LDAP Injection

Description

L'injection LDAP exploite les filtres de requêtes LDAP en manipulant des caractères spéciaux comme *, (, ), | pour contourner l'authentification, énumérer l'annuaire Active Directory ou extraire des attributs sensibles comme les mots de passe en texte clair.

Exploitation

Un payload comme *)(uid=* dans un formulaire de connexion peut contourner l'authentification si la requête LDAP n'est pas correctement construite. L'énumération permet de récupérer la structure de l'annuaire et les comptes de service.

Défense

• Utiliser des APIs LDAP paramétrées et encoder les caractères spéciaux dans toutes les entrées
• Valider les entrées par whitelist stricte avant toute construction de filtre LDAP
• Restreindre les droits du compte de service LDAP au strict minimum nécessaire