XMLDecoder、LDAP 注入与修复

号内。由于本语句只有一个参数，因此使用圆括号将其括起以示说明

* （通配符）

可使用通配符表示值可以等于任何值。使用它的情况可能是：您希望查找具有职务头衔的所有对象。

为此，可以使用：

(title=*)

这会返回 “title” 属性包含内容的所有对象。另一个例子是：您知道某个对象的 “ 名 ” 属性的开头两个字

母是 “Jo” 。那么，可以使用如下语法进行查找：

(givenName=Jo*)

这会返回 “ 名 ” 以 “Jo” 开头的所有对象。

高级用法 eg:

您需要一个筛选条件，用来查找居住在 Dallas 或 Austin ，并且名为 “John” 的所有对象。使用的语法

应当是：

(&(givenName=John)(|(l=Dallas)(l=Austin)))

LDAP 注入

LDAP 注入攻击和 SQL 注入攻击相似，因此接下来的想法是利用用户引入的参数生成 LDAP 查询。一

个安全的 Web 应用在构造和将查询发送给服务器前应该净化用户传入的参数。在有漏洞的环境中，这些参

数没有得到合适的过滤，因而攻击者可以注入任意恶意代码。

使用得最广泛的 LDAP ： ADAM 和 OpenLDAP ，下面的结论将会致代码注入：

引入

(attribute=value)

如果过滤器用于构造查询单缺少逻辑操作符，如 value)(injected_filter ，瞬间导致产生了两个过滤器，

(attribute=value)(injected\_filter)

通常，在 OpenLDAP 实施中，第二个过滤器会被忽略，只有第一个会被执行。

而在 ADAM 中，有两个过滤器的查询是不被允许的，因而这个注入毫无用处。

(|(attribute=value)(second_filter)) or (&(attribute=value)(second_filter))

如果第一个用于构造查询的过滤器有逻辑操作符，形如 value)(injected_filter) 的注入会变成如下过滤

器：

(&(attribute=value)(injected_filter)) (second_filter) 。

虽然过滤器语法上并不正确， OpenLDAP 还是会从左到右进行处理，忽略第一个过滤器闭合后的任

何字符。

但是有的浏览器会进行检查，检查过滤器是否正确，这种情况下 value)(injected_filter))(&(1=0 ，于是

就出现了下述 payload

(&(attribute=value)(injected_filter))(&(1=0)(second_filter))

既然第二个过滤器会被 LDAP 服务器忽略，有些部分便不允许有两个过滤器的查询。这种情况下，只

能构建一个特殊的注入以获得单个过滤器的 LDAP 查询，如 value)(injected_filter 得到

(&(attribute=value)(injected_filter)(second_filter))

AND 注入

这种情况，应用会构造由 ”&” 操作符和用户引入的的参数组成的正常查询在 LDAP 目录中搜索，例如：

(&(parameter1=value1)(parameter2=value2))

这里 Value1 和 value2 是在 LDAP 目录中搜索的值，攻击者可以注入代码，维持正确的过滤器结构但

能使用查询实现他自己的目标。

绕过访问控制

一个登陆页有两个文本框用于输入用户名和密码，过滤器如下：

(&(USER=Uname)(PASSWORD=Pwd))

如果攻击者输入一个有效地用户名，如 r00tgrok ，然后再这个名字后面注入恰当的语句， password

检查就会被绕过。输入 Uname=slisberger)(&)) ，得到如下

(&(USER= slisberger)(&)(PASSWORD=Pwd))

LDAP 服务器只处理第一个过滤器，即仅查询 (&(USER=slidberger)(&)) 得到了处理。这个查询永真 , 故

成功绕过

权限提升