Inyecciones LDAP: Explicación y PoC

    Las inyecciones LDAP son un tipo de ataque en el que se aprovechan las vulnerabilidades en las aplicaciones web que interactúan con un servidor LDAP.

    La inyección LDAP funciona mediante la inserción de comandos LDAP maliciosos en los campos de entrada de una aplicación web, que luego son enviados al servidor LDAP para su procesamiento. Si la aplicación web no está diseñada adecuadamente para manejar la entrada del usuario, un atacante puede aprovechar esta debilidad para realizar operaciones no autorizadas en el servidor LDAP. y llegar a acceder a información de usuarios o recursos que no debería tener acceso, realizar cambios no autorizados en la base de datos del servidor LDAP o realizar operaciones maliciosas en la red, como lanzar ataques de phishing o instalar software malicioso en los sistemas de la red.    Para evitar las inyecciones LDAP, las aplicaciones web que interactúan con un servidor LDAP deben validar y limpiar adecuadamente la entrada del usuario antes de enviarla al servidor LDAP. Esto incluye la validación de la sintaxis de los campos de entrada, la eliminación de caracteres especiales y la limitación de los comandos que pueden ser ejecutados en el servidor LDAP.

POC 1

Intentamos iniciar sesión con un nombre de usuario y una contraseña aleatorios, pero el resultado es negativo;

La arquitectura de la aplicación que soporta LDAP incluye componentes tanto del lado del servidor como del lado del cliente. Las consultas LDAP enviadas al servidor se conocen como filtros de búsqueda LDAP, que se construyen utilizando notación prefijo. A continuación, se muestra un ejemplo de un filtro de búsqueda LDAP:

Esta notación de filtro prefijo instruye a la consulta a encontrar un nodo LDAP con el nombre de usuario y la contraseña dados. La cual busca entradas en el directorio LDAP que cumplan con ambas condiciones: cn (Common Name) sea igual a «algo» y userPassword (contraseña del usuario) sea igual a «algo».

Si revisamos el codigo del aplicativo;

Podemos ver que el filtro se construye concatenando directamente el nombre de usuario y la contraseña en el filtro sin una adecuada sanitización. Si reemplazamos el nombre de usuario y la contraseña con un carácter especial, podemos eludir los controles de autenticación. Usar «*» como nombre de usuario y contraseña resultará en un inicio de sesión exitoso puesto que busca cualquier atributo que coincida con cualquier valor;

Esto altera significativamente la lógica de búsqueda y posiblemente nos permite el acceso no autorizado.

POC 2

Nuevamente  nos encontramos ante una aplicación web, las cual nos pide un usuario y contraseña para entrar;

Revisemos el codigo de la aplicacion y vemos que es el mismo que vimos anteriormente;

Pero el filtro el cual utilizamos para alterar la lógica esta vez no nos funciona;

Y esto se debe a que para evitar la inyección LDAP verifica la longitud de la entrada del usuario. Si la longitud es menor a 2, la entrada del usuario es inválida.

Pero podemos utilizar caracteres especiales distintos de «*» para crear consultas maliciosas y alterar la logica;

El filtro quedaría así;