Python-LDAP输出编码与空字符处理漏洞分析

1

s = s.replace('\000', '\\\000')  # 反斜杠 + 字面NUL字节

1

s = s.replace('\x00', r'\00')

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37

from ldap.dn import escape_dn_chars, str2dn

l = ldap.initialize("ldap://10.0.1.11")
l.protocol_version = 3
l.set_option(ldap.OPT_REFERRALS, 0)
l.simple_bind_s(r"DSEC\dani.aga", "PassAa1")

# 攻击者控制的值包含NUL
cn = "bad\0name"
escaped_cn = escape_dn_chars(cn)
dn = f"CN={escaped_cn},OU=Users,DC=dsec,DC=local"
attrs = [('objectClass', [b'user']), ('sAMAccountName', [b'badsam'])]

print("=== 有漏洞的DN（包含字面NUL）===")
print("escaped_cn repr:", repr(escaped_cn))
print("dn repr:", repr(dn))
print("包含NUL?:", "\x00" in dn, "位置:", dn.find("\x00"))

print("=> add_s(有漏洞的DN): 预期客户端失败（无服务器连接）")
try:
    l.add_s(dn, attrs)
    print("add_s(有漏洞的): 成功（意外）")
except Exception as e:
    print("add_s(有漏洞的):", type(e).__name__, e)  # ValueError: embedded null character

# 正确的十六进制转义演示客户端可继续到服务器
safe_dn = dn.replace("\x00", r"\00")  # RFC 4514兼容
print("\n=== 十六进制转义的DN（\\00）===")
print("safe_dn repr:", repr(safe_dn))
print("=> 完整性解析:", str2dn(safe_dn))  # 本地解析

print("=> add_s(安全的DN): 到达服务器（AD可能以34拒绝）")
try:
    l.add_s(safe_dn, attrs)
    print("add_s(安全的): 成功（无必需属性/权限时不太可能）")
except ldap.LDAPError as e:
    print("add_s(安全的):", e.__class__.__name__, e)  # 例如，结果34无效DN语法（AD禁止在CN中使用NUL）