asp.net - 防止 OWASP 十大漏洞的最佳库/实践

Question

我正在寻找 ASP.Net 中最好的可重用库和内置功能，以防止 OWASP 十大安全漏洞，如注入(inject)、XSS、CSRF 等，以及用于检测这些漏洞的易于使用的工具，供测试团队。

您认为在开发生命周期中什么时候开始将安全编码纳入应用程序是最佳时机？

Answer 1

我的两分钱:

• 永远不要相信用户输入。这包括表单、cookie、参数、请求...
• 保持您的图书馆更新。我们之间每天都会出现安全漏洞。补丁已发布，但如果您不应用它们/升级您的库，它们就毫无值(value)。
• 限制和偏执。如果您需要用户写他的名字，请加以限制，让他只使用 [A-z] 字符等。严格的约束会惹恼普通用户，但它会使您的系统更加安全。
• 从不记录关键数据。这意味着您不应该记录诸如用户使用的密码(显而易见)之类的事情，而且您也不应该试图记录用户在登录系统失败时输入的密码(因为他可能容易输入错误)猜测)。您可以将此示例扩展到所有关键数据。请记住，如果不存在，您不必担心有人试图获取它。

并从wikipedia's CSFR article中提取:

• Requiring authentication in GET and POST parameters, not only cookies;
• Checking the HTTP Referer header;
• Ensuring there's no crossdomain.xml file granting unintended access to Flash movies[14]
• Limiting the lifetime of authentication cookies
• When processing a POST, disregard URL parameters if you know they should come from a form
• Requiring a secret, user-specific token in all form submissions and side-effect URLs prevents CSRF; the attacker's site can't put the right token in its submissions