- html - 出于某种原因,IE8 对我的 Sass 文件中继承的 html5 CSS 不友好?
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景?
我有一个以下场景 - 我真正希望的是来自真人的真正帮助。建议/解决方案?请。
我有一个前任的 Extranet 网站。 www.foo.com (asp.net 3.5)我正在使用 JQuery 1.3.2 在 default.aspx 页面 (www.foo.com/default.aspx) 中调用 ValidateLogin PageMethods
代码如下所示
$.ajax({
type: "POST",
contentType: "application/json; charset=utf-8",
dataType: "json",
url: "Default.aspx/ValidateLogin",
data: '{' + arg + '}',
success: function (data) {
if (data.d != 0) {
window.location = "http://www.google.com";
} else {
alert("Invalid UserName/Password.");
ResetLoginForm();
}
},
error: function (xhr, status, error) {
var strerror = xhr.status + error;
alert("Error Communicating with Server:" + strerror);
ResetLoginForm();
}
});
代码存储在外部js文件中。对于前default.js。
由于该网站是公开的,任何人都可以下载default.js,从而可以查看上面给出的代码。
我的问题是,一旦该人获得此网址:“Default.aspx/ValidateLogin”,他就可以向服务器发出请求,服务器将自豪地响应该请求。
我有什么选择?如何验证请求?如何防止此类未经授权的请求?
最佳答案
Web 请求本质上是公开的。他们甚至不需要查看源文件。他们可以简单地监视 HTTP 请求并重放这些请求(例如,使用 fiddler 等工具非常容易)。
虽然限制解决方案会降低攻击率,但实际上它们并不可行。问题是对手可以编写一个运行几天的脚本。话又说回来,他可以使用代理来发送并行请求。如果您对每个用户名进行限制,那么攻击者可以通过尝试对合法用户名进行虚假登录来实现 DoS,并且当实际用户尝试登录时,他不会知道为什么自己被锁定。
典型的方法是使用随机数键。这将需要一些额外的工作,但它会缓解问题,并且仅在您确实预计会遭受攻击或其他攻击时才建议这样做。其简化版本是客户端将随机数 key 作为 URI 查询参数传递。 key 首先由服务器发送给客户端。发出请求后,服务器会验证数据库中是否存在随机数 key 并允许请求。它会立即删除随机数 key ,以便用户无法使用相同的随机数 key 发出另一个请求,但服务器需要向用户发出更多随机数 key 。
简化的解决方案是只允许经过身份验证的用户发出 Web 服务请求,但由于您正在设计一个登录系统,这显然不可行。
除非你有一些讨厌的对手,否则我不会担心。
关于jquery - ASP.NET PageMethods 和 JQuery AJAX Post – 它到底有多安全?,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/812945/
我已经制作了一个用于报名参加 Activity 的小应用程序。用户输入他们的数据,然后单击“登录我”。 现在有时人们在数据库中是双倍的,完全相同的数据彼此之间很快被插入了两次。这只能表示某人单击了两次
这个问题在这里已经有了答案: 关闭 10 年前。 Possible Duplicate: PHP: “Notice: Undefined variable” and “Notice: Undefin
这个问题在这里已经有了答案: 关闭 10 年前。 Possible Duplicate: PHP: “Notice: Undefined variable” and “Notice: Undefin
我正在尝试将数据从 Textarea 发布到经典的 ASP 脚本,该脚本更新本地计算机上的 MS SQL,然后发布到另一台服务器上的 PHP 脚本。但是,执行以下操作不起作用,因为它会切断文本区域的数
无效的代码: login_form = page.form_with(:method => 'post') 和有效的代码: login_form = page.form_with(:method =>
我希望能够在 HTTP Post 请求被触发时拦截它,然后修改其请求正文(或参数),然后发送它。 这怎么可能用 jquery/js 实现。 谢谢 最佳答案 Jquery ajax beforeSend
我想编写一个 Mysql 语句,从表(发布)中选择所有内容,其中标题类似于 $title 除了 $title 的标题。基本上我想显示某个帖子的所有相关帖子。我希望查询选择表中标题或详细信息中具有标题名
我已经成功创建了一个简单的 HTML 表单,它将上传的文件发布到我的 Amazon S3 存储桶。我遵循了以下说明: http://aws.amazon.com/articles/1434 现在我正在
我正在实现一个 PayPal IPN 页面,并想检查以确保请求真正来自 PayPal 而不是被欺骗。我假设 HTTP_REFERRER 不是一个好的检查方式?我已经尝试过这种方法,但变量只是空的。 有
我有一个非常简单的设置有一个非常特殊的问题。 该设置部署了 nginx Web 服务器以提供一些静态页面。它还有一个用于处理 POST 请求的后端 uwsgi 守护进程。 我的nginx位置配置如下
我认为我做错了什么,或者误解了我在网上阅读的有关 POST 和 GET 请求的内容。我在 myNumber.ejs 上有一个提交表单。当我按下提交时,有 Add.ejs 的 View 。 Add.ej
我需要将数据从 Express 应用程序的前端发送到后端,然后使用需要显示该数据的 EJS 呈现页面。 问题是 app.post() 方法,随后 res.render() 函数似乎没有完全执行或者当我
根据AWS Documentation对于 CloudFormation cfn-hup 帮助程序脚本,cfn-hup Hook 可以具有“要检测的以逗号分隔的条件列表”。这些条件/触发器可以是 po
位于“wp-admin/includes/”的“post.php”文件中的 wordpress 函数“get_default_post_to_edit”无法正常工作。 当我加载页面时:wp-admin
我使用请求库发布数据,但在服务器上收到空主体,没有传递任何数据。我在代码中遗漏了什么吗? Map map = new Map(); map[csrfNameKey] = csrfName;
我正在尝试使用 siege 3.0.1 测试我的网站。但是好像siege不发送POST数据。这是我从网络浏览器收到的请求 POST / HTTP/1.0 Accept: text/html,appli
我正在尝试为 stockfigher 游戏 api 编写包装器,只是为了了解 feign 是如何工作的,而且我在第一个 POST 方法中遇到了问题: @RequestMapping(method =
如何使用 Jersey 获取原始 POST? @FormParam将不起作用,因为我发布的原始 JSON 不在任何特定的 POST 字段中。 最佳答案 Jersey 带有一个用于将 JSON 映射到
我正在尝试同时创建一个实体和两个子实体的实例。 如果我将以下 JSON 发布到/user_objects 资源,它会很高兴地创建父 user_object 实体和链接的 User_object_att
在 IPV6 中如何使用 IPV6 地址和端口号构建 CURL POST http 请求。任何类型的线程都将受到赞赏。 尝试构建如下请求 >curl --interface 'http://[2001
我是一名优秀的程序员,十分优秀!