Bevezetés az LDAP befecskendezésbe

A webes alkalmazás manapság állítólag sokkal több, mint pusztán a felhasználói lekérdezéseket feldolgozó platform. A korábbi időszakban a webalkalmazás arra a helyre vonatkozott, ahol a felhasználók jöhetnek, hogy elvégezzék a munkájukat és kijelentkezzenek, és a kijelentkezésre az alkalmazás megszűnik. De manapság a webes alkalmazásnak akkor is működnie kell, ha a felhasználó nem használja, amely sütik segítségével valósítható meg. A Facebook a közelmúltban megerősítette, hogy sütik használatával ellenőrzi a felhasználók tevékenységeit, hogy megbizonyosodjon arról, hogy rendszerüket nem használják vissza. Tehát abban az időben, amikor az online alkalmazásoknak erősebbnek kell lenniük, az alkalmazások biztonsága vezeti a követelmények listáját. Itt a kibernetikus támadások egyik típusára összpontosítunk, amelyet a rendszer biztonságának biztosítása érdekében ügyelni kell.

Mi az LDAP injekció?

  • Az LDAP a könnyű címtárszolgáltatási hozzáférési protokollt jelenti. Definiálható olyan gyártó-semleges protokollként, amely a réteg TCP / IP veremén keresztül működik. A jogosultság-ellenőrzési és hitelesítési mechanizmus bevezetésére szolgál a webalkalmazásban annak biztonsága érdekében, és nagyon gyakran használják a webes alkalmazások fejlesztése során. Az LDAP-t nagyon gyakran használják az interneten vagy az intraneten keresztül használt webalkalmazásokban. Nagyon fontos, hogy a webalkalmazás együtt járjon az LDAP-tal, mivel ez egy nagyon gyakori és fontos tényező, amely megkönnyíti a webes alkalmazás biztonságos fejlesztését.
  • Az LDAP meghatározható a biztonsági ellenőrzések elvégzéséhez használt szabványkészletként is, annak érdekében, hogy kiderüljön, vajon a felhasználó rendelkezik-e minden joggal a meglévő rendszerhez való hozzáféréshez. Az ellenőrzéseknek számos módja van, de végül az összes ellenőrzés célja a webes alkalmazás biztonságának biztosítása. Tilos a megfelelő jogosultságokkal nem rendelkező felhasználók jogosulatlan hozzáférését. A felhasználó által az adott webalkalmazáshoz fűződő jogok alapján biztosítja, hogy a felhasználó csak azokhoz a dolgokhoz férhessen hozzá, amelyekre jogosult. Noha ezt a webes alkalmazás biztonságának gondozására használják, a hackerek is becsaphatják, hogy kivonják a levet az alkalmazásból.

LDAP befecskendezés példa segítségével

  • A webalkalmazásnak tovább kell feldolgoznia a felhasználót a felhasználótól. A támadó kihasználhatja ezt, ha a felhasználók által megadott értéket nem megfelelően fertőtlenítik, és közvetlenül az adatbázisba kerül végrehajtásra. Itt megtudhatja, hogyan lehet elindítani az LDAP-injekciót a támadásra hajlamos bármely webalkalmazáson.

IEnter your name

  • A fent említett lekérdezés átalakul LDAP-barát parancsokká, hogy az alkalmazás megkönnyítse a lekérdezés megfelelő végrehajtását.

String ldapQueryToSearch= "(sq=" + $userName + ")";
System.out.println(ldapQueryToSearch);

  • A fenti esetben, ha a felhasználó által megadott értéket nem fertőtlenítik, az a meglévő felhasználók nevének megszerzéséhez vezethet, ha a „*” beviteli mezőbe beírja. A csillag az összes elérhető opciót jelöli, tehát amikor az adatbázis a csillagot inkább egy adott felhasználónévvel dolgozza fel, akkor az LDAP adatbázisban tárolt összes objektumot megkapja. A tényleges lekérdezés, amelyet az adatbázisban hajt végre, a következő lesz

findingLogin="(&(usrid="+username+")(userPwd=(MD5)"+base64(pack("H*", md5(pass)))+"))";

  • Ha az adatokat nem fertőtlenítik, és az adatbázis elfogadja a csillag értékét a folyamathoz, akkor a kód az alábbiak szerint alakul.

findingLogin="(&(usrid=*)(usrid=*))(|(usrid=*)(userPwd=(MD5)Xkjr1Hj5LydgyfeuILpxM==))";

Amint a fenti sebezhető kód bekerül az LDAP adatbázisba, az az összes LDAP adatbázisban tárolt objektumon átjut, és kárt okoz a webes alkalmazás számára. Az LDAP befecskendezés eredményét ezután a hackerek felhasználják a rendszer visszaélésére és a biztonság megsértésére.

Hogyan lehet megvédeni az LDAP befecskendezéses támadásokat?

  • Ha az alkalmazásban sérülékenység tapasztalható, léteznie kell annak kijavítására is. Alig lesz olyan biztonsági rés, amelyet nem lehet megoldani vagy kijavítani a rendszer védelme érdekében. Ugyanígy többféle módszer is használható a webes alkalmazás védelmére az LDAP-befecskendezéstől.
  • A legelső és legfontosabb módszer az, hogy megtisztítsák a bemeneti anyagot, mielőtt tovább feldolgoznák. A felhasználó által benyújtott bemenetet érvényesíteni kell, ha az megfelel annak a követelménynek, amely megfelel annak a szövegnek, amelyet az alkalmazás az elvárások alapján vár. Például, ha a felhasználó megkísérel valamilyen speciális karaktert beküldeni a nevet kérő szövegmezőbe, akkor a felhasználót figyelmeztetni kell arra, hogy nem tudnak kitölteni a különleges karaktereket. Ez az ügyféloldali érvényesítés. Most a szerver oldali érvényesítésre is szükség lesz annak ellenőrzésére, hogy a megadott adatok valósak-e.
  • A következő az LDAP konfigurálása a biztonság szem előtt tartásával. Az LDAP-konfigurációt oly módon kell elvégezni, hogy az jogosulatlan felhasználókat korlátozzon bármilyen rosszindulatú változtatás a rendszerben. Ezenkívül a következő az, hogy az LDAP-lekérdezés eredményét korlátozottnak kell lennie, és nem hozhat nyilvánosságra olyan adatokat, amelyek biztonsági sérülésekhez vezethetnek. Ha az adatok nem elegendőek a rendszer károsításához, a támadó semmilyen módon nem képes befolyásolni a webalkalmazást, még akkor sem, ha képesek voltak elindítani az LDAP befecskendezési támadást.

Következtetés

A Könnyű címtárszolgáltatási hozzáférési protokoll lehetővé teszi az alkalmazás elérését annak biztosítása érdekében, hogy a rendszerhez hozzáférni próbáló felhasználó megfelelő hitelesítéssel és jogosultsággal rendelkezzen a rendszer használatához. Nagyon fontos figyelembe venni az LDAP-t, miközben az összes biztonsági problémát vigyázza. A rendszernek elegendőnek és erősnek kell lennie, hogy ne engedje hackereknek LDAP támadást indítani. Mivel az LDAP adatbázis nagyon jövedelmező információkat tartalmaz, az adminisztrátornak gondoskodnia kell arról, hogy a felhasználó bemenete nagyon óvatosan megtisztuljon, és a konfigurálást az összes biztonsági tényező figyelembe vételével kell elvégezni.

Ajánlott cikkek

Ez egy útmutató az LDAP befecskendezéshez. Itt tárgyaljuk, mi az LDAP befecskendezés, annak példáit és hogyan védjük meg az LDAP befecskendezés támadását. Megnézheti más kapcsolódó cikkeinket, hogy többet megtudjon-

  1. Mi az SQL befecskendezés?
  2. Mi az a Laravel?
  3. Biztonsági tesztelés
  4. Mi a Java interfész?

Kategória:

Szoftverfejlesztés