安全心得(2009-09-09)

最新推荐文章于 2022-11-19 16:59:41 发布

原创最新推荐文章于 2022-11-19 16:59:41 发布 · 451 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#服务器 #asp.net #数据库 #正则表达式 #session #string

WebForm 专栏收录该内容

22 篇文章

订阅专栏

本文介绍了保护网站安全的多个关键步骤，包括限制输入框长度、禁止HTML标记输入、严格控制文件上传类型、合理设置数据库账号权限、正确处理错误信息、安全构造SQL命令、使用Session而非Request传递参数、妥善管理Web.Config配置文件、限制查询账号权限等内容。

1）输入框必须限制长度，够用就行,最好用正则表达式限制内容；
2）禁止输入<HTML>标记,ASP.NET默认设置是禁止的；
3）上传文件要严格限制类型和文件后缀，最好读取文件的头字节来判断；
4）数据库帐号不要和服务器密码相同，最好是有限权限；
5）不应该把系统提供的错误信息直接暴露给用户，包括没有捕捉的页面错误和捕捉到的ex.Message；
   A.最保守的错误显示机制:在客户端只能看到发生错误提示修改CustomError的默认信息，在服务器端会显示具体的错误代码位置，
   这也是ASP.NET默认的方式；
   B.只捕捉已知的错误，然后显示给用户友好的提示，其他错误尝试写到服务器日志里等。
   C.如果使用ex.Message直接显示给用户，可能暴露一些输入数据库帐号，表名，索引名称等等的关键信息。
6) 不要直接使用字符串构造SQL命令，应该用SQLDataSource等控件或着参数构造命令，它们会帮你过滤有威胁的字符；
7) 用Session 而不是Request，尽量不要暴露网页参数。并且一定要检查传递的参数，比如ID可以转换数字再转换成String使用；
8) 发布Web.Config的时候，应该删除编程时候本地连接服务器的连接串
9) 程序中用到的SELECT 跨数据库或跨服务器查询涉及的帐号应该权限最小，最好只读。