사용자 입력을 LDAP 필터 `(&(uid= )(active=true))`에 직접 연결한다. 안전한 구현은?

LDAP 필터 문맥의 특수문자를 안전하게 이스케이프하고 검증된 필터 생성 API를 사용한다.

SQL 작은따옴표만 이스케이프하고 LDAP의 괄호·별표·역슬래시는 그대로 둔다.

HTML 엔터티 인코딩을 적용하면 LDAP 필터 문맥도 같은 방식으로 안전해진다고 본다.

입력 길이만 제한하고 문자열을 기존 필터 문법에 그대로 이어 붙인다.

정처LAB 자체 제작내용 검수 완료2023년 출제범위 기반 정보보안기사 실전 연습 세트 2 · 애플리케이션 보안 · LDAP 삽입 · 41번

사용자 입력을 LDAP 필터 `(&(uid=<입력>)(active=true))`에 직접 연결한다. 안전한 구현은?

정답·상세해설

LDAP 필터는 `*`, 괄호, 역슬래시 등 자체 문법을 갖는다. 입력을 해당 문맥의 데이터로 취급하는 필터 생성 API와 허용 형식 검증을 사용해야 공격자가 조건을 추가하거나 범위를 넓히지 못한다.

콘텐츠 기록

출제범위 기반 실전 연습을 위해 정처LAB이 독립 제작했습니다. 표시 연도는 학습 범위의 맥락이며 특정 시행 회차의 출제문항이나 복원 원문을 뜻하지 않습니다.