Cómo escapar de una cadena en C#, para usar en una consulta LDAP

Question

Tengo una consulta LDAP, que estoy usando para realizar una búsqueda en C#. Utiliza dos variables de cadena (nombre de usuario y dominio) que deben ser escapadas por razones de seguridad.

¿Cómo debo escapar de las cadenas? ¿Hay una función disponible en C# .NET para hacer esto?

---

Ejemplo LDAP condiciones de búsqueda:

(objectCategory=person) 
(userprincipalname=username@domain*) 
(samaccountname=username) 

Ejemplo de cadena de consulta LDAP en C#:

string search = "(&(&(objectCategory=person)(userprincipalname=" 
     + username 
     + "@" 
     + domain 
     + "*)(samaccountname=" 
     + username 
     + ")))"; 

Edit: ya tienen el trabajo de consulta LDAP, y los resultados que regresan. Todo lo que quiero es escapar de los parámetros.

Answer 1

La siguientes es mi traducción del código Java mencionado por Sophia en C#.

/// <summary> 
/// Escapes the LDAP search filter to prevent LDAP injection attacks. 
/// </summary> 
/// <param name="searchFilter">The search filter.</param> 
/// <see cref="https://blogs.oracle.com/shankar/entry/what_is_ldap_injection" /> 
/// <see cref="http://msdn.microsoft.com/en-us/library/aa746475.aspx" /> 
/// <returns>The escaped search filter.</returns> 
private static string EscapeLdapSearchFilter(string searchFilter) 
{ 
    StringBuilder escape = new StringBuilder(); // If using JDK >= 1.5 consider using StringBuilder 
    for (int i = 0; i < searchFilter.Length; ++i) 
    { 
     char current = searchFilter[i]; 
     switch (current) 
     { 
      case '\\': 
       escape.Append(@"\5c"); 
       break; 
      case '*': 
       escape.Append(@"\2a"); 
       break; 
      case '(': 
       escape.Append(@"\28"); 
       break; 
      case ')': 
       escape.Append(@"\29"); 
       break; 
      case '\u0000': 
       escape.Append(@"\00"); 
       break; 
      case '/': 
       escape.Append(@"\2f"); 
       break; 
      default: 
       escape.Append(current); 
       break; 
     } 
    } 

    return escape.ToString(); 
} 

Answer 2

¿Quizás dejes que alguien más se preocupe por ello? Ver LINQtoAD.

Answer 3

¿Está tratando de evitar algún tipo de ataque de inyección contra su servidor de directorio a través de la entrada del usuario? Si ese es el caso, solo validaría la entrada con Regex antes de pasarla a LDAP.

Answer 4

he encontrado una solución aquí, en a blog post about LDAP Injection

Esta solución consiste en añadir su propia función para escapar el nombre de usuario y dominio, su solución está en Java, pero la idea está ahí.

También MSDN enumera los caracteres especiales que deben reemplazarse por secuencias de escape.

Por lo que yo puedo decir que no parece haber ningún método para escapar de las cadenas LDAP en System.DirectoryServices (como existe en HttpServerUtility para las direcciones URL, etc.)

Answer 5

Utilice PInvoke con DsQuoteRdnValueW. Para el código, véase mi respuesta a otra pregunta: ¿https://stackoverflow.com/a/11091804/628981

Answer 6

biblioteca Uso AntiXSS de dirección: https://www.nuget.org/packages/AntiXss

string encoded = Microsoft.Security.Application.Encoder.LdapFilterEncode(input);