是否有任何可以類似於惡意SQL注入的LDAP搜索查詢？

Question

我知道我所問的「搜索」查詢位可能會排除AD上的任何crud操作。但是有點開放這個問題。例如，如果在一個網站上，我正在從一個文本框中搜索輸入來搜索用戶，如果我不嘗試去減少它，我會冒險猜測我有可能讓自己開放某種惡意活動。我需要注意什麼？例如，任何對LDAP有一點了解的人都可以輸入一個命令，這個命令可能會導致一個長時間運行的進程佔用重要的資源（考慮到某個人有點耿耿於懷，而且有一些耿耿於懷的內容過濾器） 。儘管我有能力限制在一個規定的組織單位，但有限的範圍我相信這裏仍然存在漏洞，可能嗎？

Answer 1

就像任何接受用戶輸入的應用程序接口一樣，攻擊者可能會提供應用程序可能不期望的惡意輸入。最好是執行強大的白名單驗證，以確保用戶輸入與已知/期望值相匹配。還有其他情況下可能需要更強大的防禦。

如果您正在接受用戶輸入，並直接放入LDAP查詢中，則需要防範不可預見的LDAP元字符的包含。如果攻擊者能夠成功修改LDAP語句，則稱爲LDAP注入漏洞。

下面的文章做好解釋什麼是LDAP注入，以及如何抵禦它： https://www.owasp.org/index.php/LDAP_injection http://projects.webappsec.org/w/page/13246947/LDAP%20Injection

記住用戶輸入可以是從客戶端什麼，而不僅僅是應用POST/GET參數。像HTTP（或其他協議）頭文件一樣易受攻擊。如果攻擊者能夠在將數據傳輸到應用程序之前截獲數據，則應將其視爲「受感染」，並應採取適當的防禦措施以確保數據不包含惡意輸入。