LDAP-Injection - Versionsgeschichte

St191635 am 2. August 2020 um 15:44 Uhr

2020-08-02T15:44:12Z

← Nächstältere Version		Version vom 2. August 2020, 15:44 Uhr
Zeile 3:		Zeile 3:

	=== LDAP-Injection ===		=== LDAP-Injection ===
	Wird LDAP auf einer Webseite verwendet ohne dass die Eingaben geprüft werden, dann sind LDAP-Injections möglich. LDAP-Injections sind vom Aufbau ähnlich zu SQL-Injections. Es wird dabei versucht die eigenen Rechte auf einem Zielsystem auszuweiten und unautorisierte Abfragen durchzuführen.		Wird LDAP auf einer Webseite verwendet ohne, dass die Eingaben geprüft werden, dann sind LDAP-Injections möglich. LDAP-Injections sind vom Aufbau ähnlich zu SQL-Injections. Es wird dabei versucht die eigenen Rechte auf einem Zielsystem auszuweiten und unautorisierte Abfragen durchzuführen.
	LDAP verwendet in den Befehlen sogenannte Filter bzw. Filterlisten. Diese sind mit „Und“ (&) bzw. „Oder“ (\|) verknüpft. Die einzelnen Filter setzen sich aus dem Attribut und dem eigentlichen Wert zusammen (Attribut=Wert). Diese Filterlisten können beliebig lang sein. Ein gültiger LDAP Befehl sieht wie folgt aus:		LDAP verwendet in den Befehlen sogenannte Filter bzw. Filterlisten. Diese sind mit „Und“ (&) bzw. „Oder“ (\|) verknüpft. Die einzelnen Filter setzen sich aus dem Attribut und dem eigentlichen Wert zusammen (Attribut=Wert). Diese Filterlisten können beliebig lang sein. Ein gültiger LDAP Befehl sieht wie folgt aus:

Zeile 15:		Zeile 15:
	(&(Attribut1=Wert1)(Attribut2=Wert2))(&(AttributN=WertN)(AttributM=WertM))<br>		(&(Attribut1=Wert1)(Attribut2=Wert2))(&(AttributN=WertN)(AttributM=WertM))<br>

	an ~~ein~~ LDAP-Server gesendet, so wird nur der Befehl mit Attribut1 und Attribut2 ausgeführt. Der Befehl mit AttributN und AttributM wird nicht ausgeführt, sondern verworfen.		an einen LDAP-Server gesendet, so wird nur der Befehl mit Attribut1 und Attribut2 ausgeführt. Der Befehl mit AttributN und AttributM wird nicht ausgeführt, sondern verworfen.

	Nutzt nun eine Webseite LDAP zum Login der Nutzer ohne die Eingaben zu prüfen, so ist es möglich sich als ein beliebiger Nutzer anzumelden. Eine Webseite könnte z.B. folgenden Code ~~zum~~ Authentisierung der Nutzer verwenden:<br>		Nutzt nun eine Webseite LDAP zum Login der Nutzer, ohne die Eingaben zu prüfen, so ist es möglich sich als ein beliebiger Nutzer anzumelden. Eine Webseite könnte z.B. folgenden Code zur Authentisierung der Nutzer verwenden:<br>

	(&(USER=Uname)(PASSWORD=Pwd))<br>		(&(USER=Uname)(PASSWORD=Pwd))<br>

St191635: /* LDAP */

2020-07-27T15:23:03Z

LDAP

← Nächstältere Version		Version vom 27. Juli 2020, 15:23 Uhr
Zeile 1:		Zeile 1:
	== LDAP ==		== LDAP ==
	LDAP steht für Lightweight Directory Access Protocol. Es ist Bestandteil von Microsofts Active Directory. Es dient dazu Informationen über Benutzer und Gruppen bereitzustellen. LDAP wird häufig für Applikationen mit SSO (Sigle-Sign-On) genutzt. Außerdem gibt es LDAP auch als Open Source Variante und nennt sich Open LDAP. Open LDAP kommt zum Beispiel in Samba Protokoll zum Einsatz.		LDAP steht für Lightweight Directory Access Protocol. Es ist Bestandteil von Microsofts Active Directory. Es dient dazu Informationen über Benutzer und Gruppen bereitzustellen. LDAP wird häufig für Applikationen mit SSO (Sigle-Sign-On) genutzt. Außerdem gibt es LDAP auch als Open Source Variante und nennt sich Open LDAP. Open LDAP kommt zum Beispiel im Samba Protokoll zum Einsatz.

	=== LDAP-Injection ===		=== LDAP-Injection ===

St191635: /* LDAP */

2020-07-27T15:21:34Z

LDAP

← Nächstältere Version		Version vom 27. Juli 2020, 15:21 Uhr
Zeile 28:		Zeile 28:

	=== Gegenmaßnahmen ===		=== Gegenmaßnahmen ===
	LDAP-Injections lassen sich nur ausnutzen, wenn die Eingaben nicht geprüft werden. Daher sollten bestimmte Zeichen aus Eingaben herausgefiltert werden. Alternativ könne für die Zeichen auch Whitelists erstellt werden. Außerdem gibt es für LDAP Frameworks, die die Implementation erleichtern und Angriffen vorbeugen. Ein beliebtes C# Framework für LDAP ist "LINQtoAD".~~<br>~~		LDAP-Injections lassen sich nur ausnutzen, wenn die Eingaben nicht geprüft werden. Daher sollten bestimmte Zeichen aus Eingaben herausgefiltert werden. Alternativ könne für die Zeichen auch Whitelists erstellt werden. Außerdem gibt es für LDAP Frameworks, die die Implementation erleichtern und Angriffen vorbeugen. Ein beliebtes C# Framework für LDAP ist "LINQtoAD".<ref>[LDAP Injection Prevention],Vgl. OWASP LDAP Injection Prevention Cheat Sheet, URL:https://cheatsheetseries.owasp.org/cheatsheets/LDAP_Injection_Prevention_Cheat_Sheet.html (Stand: 27.07.2020)</ref>
	<ref>[LDAP Injection Prevention],Vgl. OWASP LDAP Injection Prevention Cheat Sheet, URL:https://cheatsheetseries.owasp.org/cheatsheets/LDAP_Injection_Prevention_Cheat_Sheet.html (Stand: 27.07.2020)</ref>

St191635: /* LDAP */

2020-07-27T15:21:07Z

LDAP

← Nächstältere Version		Version vom 27. Juli 2020, 15:21 Uhr
Zeile 29:		Zeile 29:
	=== Gegenmaßnahmen ===		=== Gegenmaßnahmen ===
	LDAP-Injections lassen sich nur ausnutzen, wenn die Eingaben nicht geprüft werden. Daher sollten bestimmte Zeichen aus Eingaben herausgefiltert werden. Alternativ könne für die Zeichen auch Whitelists erstellt werden. Außerdem gibt es für LDAP Frameworks, die die Implementation erleichtern und Angriffen vorbeugen. Ein beliebtes C# Framework für LDAP ist "LINQtoAD".<br>		LDAP-Injections lassen sich nur ausnutzen, wenn die Eingaben nicht geprüft werden. Daher sollten bestimmte Zeichen aus Eingaben herausgefiltert werden. Alternativ könne für die Zeichen auch Whitelists erstellt werden. Außerdem gibt es für LDAP Frameworks, die die Implementation erleichtern und Angriffen vorbeugen. Ein beliebtes C# Framework für LDAP ist "LINQtoAD".<br>
	<br>		<ref>[LDAP Injection Prevention],Vgl. OWASP LDAP Injection Prevention Cheat Sheet, URL:https://cheatsheetseries.owasp.org/cheatsheets/LDAP_Injection_Prevention_Cheat_Sheet.html (Stand: 27.07.2020)</ref>
	~~Quelle~~: https://cheatsheetseries.owasp.org/cheatsheets/LDAP_Injection_Prevention_Cheat_Sheet.html

St191635: /* LDAP */

2020-07-27T15:14:11Z

LDAP

← Nächstältere Version		Version vom 27. Juli 2020, 15:14 Uhr
Zeile 1:		Zeile 1:
	== LDAP ==		== LDAP ==
	LDAP steht für Lightweight Directory Access Protocol. Es ist Bestandteil von Microsofts Active Directory. Es dient dazu Informationen über Benutzer und Gruppen bereitzustellen. LDAP wird ~~daher~~ häufig für Applikationen mit SSO (Sigle-Sign-On) genutzt. Außerdem gibt es LDAP auch als Open Source Variante und nennt sich Open LDAP. Open LDAP kommt zum Beispiel in Samba Protokoll zum Einsatz.		LDAP steht für Lightweight Directory Access Protocol. Es ist Bestandteil von Microsofts Active Directory. Es dient dazu Informationen über Benutzer und Gruppen bereitzustellen. LDAP wird häufig für Applikationen mit SSO (Sigle-Sign-On) genutzt. Außerdem gibt es LDAP auch als Open Source Variante und nennt sich Open LDAP. Open LDAP kommt zum Beispiel in Samba Protokoll zum Einsatz.

	=== LDAP-Injection ===		=== LDAP-Injection ===

St191635: /* Gegenmaßnahmen */

2020-07-27T15:13:38Z

Gegenmaßnahmen

← Nächstältere Version		Version vom 27. Juli 2020, 15:13 Uhr
Zeile 28:		Zeile 28:

	=== Gegenmaßnahmen ===		=== Gegenmaßnahmen ===
	LDAP-Injections lassen sich nur ausnutzen, wenn die Eingaben nicht geprüft werden. Daher sollten bestimmte Zeichen aus Eingaben herausgefiltert werden. Alternativ könne auch Whitelists ~~für Zeichen~~ erstellt werden. Außerdem gibt es für LDAP Frameworks, die die Implementation erleichtern und Angriffen vorbeugen. Ein beliebtes C# Framework für LDAP ist "LINQtoAD".<br>		LDAP-Injections lassen sich nur ausnutzen, wenn die Eingaben nicht geprüft werden. Daher sollten bestimmte Zeichen aus Eingaben herausgefiltert werden. Alternativ könne für die Zeichen auch Whitelists erstellt werden. Außerdem gibt es für LDAP Frameworks, die die Implementation erleichtern und Angriffen vorbeugen. Ein beliebtes C# Framework für LDAP ist "LINQtoAD".<br>
	<br>		<br>
	Quelle: https://cheatsheetseries.owasp.org/cheatsheets/LDAP_Injection_Prevention_Cheat_Sheet.html		Quelle: https://cheatsheetseries.owasp.org/cheatsheets/LDAP_Injection_Prevention_Cheat_Sheet.html

St191635: /* LDAP */

2020-07-27T15:11:44Z

LDAP

← Nächstältere Version		Version vom 27. Juli 2020, 15:11 Uhr
Zeile 25:		Zeile 25:
	(& (USER=foobar)(&))(PASSWORD=Pwd))<br>		(& (USER=foobar)(&))(PASSWORD=Pwd))<br>

	Da nur der erste Befehl ausgeführt wird, würde man '''ohne''' Password eingeloggt werden, da der erste Befehl wahr ist, sofern der Nutzer existiert.~~<br>~~		Da nur der erste Befehl ausgeführt wird, würde man '''ohne''' Password eingeloggt werden, da der erste Befehl wahr ist, sofern der Nutzer existiert.
	<br>
			=== Gegenmaßnahmen ===
			LDAP-Injections lassen sich nur ausnutzen, wenn die Eingaben nicht geprüft werden. Daher sollten bestimmte Zeichen aus Eingaben herausgefiltert werden. Alternativ könne auch Whitelists für Zeichen erstellt werden. Außerdem gibt es für LDAP Frameworks, die die Implementation erleichtern und Angriffen vorbeugen. Ein beliebtes C# Framework für LDAP ist "LINQtoAD".<br>
	<br>		<br>
	Quelle: https://cheatsheetseries.owasp.org/cheatsheets/LDAP_Injection_Prevention_Cheat_Sheet.html		Quelle: https://cheatsheetseries.owasp.org/cheatsheets/LDAP_Injection_Prevention_Cheat_Sheet.html

	~~=== Gegenmaßnahmen ===~~
	LDAP-Injections lassen sich nur ausnutzen, wenn die Eingaben nicht geprüft werden. Daher sollten bestimmte Zeichen aus Eingaben herausgefiltert werden. Alternativ könne auch Whitelists für Zeichen erstellt werden. Außerdem gibt es für LDAP Frameworks, die die Implementation erleichtern und Angriffen vorbeugen. Ein beliebtes C# Framework für LDAP ist "LINQtoAD".

St191635: /* LDAP-Injection */

2020-07-27T15:10:52Z

LDAP-Injection

← Nächstältere Version		Version vom 27. Juli 2020, 15:10 Uhr
Zeile 25:		Zeile 25:
	(& (USER=foobar)(&))(PASSWORD=Pwd))<br>		(& (USER=foobar)(&))(PASSWORD=Pwd))<br>

	Da nur der erste Befehl ausgeführt wird, würde man '''ohne''' Password eingeloggt werden, da der erste Befehl wahr ist, sofern der Nutzer existiert.		Da nur der erste Befehl ausgeführt wird, würde man '''ohne''' Password eingeloggt werden, da der erste Befehl wahr ist, sofern der Nutzer existiert.<br>
			<br>
			<br>
			Quelle: https://cheatsheetseries.owasp.org/cheatsheets/LDAP_Injection_Prevention_Cheat_Sheet.html

	=== Gegenmaßnahmen ===		=== Gegenmaßnahmen ===
	LDAP-Injections lassen sich nur ausnutzen, wenn die Eingaben nicht geprüft werden. Daher sollten bestimmte Zeichen aus Eingaben herausgefiltert werden. Alternativ könne auch Whitelists für Zeichen erstellt werden. Außerdem gibt es für LDAP Frameworks, die die Implementation erleichtern und Angriffen vorbeugen. Ein beliebtes C# Framework für LDAP ist "LINQtoAD".		LDAP-Injections lassen sich nur ausnutzen, wenn die Eingaben nicht geprüft werden. Daher sollten bestimmte Zeichen aus Eingaben herausgefiltert werden. Alternativ könne auch Whitelists für Zeichen erstellt werden. Außerdem gibt es für LDAP Frameworks, die die Implementation erleichtern und Angriffen vorbeugen. Ein beliebtes C# Framework für LDAP ist "LINQtoAD".

St191635: /* LDAP Injection */

2020-07-27T15:05:12Z

LDAP Injection

← Nächstältere Version		Version vom 27. Juli 2020, 15:05 Uhr
Zeile 2:		Zeile 2:
	LDAP steht für Lightweight Directory Access Protocol. Es ist Bestandteil von Microsofts Active Directory. Es dient dazu Informationen über Benutzer und Gruppen bereitzustellen. LDAP wird daher häufig für Applikationen mit SSO (Sigle-Sign-On) genutzt. Außerdem gibt es LDAP auch als Open Source Variante und nennt sich Open LDAP. Open LDAP kommt zum Beispiel in Samba Protokoll zum Einsatz.		LDAP steht für Lightweight Directory Access Protocol. Es ist Bestandteil von Microsofts Active Directory. Es dient dazu Informationen über Benutzer und Gruppen bereitzustellen. LDAP wird daher häufig für Applikationen mit SSO (Sigle-Sign-On) genutzt. Außerdem gibt es LDAP auch als Open Source Variante und nennt sich Open LDAP. Open LDAP kommt zum Beispiel in Samba Protokoll zum Einsatz.

	=== LDAP Injection ===		=== LDAP-Injection ===
	Wird LDAP auf einer Webseite verwendet ohne dass die Eingaben geprüft werden, dann sind LDAP-Injections möglich. LDAP-Injections sind vom Aufbau ähnlich zu SQL-Injections. Es wird dabei versucht die eigenen Rechte auf einem Zielsystem auszuweiten und unautorisierte Abfragen durchzuführen.		Wird LDAP auf einer Webseite verwendet ohne dass die Eingaben geprüft werden, dann sind LDAP-Injections möglich. LDAP-Injections sind vom Aufbau ähnlich zu SQL-Injections. Es wird dabei versucht die eigenen Rechte auf einem Zielsystem auszuweiten und unautorisierte Abfragen durchzuführen.
	LDAP verwendet in den Befehlen sogenannte Filter bzw. Filterlisten. Diese sind mit „Und“ (&) bzw. „Oder“ (\|) verknüpft. Die einzelnen Filter setzen sich aus dem Attribut und dem eigentlichen Wert zusammen (Attribut=Wert). Diese Filterlisten können beliebig lang sein. Ein gültiger LDAP Befehl sieht wie folgt aus:		LDAP verwendet in den Befehlen sogenannte Filter bzw. Filterlisten. Diese sind mit „Und“ (&) bzw. „Oder“ (\|) verknüpft. Die einzelnen Filter setzen sich aus dem Attribut und dem eigentlichen Wert zusammen (Attribut=Wert). Diese Filterlisten können beliebig lang sein. Ein gültiger LDAP Befehl sieht wie folgt aus:

St191635: /* LDAP-Allgemein */

2020-07-27T15:01:06Z

LDAP-Allgemein

← Nächstältere Version		Version vom 27. Juli 2020, 15:01 Uhr
Zeile 1:		Zeile 1:
	== LDAP~~-Allgemein~~==		== LDAP ==
	LDAP steht für Lightweight Directory Access Protocol. Es ist Bestandteil von Microsofts Active Directory. Es dient dazu Informationen über Benutzer und Gruppen bereitzustellen. LDAP wird daher häufig für Applikationen mit SSO (Sigle-Sign-On) genutzt. Außerdem gibt es LDAP auch als Open Source Variante und nennt sich Open LDAP. Open LDAP kommt zum Beispiel in Samba Protokoll zum Einsatz.		LDAP steht für Lightweight Directory Access Protocol. Es ist Bestandteil von Microsofts Active Directory. Es dient dazu Informationen über Benutzer und Gruppen bereitzustellen. LDAP wird daher häufig für Applikationen mit SSO (Sigle-Sign-On) genutzt. Außerdem gibt es LDAP auch als Open Source Variante und nennt sich Open LDAP. Open LDAP kommt zum Beispiel in Samba Protokoll zum Einsatz.