LDAP Injection

• Categoría:

• InputValidation

• Referencia:

• OWASP-IV004

Descripcion:

Esta prueba busca identificar vulnerabilidades en aplicaciones que interactúan con directorios LDAP.

Herramientas recomendadas:

• LDAPAdmin

Recomendaciones para realizar la prueba:

Los atacantes intentan insertar código malicioso en las entradas utilizadas en consultas LDAP. Por ejemplo, podrían usar un filtro como "*" o ")(cn=*)" para recuperar toda la información del directorio o alterar privilegios. Esto puede derivar en accesos no autorizados, obtención de datos confidenciales o modificaciones de información en el directorio. Se recomienda la herramienta LDAPAdmin. Conéctate al servidor LDAP usando las credenciales de prueba, realiza consultas controladas para identificar entradas que podrían ser manipulables y corrige las vulnerabilidades detectadas ajustando las consultas y validando entradas.

Valida y limpia todas las entradas del usuario antes de usarlas en consultas LDAP. Utiliza métodos como consultas parametrizadas, para prevenir inyecciones. Además, limita los permisos en el servidor LDAP para minimizar daños en caso de ataque.