asp.net安全偵查工具 –Padding Oracle 檢測

最近的一個asp.net安全缺陷，引起了社區很大的反響，部落格園也有一個ASP.NET的Padding Oracle安全性漏洞的話題，昨天在部落格上貼了一個文章ASP.NET安全隱患的臨時解決方案。本文主要介紹一個檢測Padding Oracle的一個工具： Ethical Hacking ASP.NET。

這是一個在codeplex上開源的asp.net安全偵查工具，最新的1.3版本一個很重要的功能就是Padding Oracle的檢測，昨天我隨意的檢測了一下部落格園的設定，今天部落格園團隊進行了改進，用這個工具檢測了一下，發現還是可以檢測出來。

那麼我們來檢測一下http://www.asp.net,工具已經檢測不出來了

 

使用方法非常簡單

1. 目標URL文字框輸入一個有效URL。您也可以選擇點擊開啟來使用您的預設瀏覽器的檢查URL。
2. 您可以選擇指定一個逾時值，以控制響應逾時時間。
3. 點擊Send test requests 按鈕，將產生的測試請求發送到伺服器。:(請耐心等待，目前沒有進度條顯示完成情況。
4. 當測試完成後，請求的細節，和響應將顯示在輸出視窗 。當所有收到的回覆，Lens比較的HTTP錯誤碼和響應請求的內容產生（即通常是一個錯誤頁）。 如果它們不同，它很可能比該網站很容易受到Padding Oracle Attack。如果它們匹配，這個網站可能 經受得住Padding Oracle Attack。

這是一個開源的工具包，代碼可以在這裡下載 http://ethicalhackingaspnet.codeplex.com/releases/view/52623