五種常見的ASP.NET安全缺陷
2024-07-10 12:55:28
供稿：網(wǎng)友
保證應(yīng)用程序的安全應(yīng)當從編寫第一行代碼的時候開始做起，原因很簡單，隨著應(yīng)用規(guī)模的發(fā)展，修補安全漏洞所需的代價也隨之快速增長。根據(jù)ibm的系統(tǒng)科學(xué)協(xié)會（systems sciences institute）的研究，如果等到軟件部署之后再來修補缺陷，其代價相當于開發(fā)期間檢測和消除缺陷的15倍。
為了用最小的代價保障應(yīng)用程序的安全，在代碼本身的安全性、抗御攻擊的能力等方面，開發(fā)者應(yīng)當擔負更多的責任。然而，要從開發(fā)的最初階段保障程序的安全性，必須具有相應(yīng)的技能和工具，而真正掌握這些技能和工具的開發(fā)者并不是很多。雖然學(xué)寫安全的代碼是一個復(fù)雜的過程，最好在大學(xué)、內(nèi)部培訓(xùn)會、行業(yè)會議上完成，但只要掌握了下面五種常見的asp.net應(yīng)用安全缺陷以及推薦的修正方案，就能夠領(lǐng)先一步，將不可或缺的安全因素融入到應(yīng)用的出生之時。
一、不能盲目相信用戶輸入
在web應(yīng)用開發(fā)中，開發(fā)者最大的失誤往往是無條件地信任用戶輸入，假定用戶（即使是惡意用戶）總是受到瀏覽器的限制，總是通過瀏覽器和服務(wù)器交互，從而打開了攻擊web應(yīng)用的大門。實際上，黑客們攻擊和操作web網(wǎng)站的工具很多，根本不必局限于瀏覽器，從最低級的字符模式的原始界面（例如telnet），到cgi腳本掃描器、web代理、web應(yīng)用掃描器，惡意用戶可能采用的攻擊模式和手段很多。
因此，只有嚴密地驗證用戶輸入的合法性，才能有效地抵抗黑客的攻擊。應(yīng)用程序可以用多種方法（甚至是驗證范圍重疊的方法）執(zhí)行驗證，例如，在認可用戶輸入之前執(zhí)行驗證，確保用戶輸入只包含合法的字符，而且所有輸入域的內(nèi)容長度都沒有超過范圍（以防范可能出現(xiàn)的緩沖區(qū)溢出攻擊），在此基礎(chǔ)上再執(zhí)行其他驗證，確保用戶輸入的數(shù)據(jù)不僅合法，而且合理。必要時不僅可以采取強制性的長度限制策略，而且還可以對輸入內(nèi)容按照明確定義的特征集執(zhí)行驗證。下面幾點建議將幫助你正確驗證用戶輸入數(shù)據(jù)：
⑴ 始終對所有的用戶輸入執(zhí)行驗證，且驗證必須在一個可靠的平臺上進行，應(yīng)當在應(yīng)用的多個層上進行。
⑵ 除了輸入、輸出功能必需的數(shù)據(jù)之外，不要允許其他任何內(nèi)容。
⑶ 設(shè)立“信任代碼基地”，允許數(shù)據(jù)進入信任環(huán)境之前執(zhí)行徹底的驗證。
⑷ 登錄數(shù)據(jù)之前先檢查數(shù)據(jù)類型。
⑸ 詳盡地定義每一種數(shù)據(jù)格式，例如緩沖區(qū)長度、整數(shù)類型等。
⑹ 嚴格定義合法的用戶請求，拒絕所有其他請求。
⑺ 測試數(shù)據(jù)是否滿足合法的條件，而不是測試不合法的條件。這是因為數(shù)據(jù)不合法的情況很多，難以詳盡列舉。
二、五種常見的asp.net安全缺陷
下面給出了五個例子，闡述如何按照上述建議增強應(yīng)用程序的安全性。這些例子示范了代碼中可能出現(xiàn)的缺陷，以及它們帶來的安全風(fēng)險、如何改寫最少的代碼來有效地降低攻擊風(fēng)險。
2.1 篡改參數(shù)
◎ 使用asp.net域驗證器
盲目信任用戶輸入是保障web應(yīng)用安全的第一敵人。用戶輸入的主要來源是html表單中提交的參數(shù)，如果不能嚴格地驗證這些參數(shù)的合法性，就有可能危及服務(wù)器的安全。
下面的c#代碼查詢后端sql server數(shù)據(jù)庫，假設(shè)user和password變量的值直接取自用戶輸入：
sqldataadapter my_query = new sqldataadapter(
"select * from accounts where acc_user='" + user + "' and acc_password='" + password, the_connection);
從表面上看，這幾行代碼毫無問題，實際上卻可能引來sql注入式攻擊。攻擊者只要在user輸入域中輸入“or 1=1”，就可以順利登錄系統(tǒng)，或者只要在查詢之后加上適當?shù)恼{(diào)用，就可以執(zhí)行任意shell命令：
'; exec master..xp_cmdshell(oshell command here')--
■ 風(fēng)險分析
在編寫這幾行代碼時，開發(fā)者無意之中作出了這樣的假定：用戶的輸入內(nèi)容只包含“正常的”數(shù)據(jù)——合乎人們通常習(xí)慣的用戶名字、密碼，但不會包含引號之類的特殊字符，這正是sql注入式攻擊能夠得逞的根本原因。黑客們可以借助一些具有特殊含義的字符改變查詢的本意，進而調(diào)用任意函數(shù)或過程。
■ 解決方案
域驗證器是一種讓asp.net開發(fā)者對域的值實施限制的機制，例如，限制用戶輸入的域值必須匹配特定的表達式。
要防止上述攻擊行為得逞，第一種辦法是禁止引號之類的特殊字符輸入，第二種辦法更嚴格，即限定輸入域的內(nèi)容必須屬于某個合法字符的集合，例如“[a-za-z0-9]*”。
2.2 篡改參數(shù)之二
◎ 避免驗證操作的漏洞
然而，僅僅為每個輸入域引入驗證器還不能防范所有通過修改參數(shù)實施的攻擊。在執(zhí)行數(shù)值范圍檢查之時，還要指定正確的數(shù)據(jù)類型。
也就是說，在使用asp.net的范圍檢查控件時，應(yīng)當根據(jù)輸入域要求的數(shù)據(jù)類型指定適當?shù)膖ype屬性，因為type的默認值是string。
<!-- 要求輸入值必須是1-9之間的數(shù)字 -->
<asp:rangevalidator ... minimumvalue="1" maximumvalue="9" .../>
■ 風(fēng)險分析
由于沒有指定type屬性值，上面的代碼將假定輸入值的類型是string，因此rangevalidator驗證器只能確保字符串由0-9之間的字符開始，“0abcd”也會被認可。
■ 解決方案
要確保輸入值確實是整數(shù)，正確的辦法是將type屬性指定為integer：
<!-- 要求輸入值必須是1-9之間的數(shù)字 -->
<asp:rangevalidator ... minimumvalue="1"
maximumvalue="9" type="integer"
2.3 信息泄漏
◎ 讓隱藏域更加安全
在asp.net應(yīng)用中，幾乎所有html頁面的__viewstate隱藏域中都可以找到有關(guān)應(yīng)用的信息。由于__viewstate是base 64編碼的，所以常常被忽略，但黑客可以方便地解碼base 64數(shù)據(jù)，用不著花什么力氣就可以得到__viewstate提供的詳細資料。
■ 風(fēng)險分析
默認情況下，__viewstate數(shù)據(jù)將包含：
⑴ 來自頁面控件的動態(tài)數(shù)據(jù)。
⑵ 開發(fā)者在viewstate中顯式保存的數(shù)據(jù)。
⑶ 上述數(shù)據(jù)的密碼簽字。
■ 解決方案
設(shè)置enableviewstatmac="true"，啟用__viewstate數(shù)據(jù)加密功能。然后，將machinekey驗證類型設(shè)置成3des，要求asp.net用triple des對稱加密算法加密viewstate數(shù)據(jù)。
2.4 sql注入式攻擊
◎ 使用sql參數(shù)api
正如前文“篡改參數(shù)”部分描述的，攻擊者可以在輸入域中插入特殊字符，改變sql查詢的本意，欺騙數(shù)據(jù)庫服務(wù)器執(zhí)行惡意的查詢。
■ 風(fēng)險分析
惡意查詢有可能獲取后端數(shù)據(jù)庫保存的任何信息，例如客戶信用卡號碼的清單。
■ 解決方案
除了前面介紹的辦法——用程序代碼確保輸入內(nèi)容只包含有效字符，另一種更加健壯的辦法是使用sql參數(shù)api（例如ado.net提供的api），讓編程環(huán)境的底層api（而不是程序員）來構(gòu)造查詢。
使用這些api時，開發(fā)者或者提供一個查詢模板，或者提供一個存儲過程，然后指定一系列的參數(shù)值，由底層api將參數(shù)值嵌入到查詢模板，然后將構(gòu)造出來的查詢提交給服務(wù)器查詢。這種辦法的好處是確保參數(shù)能夠正確地嵌入，例如，系統(tǒng)將對引號進行轉(zhuǎn)義處理，從根本上杜絕sql注入式攻擊的發(fā)生。同時，在表單中引號仍是一個允許輸入的有效字符，這也是使用底層api的一個優(yōu)點。
按照這種思路修改前文“篡改參數(shù)”部分的例子，結(jié)果如下：
sqldataadapter my_query = new sqldataadapter("select * from accounts
where acc_user= @user and [email protected]", the_connection);
sqlparameter userparam = my_query.select_command.parameters.add(
"@user",sqldb.varchar,20);
userparam.value=user;
sqlparameter passwordparam = my_query.select_command.parameters.add(
"@",sqldb.varchar,20);
passwordparam.value=password;
2.5 跨站腳本執(zhí)行
◎ 對外發(fā)的數(shù)據(jù)進行編碼
跨站腳本執(zhí)行（cross-site scripting）是指將惡意的用戶輸入嵌入到應(yīng)答（html）頁面。例如，下面的asp.net頁面雖然簡單，卻包含著一個重大的安全缺陷：
<%@ page language="vb" %>
<asp:label id="label1" runat="server">
標簽文字
</asp:label>
<form method="post" runat="server" id="form1">
請在此處輸入反饋信息<br>
<asp:textbox id="feedback" runat="server"/><br>
<asp:button id="cmdsubmit" runat="server"
text="提交!" onclick="do_feedback">
</asp:button>
</form>
<script runat="server">
sub do_feedback(sender as object, e as system.eventargs)
label1.text=feedback.text
end sub
</script>
■ 風(fēng)險分析
攻擊者可以用javascript代碼構(gòu)造一個惡意的查詢，點擊鏈接時javascript就會運行。舉例來說，腳本可以通過下面的用戶輸入來嵌入：
<script>alert(document.cookie)
</script>
■ 解決方案
在一個雙層的安全體系中，對html頁面中出現(xiàn)的外發(fā)用戶數(shù)據(jù)執(zhí)行輸入驗證和html編碼，確保瀏覽器只把用戶輸入數(shù)據(jù)當成純粹的文本，而不是其他具有特殊含義的內(nèi)容，例如html代碼、javascript腳本。
對于本例，只要加入一個htmlencode調(diào)用即可：
label1.text=server.htmlencode(feedback.text)
這樣，應(yīng)答html流將包含用戶輸入內(nèi)容的html編碼版本，也就是說，瀏覽器不會執(zhí)行用戶輸入的javascript代碼，因為根本不存在html的“<script>”標記，用戶輸入的“<”和“>”字符已經(jīng)被替換成html編碼版本，即“<”和“>”。
三、使用自動安全測試工具
由于客戶需求不斷變化，一些單位平均每三個月就要部署新的應(yīng)用，同時由于人員流動，所以對開發(fā)者快速開發(fā)健壯的、高質(zhì)量的代碼寄予很高的期望。雖然對所有開發(fā)者進行代碼安全技術(shù)的培訓(xùn)是十分必要的，但不可否認，自動檢測代碼安全漏洞的工具也有助于快速開發(fā)安全的應(yīng)用程序。
到目前為止，開發(fā)者常用的工具只能涵蓋功能測試的特定方面，例如性能測試，bug/故障點偵查。人工檢查代碼有著許多與生俱來的局限，而且要求開發(fā)者具有豐富的代碼安全經(jīng)驗，所以對于編寫高質(zhì)量的應(yīng)用來說，面向應(yīng)用程序安全及其在惡意環(huán)境下行為的工具也是十分關(guān)鍵的。
要迅速提高應(yīng)用的質(zhì)量和安全性，最有效的辦法是給開發(fā)者提供一個自動測試應(yīng)用的工具。如果在單元測試期間，工具能夠檢測出應(yīng)用的安全缺陷，并將修補建議嵌入到代碼之中，開發(fā)者就能立即找出代碼中存在的錯誤，不僅方便了現(xiàn)有錯誤的修改，而且也有助于避免將來再犯同樣的錯誤，不斷地提高代碼抗御攻擊的能力。
結(jié)束語：web服務(wù)應(yīng)用正在爆炸式增長，越來越多的應(yīng)用被推出到防火墻之外，安全性脆弱的web應(yīng)用面臨的風(fēng)險也只會有增無減。同時，為了在緊迫的時限之前快速完成應(yīng)用開發(fā)，開發(fā)者面臨的壓力也越來越大。注重編寫代碼時的安全問題，同時投入必要的資源，這樣才能為未來的web服務(wù)應(yīng)用做好準備，同時確保當前應(yīng)用的高質(zhì)量。只有從應(yīng)用的出生之日開始就采取正確的措施來確保其安全性，才能構(gòu)造出高質(zhì)量、安全的應(yīng)用。
