[Owasp-turkey] Yan: Arızayı Bul #3

Bedirhan Urgun bedirhanurgun at gmail.com
Sat Oct 17 03:04:57 EDT 2009


evet Ä°hsan ayrica onlem teknigi icin de tesekkurler.

Digerlerine gore LDAP
Injection<http://www.owasp.org/index.php/LDAP_injection>biraz temel
oldu ama bunlar hepimizin yazarken cikarabilecegi veya
denetlerken bulabilecegi arizalar.
LDAP API'i, SQL API'ina gore cok daha az cesitli fonksiyonlar
barindirdigindan her zaman kolay exploit edilmeyebilir veya cok tehlikeli
olmayabilir. Ama sunucu tarafli bir injection'dan bahsediyoruz. Dikkatle ele
almak ve duzeltmek gerekir.

Regular Expression'dan daha az kisitlayici bir onlem icin LDAP escape
yapabilecegimiz Microsoft IST Team'in
WPL<http://blogs.msdn.com/securitytools/archive/2009/08/11/ldap-injection-and-mitigation.aspx>'ini
bekliyorum. O zamana kadar
stackoverflow<http://stackoverflow.com/questions/649149/how-to-escape-a-string-in-c-for-use-in-an-ldap-query>
.

bedirhan


16 Ekim 2009 22:36 tarihinde ihsan varol <ivarol at yahoo.com> yazdı:

>    Merhaba,
> Bir LDAP injection tehlikesi gördüm sanki... ;)
>
> Riskler :
> TextBox'a asterisk karakteri girildiğinde tüm username'leri döndürecektir.
> '(','|','&' gibi karakterleri kullanarak farklı eğlenceler de denenebilir.
>
> Önlemek için regular expression
> <http://en.wikipedia.org/wiki/Regular_expression>kontrolü yapılabilir.
> Mesela :
> String userName =
> Regex.IsMatch(Request.Querystring(“aUserName”),"^[A-Za-z]{16}$");
>
> İyi çalışmalar.
>
> Ihsan Varol
> Logo Business Solutions
>
>
> --- *16/10/09 Cum tarihinde Bedirhan Urgun <bedirhanurgun at gmail.com>*şöyle yazıyor:
>
>
> Kimden: Bedirhan Urgun <bedirhanurgun at gmail.com>
> Konu: [Owasp-turkey] Arızayı Bul #3
> Kime: "OWASP-Türkiye" <owasp-turkey at lists.owasp.org>
> Tarihi: 16 Ekim 2009 Cuma, 19:21
>
>
> Merhaba,
> java ve javascript'ten sonra bir c# arizayi bul ornegi. *Yazdigim bir
> thick client uygulamasindan... :(*
>
> bedirhan
>
>
> Arizayi Bul#3
> -------------------
>
>         private void button1_Click(object sender, EventArgs e)
>         {
>             Requester requester = GetRequester(textBox2.Text);
>             textBox1.Text += requester.ToString();
>             textBox2.Text = requester.Manager;
>         }
>
>
>         private Requester GetRequester(string aUserName)
>         {
>             Requester requester = null;
>             // get our user
>             DirectoryEntry ldapUser = GetLDAPUser(aUserName);
>             if (ldapUser == null)
>                 return requester;
>         ...
>
>         }
>
>         private DirectoryEntry GetLDAPUser(string UserName)
>         {
>             DirectoryEntry de = GetDirectoryEntry();
>             DirectorySearcher deSearch = new DirectorySearcher();
>             deSearch.SearchRoot = de;
>             deSearch.Filter = "(&(objectClass=user)(sAMAccountName=" +
> UserName + "))";
>             deSearch.SearchScope = SearchScope.Subtree;
>             SearchResult results = deSearch.FindOne();
>             if (results != null)
>                 return GetDirectoryEntry(results.Path);
>             else
>                 return null;
>         }
>
> -----Satır İçi Eki Var-----
>
> _______________________________________________
> Owasp-turkey mailing list
> Owasp-turkey at lists.owasp.org<http://tr.mc538.mail.yahoo.com/mc/[email protected]>
> https://lists.owasp.org/mailman/listinfo/owasp-turkey
>
>
> ------------------------------
> Yahoo! Türkiye açıldı!
> Haber, Ekonomi, Videolar, Oyunlar hepsi Yahoo! Türkiye'de!
> www.yahoo.com.tr <http://tr.yahoo.com/>
>
> _______________________________________________
> Owasp-turkey mailing list
> Owasp-turkey at lists.owasp.org
> https://lists.owasp.org/mailman/listinfo/owasp-turkey
>
-------------- sonraki bölüm --------------
Bir HTML eklentisi temizlendi...
URL: https://lists.owasp.org/pipermail/owasp-turkey/attachments/20091017/03439584/attachment.html 


More information about the Owasp-turkey mailing list