asp.net - ASP.net EventValidation 和 ViewState 是否可以减轻暴力攻击？

Question

我在新工作中的职责之一与网络安全有关，在我对旧的 Web 服务器运行目录遍历工具后，我发现内容管理系统的管理员登录页面不受限制，并且可以通过互联网访问。

我将此问题提请老板注意，他说由于设置了“EventValidation”和“ViewState”参数，因此可以防止 Hydra 或 Medusa 等暴力破解应用程序的攻击。这对我来说不太合适，因为网络表单上没有 reCAPTCHA 或帐户锁定策略。

我尝试对这些参数以及它们如何影响暴力攻击进行一些研究，但我没有找到任何具体的东西，如果有人能指出我正确的方向或阐明这个问题，我真的会非常感谢!

Answer 1

ViewState 不是针对暴力破解的安全措施。它只是一组编码的键/值对，用于模拟填充在隐藏输入中的页面加载(回发)之间的状态。如果您使用 user key，ViewState 有点不能有助于防止 CSRF 与 View 状态。用户 key 充当防伪 token 。

事件验证是一种安全措施，但它不能减轻暴力攻击。事件验证的目的是确保 POST 事件的触发实际上是可能的。例如，如果 ASP.NET 页面确定回发的源是名为“Foo”的提交按钮，但未呈现“Foo”按钮，则会引发异常，因为似乎单击了不可见的按钮.

这些都无法阻止对登录表单的暴力攻击。事实上，如果您可以通过浏览器一遍又一遍地执行此操作，那么攻击者所要做的就是将其自动化。

您可以采取很多措施来限制暴力攻击。

• 限制尝试次数。很多系统在连续N次登录失败后，会在一段时间内阻止登录尝试，比如“尝试5次，则需要等待20分钟”。
• 升级身份验证要求。 N次失败后，添加验证码。在另外 N 次失败后，询问一些辅助信息，或添加一个额外的因素。