LDAP注入攻击类型有哪些

LDAP注入攻击类型有以下这些：

• AND注入：这种注入就是攻击者会会构造由”&”操作符和用户引入的的参数组成的正常查询在LDAP目录中搜索，如果攻击者输入一个有效地用户名，然后再这个名字后面注入恰当的语句，密码检查机制就会被绕过。

• OR注入：攻击者会构造由”|”操作符和用户引入的的参数组成的正常查询在LDAP目录中搜索，攻击者可以注入代码，维持正确的过滤器结构但能使用查询实现他自己的目标。

• 布尔盲注：布尔盲注一般适用于页面没有回显字段，且web页面返回True或者false，构造SQL语句，利用and，or等关键字来其后的语句true、false使web页面返回true或者false，从而达到注入的目的来获取信息。

• 延时注入：通过构造延时注入语句，使浏览器页面的响应时间出现延迟，通过判断浏览器页面的响应时间来判断数据的正确性来达到攻击的目的。主要应用场景就是判断是否可以实施注入，如果浏览器产生延迟则说明存在注入点。

• 联合查询注入：联合查询是一种众所周知的SQL注入技术，攻击者利用一个脆弱的参数去改变给定查询返回的数据集。联合查询最常用的用法是绕过认证页面获取数据。

防御注入攻击的方法有以下这些：

• 使用参数化筛选语句，两种方法可以确保应用程序不易受到SQL注入攻击。一种是使用代码审查，另一种是强制使用参数化语句。强制使用参数化语句意味着在运行时将拒绝嵌入用户输入中的SQL语句。但是，目前对此功能的支持不多。

• 避免使用解释程序，这是黑客用来执行非法命令的手段。

• 防止SQL注入，但也避免一些详细的错误消息，因为黑客可以使用这些消息。标准的输入验证机制用于验证所有输入数据的长度、类型、语句和企业规则。

• 使用专业的漏洞扫描工具。企业应该投资于专业的漏洞扫描工具，如著名的Accunetix网络漏洞扫描程序。完美的漏洞扫描器不同于网络扫描器，它专门在网站上查找SQL注入漏洞。最新的漏洞扫描程序可以找到最新发现的漏洞。

• 企业在Web应用程序开发过程的所有阶段执行代码安全检查。首先，安全测试应该在部署Web应用程序之前实现，这比以前更重要、更深远。企业还应在部署后使用漏洞扫描工具和站点监控工具测试网站。