.NET开发

本类阅读TOP10
·NHibernate快速指南(翻译)
·vs.net 2005中文版下载地址收藏
·【小技巧】一个判断session是否过期的小技巧
·VB/ASP 调用 SQL Server 的存储过程
·？dos下编译.net程序找不到csc.exe文件
·通过Web Services上传和下载文件
·学习笔记（补）《.NET框架程序设计（修订版）》--目录
·VB.NET实现DirectDraw9 (2) 动画
·VB.NET实现DirectDraw9 (1) 托管的DDraw
·建站框架规范书之——文件命名

→ 分类导航
VC语言Delphi
VB语言ASP
PerlJava
Script数据库
其他语言游戏开发
文件格式网站制作
软件工程.NET开发
ASP.NET Form Authentication安全漏洞及对策

作者：未知 来源：月光软件站 加入时间：2005-2-28　月光软件站

在NT-Bugtraq的邮件列表上首先报告的Security bug in .NET Forms Authentication适用于ASP.NET 1.0 (RTM, SP1, SP2, SP3)和ASP.NET 1.1 (RTM, SP1).

 

当Form Authentication被使用时，匿名用户在试图访问被保护的页面如http://localhost/WebApplication2/secret.aspx时会被redirect到登录网页如http://localhost/WebApplication2/login.aspx?ReturnUrl=%2fWebApplication2%2fsecret.aspx.

 

但是如果使用Mozilla，匿名用户可以这样未经认证就访问被保护的页面：http://localhost/WebApplication2\secret.aspx；对IE，可以使用%5C达到类似的效果：http://localhost/WebApplication2%5Csecret.aspx

 

微软在10月5日发布了What You Should Know About a Reported Vulnerability in Microsoft ASP.NET网页以提供针对此安全漏洞的对策。当前的对策主要是如KB887459所描述的那样在Global.asax或其Code-Behind中在Application_BeginRequest中增加检查

 

    if (Request.Path.IndexOf('\\') >= 0 ||
        System.IO.Path.GetFullPath(Request.PhysicalPath) != Request.PhysicalPath) 
    {
        throw new HttpException(404, "not found");
    }

显然每个Application都需要有这样的检查以应对此安全漏洞。微软还会提供其他的对策，请关注What You Should Know About a Reported Vulnerability in Microsoft ASP.NET网页更新。

 

对ASP.NET 2.0 Beta1，并没有此漏洞而是得到404错误。

相关文章：

相关软件：