c# - viewstate 的安全问题

Question

我正在解决我们应用程序的一些安全问题，我们将 ViewStateEncryptionMode 设置为 true(在 web.config 中)。我注意到仍然有一个 _VIEWSTATE 字段，现在在 _viewstateencrypted 表单上有一个新字段。我有两个问题:

1. 这是否意味着 View 状态仍然可以被破解，或者 asp.net 将识别并仅使用加密字段。
2. 我收到一个 OWASP ZAP 安全问题，说他们通过附加文本发现了 View 状态的注入(inject)问题。我该如何解决？

提前致谢

Answer 1

没有更多信息很难说，但这里有一些随机猜测:

• ViewStateEncryptionMode 不能设置为 true？？我猜你的意思是“总是”，MSDN reference

• 如果 ViewStateEncryptionMode 是 Always，是的，您的 View 状态已加密。这应该隐藏其中包含的信息以防止窥探。

• 如果您不需要隐藏 View 状态内容，但又想防止篡改(即修改)，您可以设置 enableViewStateMac='true'。这会添加一个加密散列来检查内容是否被篡改。有关详细信息，请参阅 MSDN 文档。如果您愿意，可以同时激活此模式和 ViewStateEncryptionMode。

• 很可能您看到的是来自 OWASP ZAP 的误报。您的编码 View 状态是否包含 SQL、JDBC 或 ODBC 等字符串？看这个bug .

• 这条消息让我隐约想起了 padding oracle exploit。您的服务器是否打了补丁 MS10-070 ？请注意，这是旧东西，该漏洞是在 2010 年发现并修补的。