如何保護ASP.NET程式

來源:互聯網
上載者:User
asp.net|程式

從安全的角度上講,相對於自身的前一版本,ASP.NET已經表現出很大的改進。使用這一新的開發平台,程式員可以很容易地設計使用者輸入驗證,同時,這一平台增加了很多特性,比如鎖住程式功能等。除此之外,.NET已耗用時間能夠支援垃圾收集和安全字串的功能,這些都能預防外部的各種攻擊。一個合適安全的.NET程式不僅能夠阻止外部攻擊,並且能夠最大程度地減少各種形式的垃圾。

但是,不管ASP.NET具有多麼完善的功能,在安全問題上它也不是完美無缺。安全分析專家H.D. Moore,也就是四月份的CanSecWest研討會上的ASP.NET部分的three fairly major security holes(三個主要安全突破口)的作者,他說,這些強大的功能特性將會毫無價值,除非開發人員經常使用它們。Moore建議使用以下簡單的安全技巧,以保護你的ASP.NET程式。

使用一些簡單的設定控制

作為一種通用規則,請不要隨便將任何資訊放置在網路,因為這些資訊將成為駭客攻擊的線索。除非是一些與ISAPI處理常式相映射的副檔名,比如副檔名為:.aspx, .cs,及.vb。相反,以.txt, .csv, 及.xml的檔案將不會自我保護,任何訪問網站的人都可以訪問這些檔案。

在發布任何一個新的程式之前,一定要確認將支援跟蹤和調試的功能去掉,並注意將web.config檔案中的customErrors標籤不要設定為“off”。這些安全措施有助於防止資訊暴露到程式外面,特別是當程式發生錯誤的時候,這些資訊包括:檔案名稱,路徑,以及可能的原始碼等。

同時,在發布新程式之前,一定要清除程式的相關路徑。請確認去掉Visual Studio項目和程式路徑中的臨時檔案。與ISAPI訪問過濾器不相映射的.sln和.slo檔案將有可能從網際網路上被看到,因為有些人可以猜想到程式的名稱,這樣就有可能導致巨大的攻擊。

避免使用cookieless會議管理

Moore在評論中指出,ASP.NET的其中一個顯著缺點是在程式中使用了"cookie-less session management"(cookie-less會議管理)方案而出現的"hijack"(搶劫)攻擊。這一方案將會議標識符嵌入到每一個URL,讓伺服器能夠識別每一個客戶。這樣就有可能出現問題:當使用這一功能的伺服器收到一個不認識但合法的會議標識符,它就會產生一個可以參加的會議,這樣一個“聰明的”駭客就會充分利用這一破綻,冒充合法使用者,合法會議標識符,就可以訪問系統內容。

這是一個陰險的攻擊,Moore說到,因為URL不會覺得使用者可疑,只有會議ID是可以偽造的。他建議開發人員儘可能地避免使用cookieless會議管理,直到微軟把這一缺陷去掉。

“躲在砂盒(sandbox)裡”

有時候.NET已耗用時間管理環境也會遭到如緩衝溢出的攻擊,Moore指出,這是由於諸如使用StateServer類而導致的問題,隨意調用這些管理不良的類有時候會為駭客提供攻擊的線索。

Moore說道,開發人員應該儘可能地只限於使用.NET管理"sandbox" API函數,因為調用任何管理不良的類都有存在很大風險。然而,有時候你也可以使用一些特別的功能,如下面所示的技巧。

驗證,驗證,驗證

儘管推出很多優異的功能,一些傳統的特性還是深受應用,比如使用者輸入的驗證。開發人員應該充分的利用強大的Validator(驗證器)功能。這一功能可以從System.Web.UI.Validator擴充而來。如果你從未聽說過.NET's validators,你自己可以閱讀這方面的內容。

使用資料匹配功能

當在一個資料庫程式中使用數字域時,在使用變數之前一定要確定將變數與合適的資料類型匹配起來。這樣做可以預防產生SQL內部攻擊,特別是當使用者將一些非數字變數輸入資料庫時產生的異常。更重要的是,這樣做可以產生警報,或寫入日誌,這很象是一個小型的非法闖入偵查系統。

更進一步的措施

如果你要在作業系統中安裝一個網路程式,你最好充分利用web.config檔案中的設定來運行程式,這樣才能確保不同的使用者驗證。除此之外,你可以利用網路服務管理器來設定程式的信任層級,這樣可以提高程式的安全性。




相關文章

E-Commerce Solutions

Leverage the same tools powering the Alibaba Ecosystem

Learn more >

Apsara Conference 2019

The Rise of Data Intelligence, September 25th - 27th, Hangzhou, China

Learn more >

Alibaba Cloud Free Trial

Learn and experience the power of Alibaba Cloud with a free trial worth $300-1200 USD

Learn more >

聯繫我們

該頁面正文內容均來源於網絡整理,並不代表阿里雲官方的觀點,該頁面所提到的產品和服務也與阿里云無關,如果該頁面內容對您造成了困擾,歡迎寫郵件給我們,收到郵件我們將在5個工作日內處理。

如果您發現本社區中有涉嫌抄襲的內容,歡迎發送郵件至: info-contact@alibabacloud.com 進行舉報並提供相關證據,工作人員會在 5 個工作天內聯絡您,一經查實,本站將立刻刪除涉嫌侵權內容。