搜索

[20945] 2017-11-15_理解LDAP与LDAP注入

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2017-11-15_理解LDAP与LDAP注入 理 解 L D A P 与 L D A P 注 入 L e m o n S e c   2 0 1 7 - 1 1 - 1 5 查 阅 了 一 些 网 上 的 资 料 ， 读 了 好 久 还 是 觉 得 理 解 起 来 很 困 难 ， 感 觉 还 是 不 够 干 ， 之 后 看 到 的 一 个 博 客 h t t p : / / w w w . c h i n a u n i x . n e t / o l d _ j h / 4 9 / 5 9 3 6 6 0 . h t m l 的 ， 觉 得 写 的 相 当 不 错 ， 摘 录 了 些 也 说 说 自 己 的 理 解 吧 ， 有 错 误 的 希 望 大 家 指 正 。 L D A P ， 轻 量 目 录 访 问 协 议 | d n   : 一 条 记 录 的 位 置 | | d c   : 一 条 记 录 所 属 区 域 | | o u   : 一 条 记 录 所 属 组 织 | | c n / u i d : 一 条 记 录 的 名 字 / I D | 此 处 我 更 喜 欢 把 L D A P 和   数 据 库 类 比 起 来 ， 我 是 直 接 把 L D A P 看 成 是 一 个 主 要 用 于 查 询 的 数 据 库 。 数 据 库 用 “ 表 ” 来 存 数 据 ， L D A P 用 “ 树 ” 来 存 数 据 。 数 据 库 主 要 是 三 个 D B , T A B L E , R O W 来 定 位 一 条 记 录 ， 而 L D A P 首 先 要 说 明 是 哪 一 棵 树 d c ， 然 后 是 从 树 根 到 目 的 所 经 过 的 所 有 “ 分 叉 ” ，   o u （ g r o u p ） ， 最 后 就 是 目 标 的 名 字 ， 例 如 U I D 等 等 。 具 体 到 如 何 定 义 如 下 ： d n : c n = h o n g l v , o u = b e i , o u = x i , o u = d o n g , d c = w a i b o , d c = c o m 其 中 树 根 是 d c = w a i b o , d c = c o m ， 分 叉 o u = b e i , o u = x i , o u = d o n g ， 目 标 c n = h o n g l v 注 意 要 把 “ c n = s t a n , o u = l i n u x , o u = c o m p u t e r , d c = o u r s c h o o l , d c = o r g ” 看 成 是 一 个 整 体 ， 它 只 是 属 性 d n 的 值 具 体 的 一 条 记 录 如 下 ： （ 保 存 成 L D I F 文 件 ， 可 以 导 入 到 L D A P 数 据 库 中 ） 关 于 安 装 配 置 L D A P ， 贴 一 个 网 址 h t t p : / / w w w . m a n d r a k e s e c u r e . n e t / e n / d o c s / l d a p - a u t h . p h p 0 x 0 2   L D A P 基 本 语 法 = ( 等 于 等 于 ) 查 找 “ 名 “ 属 性 为 “ J o h n ” 的 所 有 对 象 ， 可 以 使 用 ：     这 会 返 回 “ 名 ” 属 性 为 “ J o h n ” 的 所 有 对 象 。 圆 括 号 是 必 需 的 ， 以 便 强 调   L D A P   语 句 的 开 始 和 结 束 。 & ( 逻 辑 与 逻 辑 与 ) 如 果 具 有 多 个 条 件 并 且 希 望 全 部 条 件 都 得 到 满 足 ， 则 可 使 用 此 语 法 。 例 如 ， 如 果 希 望 查 找 居 住 在   D a l l a s   并 且 “ 名 ” 为 “ J o h n ” 的 所 有 人 员 ， 可 以 使 用 ： 请 注 意 ， 每 个 参 数 都 被 属 于 其 自 己 的 圆 括 号 括 起 来 。 整 个   L D A P   语 句 必 须 包 括 在 一 对 主 圆 括 号 中 。 操 作 符   &   表 明 ， 只 有 每 个 参 d n : c n = s t a n , o u = l i n u x , o u = c o m p u t e r , d c = o u r s c h o o l , d c = o r g o b j e c t C l a s s ： o r g a n i z a t i o n a l P e r s o n c n : s t a n c n : 小 刀 s n : 小 刀 d e s c r i p t i o n : a   g o o d   b o y ( g i v e n N a m e = J o h n )   ( & ( g i v e n N a m e = J o h n ) ( l = D a l l a s ) )
数 都 为 真 ， 才 会 将 此 筛 选 条 件 应 用 到 要 查 询 的 对 象 。 ! ( 逻 辑 非 逻 辑 非 ) 此 操 作 符 用 来 排 除 具 有 特 定 属 性 的 对 象 。 假 定 您 需 要 查 找 “ 名 ” 为 “ J o h n ” 的 对 象 以 外 的 所 有 对 象 。 则 应 使 用 如 下 语 句 ： 此 语 句 将 查 找 “ 名 ” 不 为 “ J o h n ” 的 所 有 对 象 。 请 注 意 ： !   操 作 符 紧 邻 参 数 的 前 面 ， 并 且 位 于 参 数 的 圆 括 号 内 。 由 于 本 语 句 只 有 一 个 参 数 ， 因 此 使 用 圆 括 号 将 其 括 起 以 示 说 明 * （ 通 配 符 ） （ 通 配 符 ） 可 使 用 通 配 符 表 示 值 可 以 等 于 任 何 值 。 使 用 它 的 情 况 可 能 是 ： 您 希 望 查 找 具 有 职 务 头 衔 的 所 有 对 象 。 为 此 ， 可 以 使 用 ： 这 会 返 回 “ t i t l e ” 属 性 包 含 内 容 的 所 有 对 象 。 另 一 个 例 子 是 ： 您 知 道 某 个 对 象 的 “ 名 ” 属 性 的 开 头 两 个 字 母 是 “ J o ” 。 那 么 ， 可 以 使 用 如 下 语 法 进 行 查 找 ： 这 会 返 回 “ 名 ” 以 “ J o ” 开 头 的 所 有 对 象 。 高 级 用 法 e g : 您 需 要 一 个 筛 选 条 件 ， 用 来 查 找 居 住 在   D a l l a s   或   A u s t i n ， 并 且 名 为 “ J o h n ” 的 所 有 对 象 。 使 用 的 语 法 应 当 是 ： 0 x 0 3   L D A P 注 入 L D A P 注 入 攻 击 和 S Q L 注 入 攻 击 相 似 ， 因 此 接 下 来 的 想 法 是 利 用 用 户 引 入 的 参 数 生 成 L D A P 查 询 。 一 个 安 全 的 W e b 应 用 在 构 造 和 将 查 询 发 送 给 服 务 器 前 应 该 净 化 用 户 传 入 的 参 数 。 在 有 漏 洞 的 环 境 中 ， 这 些 参 数 没 有 得 到 合 适 的 过 滤 ， 因 而 攻 击 者 可 以 注 入 任 意 恶 意 代 码 。 使 用 得 最 广 泛 的 L D A P ： A D A M 和 O p e n L D A P ， 下 面 的 结 论 将 会 致 代 码 注 入 ： 3 . 1   引 入 如 果 过 滤 器 用 于 构 造 查 询 单 缺 少 逻 辑 操 作 符 ， 如 v a l u e ) ( i n j e c t e d _ f i l t e r   ， 瞬 间 导 致 产 生 了 两 个 过 滤 器 ， 通 常 ， 在 O p e n L D A P 实 施 中 ， 第 二 个 过 滤 器 会 被 忽 略 ， 只 有 第 一 个 会 被 执 行 。 而 在 A D A M 中 ， 有 两 个 过 滤 器 的 查 询 是 不 被 允 许 的 ， 因 而 这 个 注 入 毫 无 用 处 。 如 果 第 一 个 用 于 构 造 查 询 的 过 滤 器 有 逻 辑 操 作 符 ， 形 如 v a l u e ) ( i n j e c t e d _ f i l t e r ) 的 注 入 会 变 成 如 下 过 滤 器 ： 虽 然 过 滤 器 语 法 上 并 不 正 确 ， O p e n L D A P 还 是 会 从 左 到 右 进 行 处 理 ， 忽 略 第 一 个 过 滤 器 闭 合 后 的 任 何 字 符 。 但 是 有 的 浏 览 器 会 进 行 检 查 ， 检 查 过 滤 器 是 否 正 确 ， 这 种 情 况 下 v a l u e ) ( i n j e c t e d _ f i l t e r ) ) ( & ( 1 = 0 ， 于 是 就 出 现 了 下 述 p a y l o a d 既 然 第 二 个 过 滤 器 会 被 L D A P 服 务 器 忽 略 ， 有 些 部 分 便 不 允 许 有 两 个 过 滤 器 的 查 询 。 这 种 情 况 下 ， 只 能 构 建 一 个 特 殊 的 注 入 以 获 得 单 个 过 滤 器 的 L D A P 查 询 ， 如 v a l u e ) ( i n j e c t e d _ f i l t e r 得 到 3 . 2   A N D 注 入 ( ! g i v e n N a m e = J o h n ) ( t i t l e = * ) ( g i v e n N a m e = J o * ) ( & ( g i v e n N a m e = J o h n ) ( | ( l = D a l l a s ) ( l = A u s t i n ) ) ) ( a t t r i b u t e = v a l u e ) ( a t t r i b u t e = v a l u e ) ( i n j e c t e d _ f i l t e r ) ( | ( a t t r i b u t e = v a l u e ) ( s e c o n d _ f i l t e r ) )   o r   ( & ( a t t r i b u t e = v a l u e ) ( s e c o n d _ f i l t e r ) ) ( & ( a t t r i b u t e = v a l u e ) ( i n j e c t e d _ f i l t e r ) )   ( s e c o n d _ f i l t e r ) 。 ( & ( a t t r i b u t e = v a l u e ) ( i n j e c t e d _ f i l t e r ) ) ( & ( 1 = 0 ) ( s e c o n d _ f i l t e r ) ) ( & ( a t t r i b u t e = v a l u e ) ( i n j e c t e d _ f i l t e r ) ( s e c o n d _ f i l t e r ) )
这 种 情 况 ， 应 用 会 构 造 由 ” & ” 操 作 符 和 用 户 引 入 的 的 参 数 组 成 的 正 常 查 询 在 L D A P 目 录 中 搜 索 ， 例 如 ： 这 里 V a l u e 1 和 v a l u e 2 是 在 L D A P 目 录 中 搜 索 的 值 ， 攻 击 者 可 以 注 入 代 码 ， 维 持 正 确 的 过 滤 器 结 构 但 能 使 用 查 询 实 现 他 自 己 的 目 标 。 3 . 2 . 1   绕 过 访 问 控 制 一 个 登 陆 页 有 两 个 文 本 框 用 于 输 入 用 户 名 和 密 码 ， 过 滤 器 如 下 ： 如 果 攻 击 者 输 入 一 个 有 效 地 用 户 名 ， 如 r 0 0 t g r o k ， 然 后 再 这 个 名 字 后 面 注 入 恰 当 的 语 句 ， p a s s w o r d 检 查 就 会 被 绕 过 。 输 入 U n a m e = s l i s b e r g e r ) ( & ) ) ， 得 到 如 下 L D A P 服 务 器 只 处 理 第 一 个 过 滤 器 ， 即 仅 查 询 ( & ( U S E R = s l i d b e r g e r ) ( & ) ) 得 到 了 处 理 。 这 个 查 询 永 真 , 故 成 功 绕 过 3 . 2 . 2   权 限 提 升 现 假 设 下 面 的 查 询 会 向 用 户 列 举 出 所 有 可 见 的 低 安 全 等 级 文 档 ： 这 里 第 一 个 参 数 d o c u m e n t 是 用 户 入 口 ， l o w 是 第 二 个 参 数 的 值 。 如 果 攻 击 者 想 列 举 出 所 有 可 见 的 高 安 全 等 级 的 文 档 ， 他 可 以 利 用 如 下 的 注 入 ： d o c u m e n t ) ( s e c u r i t y _ l e v e l = * ) ) ( & ( d i r e c t o r y = d o c u m e n t s 得 到 L D A P 服 务 器 仅 会 处 理 第 一 个 过 滤 器 而 忽 略 第 二 个 ， 因 而 只 有 下 面 的 查 询 会 被 处 理 ： 结 果 就 是 ， 所 有 安 全 等 级 的 可 用 文 档 都 会 列 举 给 攻 击 者 3 . 3   O R 注 入 这 种 情 况 ， 应 用 会 构 造 由 ” | ” 操 作 符 和 用 户 引 入 的 的 参 数 组 成 的 正 常 查 询 在 L D A P 目 录 中 搜 索 ， 例 如 ： 这 里 V a l u e 1 和 v a l u e 2 是 在 L D A P 目 录 中 搜 索 的 值 ， 攻 击 者 可 以 注 入 代 码 ， 维 持 正 确 的 过 滤 器 结 构 但 能 使 用 查 询 实 现 他 自 己 的 目 标 。 具 体 的 注 入 方 式 和 A N D 差 不 太 多 ， 不 予 详 述 。 3 . 4   L D A P 盲 注 3 . 4 . 1   A N D 盲 注 假 设 一 个 W e b 应 用 想 从 一 个 L D A P 目 录 列 出 所 有 可 用 的 E p s o n 打 印 机 ， 错 误 信 息 不 会 返 回 ， 应 用 发 送 如 下 的 过 滤 器 ： 正 确 的 过 滤 器 为 ： 而 当 注 入 ) ( o b j e c t C l a s s = ) ) ( & ( o b j e c t C l a s s = v o i d 时 得 到 执 行 第 一 个 ， 过 滤 器 o b j e c t C l a s s = * 总 是 返 回 一 个 对 象 。 当 图 标 被 显 示 时 响 应 为 真 ， 否 则 为 假 。 这 样 我 们 就 可 以 猜 第 二 个 括 号 的 o b j e c t c l a s s 字 段 有 些 什 么 内 容 了 。 L D A P 盲 注 技 术 让 攻 击 者 使 用 基 于 T R U E / F A L S E 的 技 术 访 问 所 有 的 信 息 。 3 . 4 . 2   O R 盲 注 这 种 情 况 下 ， 用 于 推 测 想 要 的 信 息 的 逻 辑 与 A N D 是 相 反 的 ， 因 为 使 用 的 是 O R 逻 辑 操 作 符 。 同 样 不 予 详 述 。 ( & ( p a r a m e t e r 1 = v a l u e 1 ) ( p a r a m e t e r 2 = v a l u e 2 ) ) ( & ( U S E R = U n a m e ) ( P A S S W O R D = P w d ) )   ( & ( U S E R =   s l i s b e r g e r ) ( & ) ( P A S S W O R D = P w d ) ) ( & ( d i r e c t o r y = d o c u m e n t ) ( s e c u r i t y _ l e v e l = l o w ) )   ( & ( d i r e c t o r y = d o c u m e n t s ) ( s e c u r i t y _ l e v e l = * ) ) ( & ( d i r e c r o t y = d o c u m e n t s ) ( s e c u r i t y _ l e v e l = l o w ) ) ( & ( d i r e c t o r y = d o c u m e n t s ) ( s e c u r i t y _ l e v e l = * ) ) ( | ( p a r a m e t e r 1 = v a l u e 1 ) ( p a r a m e t e r 2 = v a l u e 2 ) ) ( & ( o b j e c t C l a s s = p r i n t e r ) ( t y p e = E p s o n * ) ) ( & ( o b j e c t C l a s s = p r i n t e r ) ( t y p e = E p s o n * ) ) ( & ( o b j e c t C l a s s = * ) ( o b j e c t C l a s s = * ) ) ( & ( o b j e c t C l a s s = v o i d ) ( t y p e = E p s o n * ) )
3 . 4 . 3   盲 注 深 入 攻 击 者 可 以 使 用 字 母 、 数 字 搜 索 提 取 属 性 的 值 ， 这 个 想 法 的 关 键 在 于 将 一 个 复 杂 的 值 转 化 为 T R U E / F A L S E 列 表 。 这 个 机 制 ， 通 常 称 为 b o o l e a n i z a t i o n ， 大 意 是 二 值 化 吧 ， 图 十 二 概 括 了 该 机 制 ， 可 用 于 不 同 的 方 式 。 假 设 攻 击 者 想 知 道 d e p a r t m e n t 属 性 的 值 ， 处 理 如 下 ： ( & ( i d p r i n t e r = H P L a s e r J e t 2 1 0 0 ) ( d e p a r t m e n t = f a * ) ) ( o b j e c t = p r i n t e r ) ) 如 此 根 据 返 回 的 不 同 结 果 猜 解 是 否 正 确 ， 和 M Y S Q L 盲 注 类 似 。 同 样 ， 攻 击 者 可 以 使 用 字 符 集 削 减 技 术 减 少 获 得 信 息 所 需 的 请 求 数 ， 为 完 成 这 一 点 ， 他 使 用 通 配 符 测 试 给 定 的 字 符 在 值 中 是 否 为 a n y w h e r e ： ( & ( i d p r i n t e r = H P L a s e r J e t 2 1 0 0 ) ( d e p a r t m e n t = * n * ) ) ( o b j e c t = p r i n t e r ) ) 这 样 子 可 以 看 d e p a r t m e n t 中 是 否 有 b 和 n ， 巧 用 可 以 加 速 猜 解 过 程 ， 当 然 一 般 肯 定 都 是 写 脚 本 猜 解 0 x 0 4   防 御 L D A P 注 入 总 而 言 之 ， 我 们 看 到 圆 括 号 、 星 号 、 逻 辑 操 作 符 、 关 系 运 操 作 符 在 应 用 层 都 必 须 过 滤 。 无 论 什 么 时 候 ， 只 要 可 能 ， 构 造 L D A P 搜 索 过 滤 器 的 值 在 发 送 给 L D A P 服 务 器 查 询 之 前 都 要 用 应 用 层 有 效 地 值 列 表 来 核 对 。 正 则 表 达 式 替 换 掉 就 可 以 了 。 转 自 ： h t t p : / / b l o g . c s d n . n e t / q q _ 1 9 8 7 6 1 3 1 / a r t i c l e / d e t a i l s / 5 0 5 7 7 3 5 5 ( & ( i d p r i n t e r = H P L a s e r J e t 2 1 0 0 ) ( d e p a r t m e n t = a * ) ) ( o b j e c t = p r i n t e r ) ) ( & ( i d p r i n t e r = H P L a s e r J e t 2 1 0 0 ) ( d e p a r t m e n t = f * ) ) ( o b j e c t = p r i n t e r ) ) ( & ( i d p r i n t e r = H P L a s e r J e t 2 1 0 0 ) ( d e p a r t m e n t = * b * ) ) ( o b j e c t = p r i n t e r ) )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理