,   " " ,   $ i n p u t ) ;         $ i n p u t   =   s t r _ r e p l a c e ( " & " ,   " " ,   $ i n p u t ) ;         $ i n p u t   =   s t r _ r e p l a c e ( " | " ,   " " ,   $ i n p u t ) ;         $ i n p u t   =   s t r _ r e p l a c e ( " * " ,   " " ,   $ i n p u t ) ;         $ i n p u t   =   s t r _ r e p l a c e ( "   " ,   " " ,   $ i n p u t ) ;               r e t u r n   $ i n p u t ;         }
可 见 其 防 御 方 法 需 要 过 滤 掉   l d a p   语 法 中 的 一 些 关 键 字 符 。 ( 、 ) 、 = 、 & 、 | 、 * 、 ！ 等 。 0 x 0 5 ： 总 结 ： 总 结 l d a p   不 是 很 常 见 ， 测 试 过 程 中 可 以 通 过 抓 包 、 查 看 一 些 返 回 信 息 、 提 示 标 识 等 来 判 断 是 普 通 的 查 询 还 是   l d a p   查 询 。 l d a p   可 能 内 网 会 多 点 ， 但 也 有 很 多 开 了 外 网 的 查 询 接 口 ， 默 认 的 端 口 是   3 8 9 ， 加 密 的 端 口 是   6 3 6 ， 信 息 搜 集 的 时 候 也 可 以 关 注 下 。 欢 迎 将 文 章 分 享 到 朋 友 圈   如 果 想 g e t 更 多 的 技 能 ， 长 按 二 维 码 可 关 注 我
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理