Неограниченная длина для ввода пользователем

Question

Во время обзора безопасности нашего веб-приложения asp.net мы получили сообщение о том, что некоторые поля ввода не ограничивают длину пользовательского ввода на стороне сервера. В отчете о выполнении указывается, что эта уязвимость может использоваться для использования большого количества ресурсов на сервере или в базе данных, что может привести к атакам типа «отказ в обслуживании».

Я хотел бы спросить, какие варианты здесь, чтобы исправить это. Конечно, мы можем реализовать проверку на стороне веб-сервера для каждого поля и, например, бросить какое-то исключение и отклонить, если ввод длиннее некоторого предопределенного значения. Но мне любопытно, есть ли другие способы, как это сделать. Возможно, какая-то конфигурация в web.config или на уровне сервера IIS, некоторый глобальный обработчик и т. Д.

Answer 1

Отъезд maxRequestLength настройка в web.config.

Задает предел порога буферизации входного потока в КБ. Это ограничение можно использовать для предотвращения атак типа «отказ в обслуживании», вызванных, например, пользователями, отправляющими большие файлы на сервер. Значение по умолчанию - 4096 (4 МБ).

<configuration> 
    <system.web> 
     <httpRuntime maxRequestLength="1024" /> 
    </system.web> 
</configuration> 

Это было бы лучшим решением, чем ограничение каждого отдельного поля, как это защищает ваше приложение в целом, как это звучит, как они не нашли каких-либо конкретных входов, которые являются уязвимыми.

Если вы хотите, чтобы применить только к определенным разделам вашего приложения, вы можете добавить переопределение с помощью <location> элемента:

<location path="Attachments/Upload"> 
    <system.web> 
     <httpRuntime maxRequestLength="20480" /> 
    </system.web> 
</location>