防禦網站攻擊 1

最近公司的網站需要提高安全性。防止使用者的惡意攻擊。

分為幾種攻擊

1.XSS跨站指令碼攻擊.

2.SQL注入攻擊.

以前沒覺得web可以這麼輕易的被攻擊。用Netsparker工具掃描了一下網站發現sql注入和跨網指令碼攻擊.(這個軟體可以通過http://www.mavitunasecurity.com/communityedition/這個網址下載).主要是由幾方面原因引起的:

1.前端和後端的輸入驗證不夠規範統一及完整.

2.對於使用者輸入的資料完全信任是危險的，沒有編碼和過濾一些惡意字元。

例如訪問這樣一個網址: /product/productSearch.aspx? ?coid=3&pmid=D710%20(Epic%204G%20Touch)&kw=%22%2Balert(9)%2B%22&IsPromotion=0

第三個參數kw因為在URL中顯示的是編碼後的，參數的實際值是”+alert(9)+”.

productSearch.aspx頁面，參數值傳過來沒有經過hmtl編碼。後端C#程式一個類變數searchkw被賦值”+alert(9)+”.

頁面前端執行了如下一段js代碼

<script  type="text/javascript">

getNews("searchDisplay.aspx?pcid=<%=currentPcid %>&pmid=<%=pmid %>&coid=<%=coid %>&psid=&counter=<%=currentCount %>&kw=searchkw%>&isPromotion=<%=isPromotion %>", "searchDiv1");

</script>

這樣的話”+alert(9)+”的第一個雙引號把前面的代碼都截斷了，第二個雙引號把後面的都截斷了。中間就只剩下alert(9),  便會執行alert(9)這句代碼。這句代碼可以替換成任意有攻擊性的javascript程式碼片段，比如擷取cookie的值x=document.cookie;然後提交給攻擊者.

我的解決辦法是通過使用微軟的一個工具AntiXssLibrary.dll來編碼該參數的值.這個工具可以去這個網站下載http://wpl.codeplex.com/，這是個開源項目.

這裡有一個msdn參考的文檔：http://msdn.microsoft.com/en-us/library/aa973813.aspx

3.資料庫查詢沒有使用asp.net中安全的參數化操作.

 

現在為瞭解決這幾個問題,有以下三步需要做.

1.對於數字類型的參數值、使用者輸入的部分前端和後端都需要驗證資料類型的正確性.

2.對於字串類型的參值或者使用者輸入的部分後端通過使用AntiXssLibrary.dll來編碼字串.

3.所有SQL語句中拼接字串的全部使用SqlParameter類封裝傳入SQL的參數.