五種常見的ASP.NET安全缺陷

保證應用程序的安全應當從編寫第一行代碼的時候開始做起，原因很簡單，隨著應用規模的發展，修補安全漏洞所需的代價也隨之快速增長。根據IBM的係統科學協會（SystemsSciencesInstitute）的研究，如果等到軟件部署之後再來修補缺陷，其代價相當於開發期間檢測和消除缺陷的15倍。

為了用最小的代價保障應用程序的安全，在代碼本身的安全性、抗禦攻擊的能力等方麵，開發者應當擔負更多的責任。然而，要從開發的最初階段保障程序的安全性，必須具有相應的技能和工具，而真正掌握這些技能和工具的開發者並不是很多。雖然學寫安全的代碼是一個複雜的過程，最好在大學、內部培訓會、行業會議上完成，但隻要掌握了下麵五種常見的ASP.NET應用安全缺陷以及推薦的修正方案，就能夠領先一步，將不可或缺的安全因素融入到應用的出生之時。

一、不能盲目相信用戶輸入

在Web應用開發中，開發者最大的失誤往往是無條件地信任用戶輸入，假定用戶（即使是惡意用戶）總是受到瀏覽器的限製，總是通過瀏覽器和服務器交互，從而打開了攻擊Web應用的大門。實際上，黑客們攻擊和操作Web網站的工具很多，根本不必局限於瀏覽器，從最低級的字符模式的原始界麵（例如telnet），到CGI腳本掃描器、Web代理、Web應用掃描器，惡意用戶可能采用的攻擊模式和手段很多。

因此，隻有嚴密地驗證用戶輸入的合法性，才能有效地抵抗黑客的攻擊。應用程序可以用多種方法（甚至是驗證範圍重疊的方法）執行驗證，例如，在認可用戶輸入之前執行驗證，確保用戶輸入隻包含合法的字符，而且所有輸入域的內容長度都沒有超過範圍（以防範可能出現的緩衝區溢出攻擊），在此基礎上再執行其他驗證，確保用戶輸入的數據不僅合法，而且合理。必要時不僅可以采取強製性的長度限製策略，而且還可以對輸入內容按照明確定義的特征集執行驗證。下麵幾點建議將幫助你正確驗證用戶輸入數據：

⑴始終對所有的用戶輸入執行驗證，且驗證必須在一個可靠的平台上進行，應當在應用的多個層上進行。

⑵除了輸入、輸出功能必需的數據之外，不要允許其他任何內容。

⑶設立“信任代碼基地”，允許數據進入信任環境之前執行徹底的驗證。

⑷登錄數據之前先檢查數據類型。

⑸詳盡地定義每一種數據格式，例如緩衝區長度、整數類型等。

⑹嚴格定義合法的用戶請求，拒絕所有其他請求。

⑺測試數據是否滿足合法的條件，而不是測試不合法的條件。這是因為數據不合法的情況很多，難以詳盡列舉。

二、五種常見的ASP.NET安全缺陷

下麵給出了五個例子，闡述如何按照上述建議增強應用程序的安全性。這些例子示範了代碼中可能出現的缺陷，以及它們帶來的安全風險、如何改寫最少的代碼來有效地降低攻擊風險。

2.1篡改參數

◎使用ASP.NET域驗證器

盲目信任用戶輸入是保障Web應用安全的第一敵人。用戶輸入的主要來源是HTML表單中提交的參數，如果不能嚴格地驗證這些參數的合法性，就有可能危及服務器的安全。

下麵的C#代碼查詢後端SQLServer數據庫，假設user和password變量的值直接取自用戶輸入：

SqlDataAdaptermy_query=newSqlDataAdapter(
　"SELECT*FROMaccountsWHEREacc_user='"+user+"'ANDacc_password='"+password,the_connection);

從表麵上看，這幾行代碼毫無問題，實際上卻可能引來SQL注入式攻擊。攻擊者隻要在user輸入域中輸入“OR1=1”，就可以順利登錄係統，或者隻要在查詢之後加上適當的調用，就可以執行任意Shell命令：

';EXECmaster..xp_cmdshell(Oshellcommandhere')--

■風險分析

在編寫這幾行代碼時，開發者無意之中作出了這樣的假定：用戶的輸入內容隻包含“正常的”數據——合乎人們通常習慣的用戶名字、密碼，但不會包含引號之類的特殊字符，這正是SQL注入式攻擊能夠得逞的根本原因。黑客們可以借助一些具有特殊含義的字符改變查詢的本意，進而調用任意函數或過程。

■解決方案

域驗證器是一種讓ASP.NET開發者對域的值實施限製的機製，例如，限製用戶輸入的域值必須匹配特定的表達式。

要防止上述攻擊行為得逞，第一種辦法是禁止引號之類的特殊字符輸入，第二種辦法更嚴格，即限定輸入域的內容必須屬於某個合法字符的集合，例如“[a-zA-Z0-9]*”。

2.2篡改參數之二

◎避免驗證操作的漏洞

然而，僅僅為每個輸入域引入驗證器還不能防範所有通過修改參數實施的攻擊。在執行數值範圍檢查之時，還要指定正確的數據類型。

也就是說，在使用ASP.NET的範圍檢查控件時，應當根據輸入域要求的數據類型指定適當的Type屬性，因為Type的默認值是String。

<!--要求輸入值必須是1-9之間的數字-->
<asp:RangeValidator...MinimumValue="1"MaximumValue="9".../>

■風險分析

由於沒有指定Type屬性值，上麵的代碼將假定輸入值的類型是String，因此RangeValidator驗證器隻能確保字符串由0-9之間的字符開始，“0abcd”也會被認可。

■解決方案

要確保輸入值確實是整數，正確的辦法是將Type屬性指定為Integer：

<!--要求輸入值必須是1-9之間的數字-->
<asp:RangeValidator...MinimumValue="1"
MaximumValue="9"Type="Integer"

2.3信息泄漏

◎讓隱藏域更加安全

在ASP.NET應用中，幾乎所有HTML頁麵的__VIEWSTATE隱藏域中都可以找到有關應用的信息。由於__VIEWSTATE是BASE64編碼的，所以常常被忽略，但黑客可以方便地解碼BASE64數據，用不著花什麼力氣就可以得到__VIEWSTATE提供的詳細資料。

■風險分析

默認情況下，__VIEWSTATE數據將包含：

⑴來自頁麵控件的動態數據。

⑵開發者在ViewState中顯式保存的數據。

⑶上述數據的密碼簽字。

■解決方案

設置EnableViewStatMAC="true"，啟用__VIEWSTATE數據加密功能。然後，將machineKey驗證類型設置成3DES，要求ASP.NET用TripleDES對稱加密算法加密ViewState數據。

2.4SQL注入式攻擊

◎使用SQL參數API

正如前文“篡改參數”部分描述的，攻擊者可以在輸入域中插入特殊字符，改變SQL查詢的本意，欺騙數據庫服務器執行惡意的查詢。

■風險分析

惡意查詢有可能獲取後端數據庫保存的任何信息，例如客戶信用卡號碼的清單。

■解決方案

除了前麵介紹的辦法——用程序代碼確保輸入內容隻包含有效字符，另一種更加健壯的辦法是使用SQL參數API（例如ADO.NET提供的API），讓編程環境的底層API（而不是程序員）來構造查詢。

使用這些API時，開發者或者提供一個查詢模板，或者提供一個存儲過程，然後指定一係列的參數值，由底層API將參數值嵌入到查詢模板，然後將構造出來的查詢提交給服務器查詢。這種辦法的好處是確保參數能夠正確地嵌入，例如，係統將對引號進行轉義處理，從根本上杜絕SQL注入式攻擊的發生。同時，在表單中引號仍是一個允許輸入的有效字符，這也是使用底層API的一個優點。

按照這種思路修改前文“篡改參數”部分的例子，結果如下：

SqlDataAdaptermy_query=newSqlDataAdapter("SELECT*FROMaccounts
WHEREacc_user=@userANDacc_password=@pass",the_connection);
SqlParameteruserParam=my_query.Select_Command.Parameters.Add(
"@user",SqlDb.VarChar,20);
userParam.Value=user;
SqlParameterpasswordParam=my_query.Select_Command.Parameters.Add(
"@",SqlDb.VarChar,20);
passwordParam.Value=password;

2.5跨站腳本執行

◎對外發的數據進行編碼

跨站腳本執行（Cross-sitescripting）是指將惡意的用戶輸入嵌入到應答（HTML）頁麵。例如，下麵的ASP.NET頁麵雖然簡單，卻包含著一個重大的安全缺陷：

<%@PageLanguage="vb"%>
<asp:Labelrunat="server">
標簽文字
</asp:Label>
<formmethod="post"runat="server"ID="Form1">
請在此處輸入反饋信息<br>
<asp:TextboxID="feedback"runat="server"/><br>
<asp:Buttonrunat="server"
Text="提交!"OnClick="do_feedback">
</asp:Button>
</form>
<scriptrunat="server">
Subdo_feedback(senderAsObject,eAsSystem.EventArgs)
Label1.Text=feedback.Text
EndSub
</script>

■風險分析

攻擊者可以用JavaScript代碼構造一個惡意的查詢，點擊鏈接時JavaScript就會運行。舉例來說，腳本可以通過下麵的用戶輸入來嵌入：

<script>alert(document.cookie)
</script>

■解決方案

在一個雙層的安全體係中，對HTML頁麵中出現的外發用戶數據執行輸入驗證和HTML編碼，確保瀏覽器隻把用戶輸入數據當成純粹的文本，而不是其他具有特殊含義的內容，例如HTML代碼、JavaScript腳本。

對於本例，隻要加入一個HtmlEncode調用即可：

Label1.Text=Server.HtmlEncode(feedback.Text)

這樣，應答HTML流將包含用戶輸入內容的HTML編碼版本，也就是說，瀏覽器不會執行用戶輸入的JavaScript代碼，因為根本不存在HTML的“<SCRIPT>”標記，用戶輸入的“<”和“>”字符已經被替換成HTML編碼版本，即“<”和“>”。

三、使用自動安全測試工具

由於客戶需求不斷變化，一些單位平均每三個月就要部署新的應用，同時由於人員流動，所以對開發者快速開發健壯的、高質量的代碼寄予很高的期望。雖然對所有開發者進行代碼安全技術的培訓是十分必要的，但不可否認，自動檢測代碼安全漏洞的工具也有助於快速開發安全的應用程序。

到目前為止，開發者常用的工具隻能涵蓋功能測試的特定方麵，例如性能測試，BUG/故障點偵查。人工檢查代碼有著許多與生俱來的局限，而且要求開發者具有豐富的代碼安全經驗，所以對於編寫高質量的應用來說，麵向應用程序安全及其在惡意環境下行為的工具也是十分關鍵的。

要迅速提高應用的質量和安全性，最有效的辦法是給開發者提供一個自動測試應用的工具。如果在單元測試期間，工具能夠檢測出應用的安全缺陷，並將修補建議嵌入到代碼之中，開發者就能立即找出代碼中存在的錯誤，不僅方便了現有錯誤的修改，而且也有助於避免將來再犯同樣的錯誤，不斷地提高代碼抗禦攻擊的能力。

結束語：Web服務應用正在爆炸式增長，越來越多的應用被推出到防火牆之外，安全性脆弱的Web應用麵臨的風險也隻會有增無減。同時，為了在緊迫的時限之前快速完成應用開發，開發者麵臨的壓力也越來越大。注重編寫代碼時的安全問題，同時投入必要的資源，這樣才能為未來的Web服務應用做好準備，同時確保當前應用的高質量。隻有從應用的出生之日開始就采取正確的措施來確保其安全性，才能構造出高質量、安全的應用。