[Owasp-turkey] boş username/boş password - php ldap_bind

Wed Oct 5 07:47:50 EDT 2011

Merhaba,
Bilinen bir problem bu, nedeni dedigim gibi 1-2 yerde yazili, cok detayli
incelemedim. Ancak ayni AD'ye C# ile

DirectoryEntry deDirEntry = new DirectoryEntry("ad_server",domain + "\\" +
textBox1.Text,textBox2.Text, AuthenticationTypes.Anonymous);

ile baglanamiyorum, dogru kullanici adi/bos sifre ile hata aliyorum. Baska
etkenler de olabilir bilemiyorum ama bahsettigim basit onlemler,
kontroller framework'den, arka uctan bagimsiz yapilmali.
kolay gelsin

05 Ekim 2011 14:08 tarihinde Serkan Ã–zkan <serkanozkan at gmail.com> yazdÄ±:

> Selam,
> Ldap bind iÅŸlemlerinde eÄŸer ÅŸifre belirtilmemiÅŸse, kullanÄ±cÄ± adÄ±
> belirtilmiÅŸse bile, bu anonymous bind isteÄŸi sayÄ±lÄ±r. EÄŸer ldap sunucusu
> anonymous bind'a izin veriyorsa ve ÅŸifre boÅŸsa ldap_bind fonksiyonu true
> dÃ¶ner. Bu durum php'ye Ã¶zel ya da php'den kaynaklanan bir sorun deÄŸildir.
>
>
>
> 2011/10/5 Canberk BOLAT <canberk.bolat at gmail.com>
>
>> Selam,
>> Eyvah eyvah demek istiyorum :) Sadece PHP LDAP implementasyonu iÃ§in
>> geÃ§erli bir durum deÄŸil mi Bedirhan hocam?
>>
>> 05 Ekim 2011 13:23 tarihinde Bedirhan Urgun <bedirhanurgun at gmail.com>yazdÄ±:
>>
>>>   Merhaba,
>>> Kucuk bir php projesi icin kimlik dogrulama metodu yazmak gerekti.
>>> Herkesin hazir AD hesabi varken "custom forms authentication" ve windows
>>> hesaplari ile halledelim dedik. Kod parcasi asagida;
>>>
>>> ...
>>>             $ldap =
>>> ldap_connect("ad_server_url");
>>>             $bind = ldap_bind($ldap, "$domain\\$uname" ,
>>> $_POST['password']);
>>>             if($bind){
>>>               $_SESSION['user'] = $uname;
>>>               $isAuthentic = TRUE;
>>>               $log->LogInfo("Successfull log in attempt:
>>> $uname");
>>>             }
>>> ...
>>>
>>> maalesef boÅŸ password gÃ¶nderildiÄŸinde ldap_bind yine TRUE dÃ¶nÃ¼yor. :)
>>> Nedeni 1-2 yerde yazÄ±lmÄ±ÅŸ ama iki ÅŸey Ã¶n plana Ã§Ä±kÄ±yor.
>>>
>>> 1. sÄ±kÄ± girdi kontrolÃ¼ (uzunluk v.b.)
>>> 2. denetim yaparken boÅŸ kullanÄ±cÄ± adÄ±/ÅŸifrenin veya kullanÄ±cÄ± adÄ±/boÅŸ
>>> ÅŸifrenin kontrollere eklenmesi (bu kadar da olmaz demeden, denemeli),
>>> yukarÄ±da SESSION falan hep doÄŸru username ile doluyor yani, Ã§ok tehlikeli.
>>>  kolay gelsin.
>>> --
>>> Bedirhan Urgun
>>> http://www.webguvenligi.org
>>> http://www.owasp.org/index.php/Turkey
>>>
>>> TÃ¼rkÃ§e Web Uygulama GÃ¼venliÄŸi E-Posta Listesine Ã¼ye olmak iÃ§in:
>>> https://lists.owasp.org/mailman/listinfo/owasp-turkey
>>>
>>> _______________________________________________
>>> Owasp-turkey mailing list
>>> Owasp-turkey at lists.owasp.org
>>> https://lists.owasp.org/mailman/listinfo/owasp-turkey
>>>
>>>
>>
>>
>> --
>> Canberk Bolat
>> Security Researcher
>> http://twitter.com/cnbrkbolat
>> http://cbolat.blogspot.com
>>
>> _______________________________________________
>> Owasp-turkey mailing list
>> Owasp-turkey at lists.owasp.org
>> https://lists.owasp.org/mailman/listinfo/owasp-turkey
>>
>>
>
> _______________________________________________
> Owasp-turkey mailing list
> Owasp-turkey at lists.owasp.org
> https://lists.owasp.org/mailman/listinfo/owasp-turkey
>
>

-- 
Bedirhan Urgun
http://www.webguvenligi.org
http://www.owasp.org/index.php/Turkey

TÃ¼rkÃ§e Web Uygulama GÃ¼venliÄŸi E-Posta Listesine Ã¼ye olmak iÃ§in:
https://lists.owasp.org/mailman/listinfo/owasp-turkey
-------------- sonraki bölüm --------------
Bir HTML eklentisi temizlendi...
URL: https://lists.owasp.org/pipermail/owasp-turkey/attachments/20111005/01eae78d/attachment.html 