security - 如何在 Web 应用程序中操作 View 状态数据？

Question

我正在测试一个 Web 应用程序，它是一个出席提交页面。功能是，如果两个用户碰巧更新了相同的学生出勤率，我们将显示最新更改的更改警告。

为此，开发人员已经实现了一些逻辑，比如他们将保存我们在文本框中输入的值，而这些值尚未保存在 View 状态中。他们将比较 View 状态、当前数据和数据库数据的值，并显示最新的更改.

作为测试的一部分，我想知道是否存在，以便我可以修改/破解开发人员存储在 View 状态中的数据。

Answer 1

您不能使用 javascript 执行此操作，您可以通过 JavaScript 访问隐藏字段“__ViewState”，但它已全部加密。您只能看到加密后的值。

即使您通过javascript更改它，服务器端也会检查数据是否被篡改。

您可以使用以下代码解密和查看 View 状态。为此，必须将 ViewState 设置为未加密 More Info

string str = System.Text.Encoding.ASCII.GetString(Convert.FromBase64Strin‌​g(txtViewState.Text)‌​);

但由于 EnableViewStateMac 属性在 ASP.NET 中默认为 true，因此篡改 View 状态不太可能 More Info