CVE-2021-29156 概念验证工具

(c) 2021 GuidePoint Security Charlton Trezevant [email protected]

背景

今天，GuidePoint 很高兴发布一个针对 CVE-2021-29156 的功能性概念验证工具，该漏洞是 ForgeRock OpenAM v13.0.0 中的一个 LDAP 注入漏洞。此漏洞允许攻击者通过逐字符暴力破解攻击，从易受攻击的 OpenAM 服务器中提取多种信息（例如用户的密码哈希）。

使用方法

要使用此工具，只需调整 baseURL、proxy 和 user 变量，然后运行脚本。

默认情况下，此工具配置为提取 amAdmin 用户的密码哈希。当发现有效字符时，密码哈希字符串将显示在控制台中。如果需要从 OpenAM 实例中窃取其他数据，可以进一步调整 LDAP 注入载荷。

其他资源

如需深入了解此漏洞，PortSwigger 提供了一篇关于该漏洞利用及其运作原理的优秀文章。