Cách thoát chuỗi trong C#, để sử dụng trong truy vấn LDAP

Question

Tôi có truy vấn LDAP mà tôi đang sử dụng để thực hiện tìm kiếm trong C#. Nó sử dụng hai biến chuỗi (tên người dùng và tên miền) cần phải được thoát vì lý do bảo mật.

Tôi nên thoát khỏi các chuỗi bằng cách nào? Có một chức năng có sẵn trong C# .NET để làm điều này?

---

Ví dụ LDAP điều kiện tìm kiếm:

(objectCategory=person) 
(userprincipalname=username@domain*) 
(samaccountname=username) 

Ví dụ LDAP chuỗi truy vấn trong C#:

string search = "(&(&(objectCategory=person)(userprincipalname=" 
     + username 
     + "@" 
     + domain 
     + "*)(samaccountname=" 
     + username 
     + ")))"; 

Edit: Tôi đã có những hoạt động truy vấn LDAP, và trả kết quả. Tất cả những gì tôi muốn là thoát khỏi các thông số.

Answer 1

Sau đây là bản dịch của tôi từ mã Java được Sophia nhắc đến trong C#.

/// <summary> 
/// Escapes the LDAP search filter to prevent LDAP injection attacks. 
/// </summary> 
/// <param name="searchFilter">The search filter.</param> 
/// <see cref="https://blogs.oracle.com/shankar/entry/what_is_ldap_injection" /> 
/// <see cref="http://msdn.microsoft.com/en-us/library/aa746475.aspx" /> 
/// <returns>The escaped search filter.</returns> 
private static string EscapeLdapSearchFilter(string searchFilter) 
{ 
    StringBuilder escape = new StringBuilder(); // If using JDK >= 1.5 consider using StringBuilder 
    for (int i = 0; i < searchFilter.Length; ++i) 
    { 
     char current = searchFilter[i]; 
     switch (current) 
     { 
      case '\\': 
       escape.Append(@"\5c"); 
       break; 
      case '*': 
       escape.Append(@"\2a"); 
       break; 
      case '(': 
       escape.Append(@"\28"); 
       break; 
      case ')': 
       escape.Append(@"\29"); 
       break; 
      case '\u0000': 
       escape.Append(@"\00"); 
       break; 
      case '/': 
       escape.Append(@"\2f"); 
       break; 
      default: 
       escape.Append(current); 
       break; 
     } 
    } 

    return escape.ToString(); 
} 

Answer 2

Có thể để người khác lo lắng về điều đó? Xem LINQtoAD.

Answer 3

Bạn đang cố gắng ngăn chặn một số loại tấn công tiêm vào máy chủ thư mục của mình thông qua đầu vào của người dùng? Nếu đó là trường hợp tôi sẽ chỉ xác nhận đầu vào với Regex trước khi chuyển nó vào LDAP.

Answer 4

Tôi tìm thấy một giải pháp ở đây, trong a blog post about LDAP Injection

Giải pháp này bao gồm việc thêm chức năng của riêng bạn để thoát khỏi tên người dùng và tên miền, giải pháp của ông là ở Java, nhưng ý tưởng là có.

Ngoài ra MSDN liệt kê các ký tự đặc biệt cần phải được thay thế bằng chuỗi thoát.

Theo như tôi có thể nói đó dường như không có bất kỳ phương pháp để thoát chuỗi LDAP trong System.DirectoryServices (như có trong HttpServerUtility cho URL vv)

Answer 5

Sử dụng PInvoke với DsQuoteRdnValueW. Đối với mã, xem câu trả lời của tôi cho câu hỏi khác: https://stackoverflow.com/a/11091804/628981

Answer 6

thư viện Sử dụng AntiXss từ địa chỉ: https://www.nuget.org/packages/AntiXss

string encoded = Microsoft.Security.Application.Encoder.LdapFilterEncode(input);