c# - 验证您的网站

Question

除了下面的内容之外，还有什么需要验证的？这是我的问题。

对站点的任何输入都经过适当验证很重要:

• 文本框等 – 使用 .NET 验证器(如果验证器不合适，则使用自定义代码)

• 查询字符串或表单值 – 使用手动验证(转换为特定类型、边界检查等)

这与 XSS 可以揭示的问题有关。

基本上，您必须验证任何有人可能篡改的输入:

• 表单回传(主要是 .NET 控件 – 这些可以使用 .NET 验证控件进行验证。此外，如果您在所有页面上都启用了请求验证，这会降低风险)

• 查询字符串值

• Cookie 值

• HTTP header

• Viewstate(只要您启用了 ViewState MAC，就会自动为您完成)

• Javascript(所有 JS 都可以查看和更改，因此需要确保没有关键功能由 JavaScript 处理 - 即始终启用服务器端验证)

Answer 1

Web 应用程序可能会出现很多问题。您的列表非常全面，尽管它是重复的。 http 规范仅声明 GET、POST、Cookie 和 Header。有许多不同类型的 POST，但它们都在请求的同一部分。

对于您的列表，我还会添加与文件上传有关的所有内容，这是一种 POST。例如，文件名、MIME 类型和文件内容。我会启动一个像 Wireshark 这样的网络监控应用程序，请求中的所有内容都应该被认为是潜在有害的。

永远不会有一个通用的验证函数。如果您正在合并 sql 注入(inject)和 xss 卫生功能，那么您可能会遇到麻烦。我建议使用自动化测试您的网站。免费服务，如 Sitewatch或类似 skipfish 的开源工具将检测您错过的攻击方法。

此外，在旁注中。使用 MAC 和/或加密传递 View 状态是对密码学的严重滥用。密码学是在没有其他解决方案时使用的工具。通过使用 MAC 或加密，您为攻击者打开了大门，可以暴力破解此值或使用诸如 oracle 填充攻击之类的东西来利用您。服务器应该跟踪 View 状态，故事结束时。