OWASP テスティングガイド

OWASP Testing Guide v3.0
脆 弱 性 の 解 説
ウェブアプヨクーサュヱは、 認 証 情 報 を 使 ってヤーゴをルギイヱさせることや、 会 社 組 織 の 中 で 他 のヤーゴの 情 報 を 検 索 す
ることに LDAP を 使 います。LDAP イヱザェキサュヱの 基 本 概 念 は、LDAP キウヨの 実 行 過遃 程 で 発 生 するもので、LDAP 検 索 フィ
ラソのミソ 文 字 を 使 うことでウェブアプヨクーサュヱの 脆 弱 性 を 騙 すことで 可 能 になります。
Rfc2254 は、LDAPv3 で 検 索 フィラソをどのように 組 み 立 てればよいか 文 法 について 定 義 しています。そして、Rfc1960
(LDAPv2)を 拡 張 しています。
LDAP 検 索 フィラソは、ホーョヱド 記 法 (または、プリフィッキシ 記 法 'で 構 成 されています。
これは、 検 索 フィラソにおいては、 擬 似 ケードの 条 件 が 以 下 のようになることを 意 味 します8
find("cn=John & userPassword=mypass")
は 次 の 結 果 になります8
find("(&(cn=John)(userPassword=mypass))")
以 下 のミソ 文 字 を 使 うことで、LDAP 検 索 フィラソにブーヨアヱの 条 件 とギラープ 集 合 を 適遚 用 できます8
メタ 文 字 意 味
&
ブーヨアヱ AND
| ブーヨアヱ OR
! ブーヨアヱ NOT
= 等 しい
~= おおよそ
>= ~|より 大 きい