Как вы можете проверить, что ViewStateUserKey включен на стороне клиента?

Я смотрел веб-приложение, написанное на .NET, которое я проксировал через Burp Suite и не мог определить, полностью ли он защищен от атак CSRF. Я знаю, что если ViewStateMac и ViewStateUserKey установлены в исходном коде, приложение должно быть хорошо защищено. Однако, если у меня нет доступа к исходному коду, как я могу это идентифицировать?Как вы можете проверить, что ViewStateUserKey включен на стороне клиента?

Этот предыдущий вопрос типа StackOverflow задал тот же вопрос, но не совсем удовлетворяет то, что я прошу. (У меня не было достаточно очков репутации, чтобы добавить этот вопрос в комментариях ответа):

Can I see the ViewStateUserKey in html source?

источник

2014-09-18 BoogeyMarquez

Там нет никакого способа, чтобы вывести эту сторону клиента. Проверка исходного кода на сервере - единственный способ убедиться. Тем не менее, вы можете попытаться отключить CSRF-атаку против своего собственного приложения в качестве теста с проверкой кишки, что VSUK проверяется правильно на сервере.

источник

2014-09-19 02:00:21 Levi

Спасибо, что ответили Леви. Как вы можете догадаться, я делаю тест на проникновение в приложение и не был уверен, могу ли я сделать заявление о том, что он безопасен от CSRF, но я знаю из указанной публикации, что ваши комментарии являются золотыми. – BoogeyMarquez

Как вы можете проверить, что ViewStateUserKey включен на стороне клиента?

ответ

Смежные вопросы