asp.net-mvc - 渗透测试您的 MVC 应用程序

Question

以下是保护 MVC 应用程序安全的一些常见做法:

• 对输出进行编码
• 参数化您的 SQL
• 测试您的前后搜索
• 1 路哈希密码
• 锁定帐户或限制登录尝试
• 访问文件系统时使用基于代码的模拟
• 使用锁定的用户名访问 SQL
• 使用蜜 jar 或验证码提交表单来对抗机器人

如果有任何我遗漏或误述的内容，请随时贡献。

在笔测试您自己的软件时，您会使用或考虑哪些其他技术/最佳实践。在上线应用程序之前，您会做什么来“尝试一下”。

您使用什么笔测试服务或软件(如果有)？

Answer 1

所有使用模型绑定(bind)的方法都应该通过可绑定(bind)属性的白名单或黑名单来保护。

string[] allowedProperties = new[]{ "Title", "Description"};
UpdateModel(myObject, allowedProperties);

或

[AcceptVerbs(HttpVerbs.Post)]
public ActionResult Create([Bind(Include="Title,Description")] MyObject object )
{

}

这当然是为了防止精心设计的请求尝试以非预期的方式更新/操作您的对象。