Защита ASP.NET MVC Application Checklist

Question

Я ищу набор руководящих принципов или контрольный список, который вы можете использовать для защиты общедоступного веб-сайта ASP.NET MVC. Я просто хочу удостовериться, что я не делаю никаких очевидных и известных проблем при развертывании веб-сайта.

Спасибо.

Answer 1

1. Как всегда, убедитесь, что вы надлежащий вывод кодирования - уведомление, что я здесь говорил закодировать и не HTMLEncode. Если вы выводите содержимое в HTML, то вы хотите, чтобы использовал Html.Encode - однако если вы , выводящий на JavaScript, то вы хотите использовать функцию кодирования JavaScript . - Это поможет вам в борьбе с Cross Site Scripting (XSS)
2. Используйте помощники, которые помогают атаковать CSRF там, где это необходимо (или, возможно, просто повсюду)
3. В зависимости от того, как вы получаете доступ к хранилищу данных, если это база данных SQL, помните, что защитите себя от SQL-инъекций, либо через параметризованные запросы, хранимые процедуры, LINQ или что у вас есть.
4. Когда вы протестируете - убедитесь, что ваши тестовые данные содержат изворотливый результат (материал, в котором невозможно вызвать Html.Encode, легко обнаруживается, возможно, через <script type="text/javascript">alert("XSS attack!");</script>XSS here!, то же самое происходит с тем, что вводится в JavaScript, появляются ошибки!)
5. Когда привязка к модели использует белый список для свойств, поэтому пользователи не могут создавать свойства связывания связующего, которые не предназначены для привязки!

Answer 2

Я делаю следующее:

1. Отделяйте мои заботы. Администратор в администратора папки и т.д.
2. [Авторизоваться] на все действия, которые требуют, чтобы вы вошли в систему.
3. Html.Encode все поля ввода данных.
4. ActionResult Создать ([Bind (префикс = "", Exclude = "идентификатор")] MyModel newModelObject) < == исключить идентификаторы, которые могут быть использованы в нападении

Кроме этого ...

Answer 3

Ниже приведены общие меры ASP.NET

1. Set Debug = ложь в web.config
2. Включите пользовательские ошибки
3. шифровать печенье
4. проверяет входные
5. Включить проверку запроса
6. Кодировать выходные данные

Answer 4

Не используйте по умолчанию GET о действиях, если это абсолютно необходимо.Например, если у вас есть DeleteUser действие, которое не имеет в [AcceptVerbs(HttpVerbs.Post)] на него, он может быть вызван с помощью

<img src="http://yoursite/admin/DeleteUser/1" /> 

Какой будет вызван кем бы «мнения» изображения.