A company uses the Microsoft Active Directory service to manage the authentication and authorization of employee workstations. The company hires a cybersecurity professional to perform compliance penetration testing. Which type of penetration testing can be used to verify the proper configuration of the Active Directory service?

Đáp án đúng: "LDAP injection". Active Directory được truy vấn qua LDAP (Lightweight Directory Access Protocol, giao thức truy cập thư mục); nếu ứng dụng ghép trực tiếp dữ liệu người dùng nhập vào bộ lọc tìm kiếm LDAP, kẻ tấn công có thể chèn ký tự đặc biệt để đổi logic truy vấn, ví dụ vượt qua kiểm tra đăng nhập hoặc liệt kê đối tượng trong thư mục. Kiểm thử chèn LDAP vì thế trực tiếp đánh giá cách dịch vụ thư mục và các ứng dụng xác thực dựa trên nó được cấu hình và lọc đầu vào; phòng thủ bằng cách thoát ký tự đặc biệt và giới hạn quyền tài khoản truy vấn. "SQL Union injection" dùng mệnh đề UNION để nối kết quả truy vấn vào cơ sở dữ liệu quan hệ, không nhắm vào thư mục. "HTTP command injection" chèn lệnh hệ điều hành qua tham số của yêu cầu HTTP tới ứng dụng web. "Stacked query SQL injection" nối thêm câu lệnh SQL thứ hai sau câu lệnh gốc, cũng chỉ áp dụng cho cơ sở dữ liệu SQL.