Привязка LDAP, допускающая неправильный (непустой) пароль - PullRequest
Новая
       12

Привязка LDAP, допускающая неправильный (непустой) пароль

0 голосов
/ 26 мая 2020

У нас есть клиентская система AD, в которой мы аутентифицируем пользователей, не используя LDAP, в частности, выполняя привязку с использованием их имени пользователя и пароля. В зависимости от того, как структурировано имя пользователя, результаты неверного пароля могут быть разными. Если мы включим доменное имя в имя пользователя, то ЛЮБОЙ пароль вернет аутентифицированный результат. Я вставил некоторые результаты, используя LDP.exe для каждого из сценариев ios:

Привязка с моим именем пользователя и недопустимым (непустым) паролем: 

res = ldap_bind_s(ld, NULL, &NtAuthIdentity, 1158); // v.3
    {NtAuthIdentity: User='[username]'; Pwd= <unavailable>; domain = 'DC=[domain],DC=co,DC=uk'.}
Error <49>: ldap_bind_s() failed: Invalid Credentials.
Server error: 8009030C: LdapErr: DSID-0C090585, comment: AcceptSecurityContext error, data 52e, v4563

Привязка с myusername@domain.org и недопустимым (непустым) паролем: 

res = ldap_bind_s(ld, NULL, &NtAuthIdentity, 1158); // v.3
    {NtAuthIdentity: User='[myusername@domain.org]'; Pwd= <unavailable>; domain = 'DC=[domain],DC=co,DC=uk'.}
Authenticated as dn:'[username@domain.org]'.

Я заметил, что полное имя пользователя - username@domain. org , а домен, предоставленный LDAP, - DC = domain, DC = co, DC = uk , не уверены, будет ли это иметь значение?

Есть ли у кого-нибудь идеи о том, что может быть причиной этого и есть ли какие-то настроить что-нибудь, что требует адресации?

Ура.

1 Ответ

1 голос
/ 26 мая 2020

Включена ли гостевая учетная запись в домене? В этом случае подойдут любые случайные учетные данные. Он сообщит вам, что пароль неверен, только если вы используете действительное имя пользователя.

Когда вы используете формат myusername, он должен соответствовать атрибуту sAMAccountName в учетной записи. Если вы используете формат myusername@domain.org, он должен соответствовать userPrincipalName в учетной записи, поэтому вполне возможно, что myusername@domain.org на самом деле не userPrincipalName вашей учетной записи.

...