在这篇文章中，我们解释了我们如何能够识别并利用OpenAM访问管理服务器平台中的LDAP注入漏洞。...关于OpenAM OpenAM是一个开源的访问管理、权限和联盟服务器平台。在2016年之前，它一直由ForgeRock赞助。现在它得到了开放身份平台社区的支持。...OpenAM起源于OpenSSO，一个由Sun Microsystems创建的访问管理系统，现在由Oracle公司拥有。...漏洞详情 该漏洞是在OpenAM提供的密码重置功能中发现的。
雷达路线及对比 翻阅雷达发现，SSO的应用很早便开始，OpenAM首次在2015年5月的雷达上出现在“评估”位置，对于OpanAM的态度，雷达是这样的： “由于OpenAM 历史悠久，因此它的代码库很庞大...与Keycloak同期存在的还有更稳当的Auth0，它是一款商业的SSO平台，处在“试验”的位置，也就是说，Keycloak真正接替了OpenAM，同时它也满足了雷达提出的愿景——轻量级，支持自动化部署
OpenID Connect漏洞:"动态客户端注册:SSRF设计"，"redirect_uri会话中毒"和"WebFinger用户枚举"，我们将介绍关键概念，并在两台开源OAuth服务器(ForgeRock OpenAM...Protocol 我们在ForgeRock的OpenAM服务器中发现了一个很好的易受攻击的webfinger端点示例，这个商业软件曾经有一个LDAP注入漏洞。...在源代码分析期间，我们发现当OpenAM服务器处理请求时，它将用户提供的资源参数嵌入到LDAP服务器的过滤器查询中，LDAP查询是在SmsLDAP对象.java文件： String[] objs = {...从攻击者的角度来看，可以使用LDAP过滤器访问LDAP中存储的用户对象的不同字段，攻击场景之一可能是枚举有效的用户名： /openam/.well-known/webfinger?...服务器的标准OpenID组件中，不需要任何身份验证，我们在OpenAM的最新开源版本中发现了此漏洞，位于https://github.com/OpenRock/OpenAM，当我们报告ForgerRock
现在它被命名为 OpenAM (forgerock.com/ products/open-identity-stack/openam) ，成为了一个支撑 OpenID 连接和 SAML 2.0的可扩展的开放源码平台...不过，由于 OpenAM 历史悠久，导致它的代码库很庞大，并且文档也很难理解。希望在不久后，一个更轻量级的，对自动化部署和配置提供更好支持的替代方案将会出现。
SAML方式的支持使Zabbix具备开箱即用的与各种本地和云身份提供商（如Microsoft ADFS、OpenAM、Secureath、Okta、Auth0等）集成的功能。
MySQL正在上升; OpenStack很有可能成为计算中心管理的首选软件，这只是时间问题;OpenAM是基于数字身份的访问权限的最佳产品之一。
例如，“OpenAM管理指南”使用密码作为客户端机密值的示例。下面是12.4.1的截图。将OpenAM配置为授权服务器和客户端。 似乎OpenAM允许用户使用短字符串作为客户端密钥。...Client Application Developer 一些开源授权服务器提供了一种机制，可以动态注册客户端应用程序，如HTML表单（ForgeRock的OpenAM）和Web API（MITRE的MITREid
SSO 介绍 SSO 的几种实现方式对比 基于 JWT 的 spring boot 单点登录实战 注意: SSO 这个概念已经出现很久很久了，目前各种平台都有非常成熟的实现，比如OpenSSO，OpenAM
实现认证中心 认证中心是负责处理身份认证和权限鉴定的服务器，它可以使用CAS、Shibboleth、OpenAM等开源组件，也可以自行实现。
此最佳实践建议适用于在 Java® 8上运行的AM / OpenAM、DS / OpenDJ、IDM / OpenIDM和IG /OpenIG。
此最佳实践建议适用于在 Java® 8 上运行的 AM / OpenAM、DS / OpenDJ、IDM / OpenIDM 和IG /OpenIG。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
