03. LDAP 인젝션

취약점 소개

---

LDAP 쿼리 입력으로 변조된 쿼리가 실행되는 취약점

* LDAP;Lightweight Diredtory Access Protocol

 : 인터엣 프로토콜 중 하나(정보 저장 및 교환 디렉터리 서비스)

 : 이메일 주소, 전화번호, ...,

 

판단 기준

---

LDAP 쿼리문 실행 동작 여부

 

점검 사례

---

- 파라미터 값에 변조된 LDAP 쿼리 삽입 후 실행되는지 확인

 

보안 설정

---

- 사용자 입력 값 (가능하면)화이트리스트로 지정하여 필요 특수 문자, 문자만 허용할 수 있도록 Server Side 단에 적용

- 특수문자는 실행 명령이 아닌 일반 문자로 인식되도록 처리

- 웹 방화벽에 LDAP 간련 특수문자 룰셋 적용

(  '()((&))'  )