Web開發中常見的安全缺陷及解決辦法

來源:互聯網
上載者:User
web|安全|解決

一、不能盲目相信使用者輸入
二、五種常見的ASP.NET安全缺陷
2.1 篡改參數
2.2 篡改參數之二
2.3 資訊洩漏
2.4 SQL注入式攻擊
2.5 跨站指令碼執行
三、使用自動安全性測試工具

本文:

保證應用程式的安全應當從編寫第一行代碼的時候開始做起,原因很簡單,隨著應用規模的發展,修補安全性漏洞所需的代價也隨之快速增長。根據IBM的系統科學協會(Systems Sciences Institute)的研究,如果等到軟體部署之後再來修補缺陷,其代價相當於開發期間檢測和消除缺陷的15倍。

為了用最小的代價保障應用程式的安全,在代碼本身的安全性、抗禦攻擊的能力等方面,開發人員應當擔負更多的責任。然而,要從開發的最初階段保障程式的安全性,必須具有相應的技能和工具,而真正掌握這些技能和工具的開發人員並不是很多。雖然學寫安全的代碼是一個複雜的過程,最好在大學、內部培訓會、行業會議上完成,但只要掌握了下面五種常見的ASP.NET應用安全缺陷以及推薦的修正方案,就能夠領先一步,將不可或缺的安全因素融入到應用的出生之時。

一、不能盲目相信使用者輸入

在Web應用開發中,開發人員最大的失誤往往是無條件地信任使用者輸入,假定使用者(即使是惡意使用者)總是受到瀏覽器的限制,總是通過瀏覽器和伺服器互動,從而開啟了攻擊Web應用的大門。實際上,駭客們攻擊和操作Web網站的工具很多,根本不必局限於瀏覽器,從最低級的字元模式的原始介面(例如telnet),到CGI指令碼掃描器、Web代理、Web應用掃描器,惡意使用者可能採用的攻擊模式和手段很多。

因此,只有嚴密地驗證使用者輸入的合法性,才能有效地抵抗駭客的攻擊。應用程式可以用多種方法(甚至是驗證範圍重疊的方法)執行驗證,例如,在認可使用者輸入之前執行驗證,確保使用者輸入只包含合法的字元,而且所有輸入欄位的內容長度都沒有超過範圍(以防範可能出現的緩衝區溢位攻擊),在此基礎上再執行其他驗證,確保使用者輸入的資料不僅合法,而且合理。必要時不僅可以採取強制性的長度限制策略,而且還可以對輸入內容按照明確定義的特徵集執行驗證。下面幾點建議將協助你正確驗證使用者輸入資料:

⑴ 始終對所有的使用者輸入執行驗證,且驗證必須在一個可靠的平台上進行,應當在應用的多個層上進行。

⑵ 除了輸入、輸出功能必需的資料之外,不要允許其他任何內容。

⑶ 設立“信任代碼基地”,允許資料進入信任環境之前執行徹底的驗證。

⑷ 登入資料之前先檢查資料類型。

⑸ 詳盡地定義每一種資料格式,例如緩衝區長度、整數類型等。

⑹ 嚴格定義合法的使用者請求,拒絕所有其他請求。

⑺ 測試資料是否滿足合法的條件,而不是測試不合法的條件。這是因為資料不合法的情況很多,難以詳盡列舉。

二、五種常見的ASP.NET安全缺陷

下面給出了五個例子,闡述如何按照上述建議增強應用程式的安全性。這些例子示範了代碼中可能出現的缺陷,以及它們帶來的安全風險、如何改寫最少的代碼來有效地降低攻擊風險。

2.1 篡改參數

◎ 使用ASP.NET域驗證器

盲目信任使用者輸入是保障Web應用安全的第一敵人。使用者輸入的主要來源是HTML表單中提交的參數,如果不能嚴格地驗證這些參數的合法性,就有可能危及伺服器的安全。

下面的C#代碼查詢後端SQL Server資料庫,假設user和password變數的值直接取自使用者輸入:

SqlDataAdapter my_query = new SqlDataAdapter(

    "SELECT * FROM accounts WHERE acc_user='" + user +

    "' AND acc_password='" + password, the_connection);

從表面上看,這幾行代碼毫無問題,實際上卻可能引來SQL注入式攻擊。攻擊者只要在user輸入欄位中輸入“OR 1=1”,就可以順利登入系統,或者只要在查詢之後加上適當的調用,就可以執行任意Shell命令:

'; EXEC master..xp_cmdshell(Oshell command here')--

■ 風險分析

在編寫這幾行代碼時,開發人員無意之中作出了這樣的假定:使用者的輸入內容只包含“正常的”資料——合乎人們通常習慣的使用者名稱字、密碼,但不會包含引號之類的特殊字元,這正是SQL注入式攻擊能夠得逞的根本原因。駭客們可以藉助一些具有特殊含義的字元改變查詢的本意,進而調用任意函數或過程。

■ 解決方案

域驗證器是一種讓ASP.NET開發人員對域的值實施限制的機制,例如,限制使用者輸入的域值必須匹配特定的運算式。

要防止上述攻擊行為得逞,第一種辦法是禁止引號之類的特殊字元輸入,第二種辦法更嚴格,即限定輸入欄位的內容必須屬於某個合法字元的集合,例如“[a-zA-Z0-9]*”。

2.2 篡改參數之二

◎ 避免驗證操作的漏洞

然而,僅僅為每個輸入欄位引入驗證器還不能防範所有通過修改參數實施的攻擊。在執行數值範圍檢查之時,還要指定正確的資料類型。

也就是說,在使用ASP.NET的範圍檢查控制項時,應當根據輸入欄位要求的資料類型指定適當的Type屬性,因為Type的預設值是String。


<!-- 要求輸入值必須是1-9之間的數字 -->

<asp:RangeValidator ... MinimumValue="1" MaximumValue="9" .../>

■ 風險分析

由於沒有指定Type屬性值,上面的代碼將假定輸入值的類型是String,因此RangeValidator驗證器只能確保字串由0-9之間的字元開始,“0abcd”也會被認可。

■ 解決方案

要確保輸入值確實是整數,正確的辦法是將Type屬性指定為Integer:


<!-- 要求輸入值必須是1-9之間的數字 -->

<asp:RangeValidator ... MinimumValue="1"

    MaximumValue="9" Type="Integer"

2.3 資訊洩漏

◎ 讓隱藏欄位更加安全

在ASP.NET應用中,幾乎所有HTML頁面的__VIEWSTATE隱藏欄位中都可以找到有關應用的資訊。由於_VIEWSTATE是BASE 64編碼的,所以常常被忽略,但駭客可以方便地解碼BASE 64資料,用不著花什麼力氣就可以得到__VIEWSTATE提供的詳細資料。

■ 風險分析

預設情況下,__VIEWSTATE資料將包含:

⑴ 來自頁面控制項的動態資料。

⑵ 開發人員在ViewState中顯式儲存的資料。

⑶ 上述資料的密碼簽字。

■ 解決方案

設定EnableViewStatMAC="true",啟用__VIEWSTATE資料加密功能。然後,將machineKey驗證類型設定成3DES,要求ASP.NET用Triple DES對稱式加密演算法加密ViewState資料。

[1] [2] 下一頁  



相關文章

E-Commerce Solutions

Leverage the same tools powering the Alibaba Ecosystem

Learn more >

Apsara Conference 2019

The Rise of Data Intelligence, September 25th - 27th, Hangzhou, China

Learn more >

Alibaba Cloud Free Trial

Learn and experience the power of Alibaba Cloud with a free trial worth $300-1200 USD

Learn more >

聯繫我們

該頁面正文內容均來源於網絡整理,並不代表阿里雲官方的觀點,該頁面所提到的產品和服務也與阿里云無關,如果該頁面內容對您造成了困擾,歡迎寫郵件給我們,收到郵件我們將在5個工作日內處理。

如果您發現本社區中有涉嫌抄襲的內容,歡迎發送郵件至: info-contact@alibabacloud.com 進行舉報並提供相關證據,工作人員會在 5 個工作天內聯絡您,一經查實,本站將立刻刪除涉嫌侵權內容。