[发明专利]一种自动化检测LDAP认证注入漏洞的方法及装置

权利要求书

1.一种自动化检测LDAP认证注入漏洞的方法，其特征是，包括：

将LDAPInjectionTest程序封装为脚本；

将脚本、LDAP服务器、Web应用进行通信连接，构成三者互联的连接关系；

通过脚本获取LDAP服务器配置信息、第一登录账号、第二登录账号，使用第一登录账号登录Web应用，根据LDAP服务器配置信息配置Web应用中LDAP设置；其中，第一登录账号为Web应用登录账号，第二登录账号为LDAP服务器中登录账号；

退出Web应用，使用第二登录账号登录Web应用，判断登录是否成功；

如果成功，使用第一注入登录测试用例以及第二注入登录测试用例进行注入登录测试，如果第一注入登录测试用例以及第二注入登录测试用例注入登录测试全部通过，则测试通过，不存在注入漏洞；如果存在第一注入登录测试用例或第二注入登录测试用例注入登录测试失败，则测试失败，存在注入漏洞；其中，所述第一注入登录测试用例为需要转义的字符，所述第二注入登录测试用例为需要转义并转码的字符；

如果不成功，则重新进行配置。

2.根据权利要求1所述的自动化检测LDAP认证注入漏洞的方法，其特征是，所述LDAP服务器配置信息包括LDAP服务器地址、端口号、绑定DN、域密码、搜索库、用户登录属性。

3.根据权利要求1所述的自动化检测LDAP认证注入漏洞的方法，其特征是，所述第一注入登录测试用例包括字符、字符！、字符|、字符＝、字符、字符、字符，、字符+、字符-、字符”、字符’、字符；。

4.根据权利要求1所述的自动化检测LDAP认证注入漏洞的方法，其特征是，所述第二注入登录测试用例包括字符(、字符)、字符\、字符*、字符/、字符NULL。

5.根据权利要求3或4所述的自动化检测LDAP认证注入漏洞的方法，其特征是，注入登录测试全部通过具体是：第一注入登录测试用例中的字符以及第二注入登录测试用例中的字符全部不能成功登录Web应用；注入登录测试失败具体是：任一第一注入登录测试用例中的字符或任一第二注入登录测试用例中的字符成功登录Web应用。

6.一种自动化检测LDAP认证注入漏洞的装置，其特征是，包括：

封装模块，将LDAPInjectionTest程序封装为脚本；

连接模块，将脚本、LDAP服务器、Web应用进行通信连接，构成三者互联的连接关系；

配置模块，通过脚本获取LDAP服务器配置信息、第一登录账号、第二登录账号，使用第一登录账号登录Web应用，根据LDAP服务器配置信息配置Web应用中LDAP设置；其中，第一登录账号为Web应用登录账号，第二登录账号为LDAP服务器中登录账号；

退出登录模块，退出Web应用，使用第二登录账号登录Web应用，判断登录是否成功；

测试模块，如果成功，使用第一注入登录测试用例以及第二注入登录测试用例进行注入登录测试，如果第一注入登录测试用例以及第二注入登录测试用例注入登录测试全部通过，则测试通过，不存在注入漏洞；如果存在第一注入登录测试用例或第二注入登录测试用例注入登录测试失败，则测试失败，存在注入漏洞；其中，所述第一注入登录测试用例为需要转义的字符，所述第二注入登录测试用例为需要转义并转码的字符；

重配置模块，如果不成功，则重新进行配置。