在ASP.NET中防止注入攻击

#p#副标题#e#
void btnSubmit_Click(Object sender, EventArgs e)


{

//
If ValidateRequest is false, then ‘hello’ is displayed

//
If ValidateRequest is true, then ASP.NET returns an exception

Response.Write(txtString.Text);
}
＜/script＞
＜body＞
＜form id=”form1″ runat=”server”＞
＜asp:TextBox id=”txtString” runat=”server”
Text=”＜script＞alert(‘hello’);＜/script＞” /＞
＜asp:Button id=”btnSubmit” runat=”server” OnClick=”btnSubmit_Click”
Text=”Submit” /＞
＜/form＞
＜/body＞
＜/html＞

　　当你运行页面的时候,”Hello”被显示在一个消息框中,因为在txtString中的脚本被执行并被客户端的浏览器处理.

　　如果你设置ValidateRequest = “true” 或者移除ValidateRequest页面属性,ASP.NET请求验证会拒绝脚本输入并抛出一个象下面这样的错误信息.
　　A potentially dangerous Request.Form value was detected from the client (txtString=”＜script＞alert(‘hello“).

　　注意 不要仅仅依赖请求验证功能,而只是把它作为自定验证的辅导手段.
第二步.约束输入

　　要约束输入通过如下方法 :

1. 加入使用using前缀的语句导入System.Text.RegularExpressions命名空间.
   
2. 确认正则表达式包含”^”和”$”(字串开始处,字串结束处).
   
3. 调用Regex类的IsMatch方法,下面是代码示例.

#p#副标题#e#


{

//
Name does not match expression

}

　　如果你不能把经常使用的正则表达式缓存起来,你应该使用IsMatch静态方法来改进性能防止不必要的对象创建过程.

　　验证数字字段

　　在大多数情况下,应该验证数字的输入和范围.使用服务器控件验证数字字段的输入和范围,使用RangeValidator控件.RangeValidator支持货币,日期,整型,双精度和字符串类型的数据.

　　使用RangeValidator控件需要设置需要验证的控件名(ControlToValidate),类型（Type),最小值(MinimumValue),最大值(MaximumValue),和出错提示信息（ErrorMessage)属性．下面是代码示例 :

＜asp:RangeValidator
ID=”RangeValidator1″
Runat=”server”
ErrorMessage=”Invalid range. Number must be between 0 and 255.”
ControlToValidate=”rangeInput”
MaximumValue=”255″
MinimumValue=”0″ Type=”Integer” /＞

　　如果你没使用服务器控件，你可以将输入值转化成整型再进行验证来完成对数字的范围验证．例如，要验证一个整数是否合法，使用ASP.NET2.0提供的新方法Int32.TryParse将输入值转化为System.Int32的变量类型.这个方法会在转换失败时返回false.

Int32 i;
if (Int32.TryParse(txtInput.Text, out i) == false)


{

//
Conversion failed

}

　　如果你使用早先的ASP.NET版本,可以在try/catch语句块中 使用Int32.Parse或者Convert.ToInt32方法并可以在转换失败时处理抛出的FormatException错误.

　　下面的示例代码演示了如何验证来自HTML文本框的整数类型的类型和范围.

＜%@ Page Language=”C#” %＞
＜script runat=”server”＞
void Page_Load(object sender, EventArgs e)


{
if (Request.RequestType == “POST”)


{
int i;
if (Int32.TryParse(Request.F
orm[“integerTxt”], out i) == true)

{

//
TryParse returns true if the conversion succeeds

if ((0 ＜= i && i ＜= 255) == true)


{
Response.Write(“Input data is valid.”);
}
else
Response.Write(“Input data is out of range”);
}
else
Response.Write(“Input data is not an integer”);
}
}

＜/script＞

＜html＞
＜body＞
＜form id=”form1″ action=”NumericInput.aspx” method=”post”＞
＜div＞
Enter an integer between 0 and 255:
＜input name=”integerTxt” type=”text” /＞
＜input name=”Submit” type=”submit” value=”submit” /＞
＜/div＞
＜/form＞
＜/body＞
＜/html＞
验证日期字段

　　你需要验证日期字段是否是正确的类型.在大多数情况下,你也需要验证它们的范围,如验证它们是否是将来或是过去的时间.如果你使用服务器控件来捕获一个日期输入值,同时你希望这个值在一个特定的范围内,你可以使用范围验证控件(RangeValidator)并设置它允许的类型为Date类型.这个控件允许你指定一个特殊的时间段通过设置起始的时刻.如果你需要以今天的时间作为参照来验证,比如验证一个时间是在将来还是过去,你可以使用CustomValidator验证控件。

　　使用CustomValidator控件来验证一个日期需要设置ControlToValidate和ErrorMessage属性,在OnServerValidate事件中指定一个自定义的验证逻辑方法.下面是示例代码.

＜%@ Page Language=”C#” %＞
＜script runat=”server”＞
void ValidateDateInFuture(object source, ServerValidateEventArgs args)


{
DateTime dt;


//
Check for valid date and that the date is in the future

if ((DateTime.TryParse(args.Value, out dt) == false) ||
(dt ＜= DateTime.Today))


{
args.IsValid = false;
}
}

＜/script＞

＜html＞
＜body＞
＜form id=”form1″ runat=”server”＞
＜div＞
＜asp:Label ID=”Label1″ Runat=”server”
Text=”Future Date:”＞＜/asp:Label＞
＜asp:TextBox ID=”futureDatetxt” Runat=”server”＞＜/asp:TextBox＞

#p#副标题#e#
＜asp:CustomValidator
ID=”CustomValidator1″ Runat=”server”
ErrorMessage=”Invalid date. Enter a date in the future.”
ControlToValidate=”futureDatetxt”
OnServerValidate=”ValidateDateInFuture”＞
＜/asp:CustomValidator＞
＜br /＞
＜asp:Button ID=”submitBtn” Runat=”server” Text=”Submit” /＞
＜/div＞
＜/form＞
＜/body＞
＜/html＞

　　注意 上面的代码使用的方法DateTime.TryParse是ASP.NET2.0提供的新方法.

　　过滤自由文本字段

　　过滤输入，你需要使不安全的输入不被当作代码来对待.例如,你的程序使用户不能读取共享数据库内的数据,你首先需要过滤数据使它们在输出的时候没有危险.使用HttpUtility.HtmlEncode方法先对输入值进行编码.

　　允许有限的输入HTML代码

1. 在@ Page页面元素内加以下字段ValidateRequest = “false”禁用ASP.NET请求验证
   
2. 使用HtmlEncode方法对输入的字符串进行编码
   
3. 使用StringBuilder对象,调用它的Replace方法对字符中的HTML进行替换

#p#副标题#e#

try


{
string mappedPath = Request.MapPath( inputPath.Text,
Request.ApplicationPath, false);
}
catch (HttpException)


{

//
Cross-application mapping attempted

}

　　最终的false参数将会防止跨应用程序的映射.这意味着用户不允许使用＂．．＂这样的语法提供一个不在你所指定的虚拟目录里面的非法路径．

　　如果你使用服务器控件，你可以使用Control.MapPathSecure方法获取虚拟目录对应的实际目录地址．

　　Control.MapPathSecure方法在访问一个非授权的文件时抛出一个HttpException的异常．需要更多信息，请参看.NET Framework文档中的Control.MapPathSecure方法介绍．

　　使用代码访问安全机制限制文件输入输出

　　管理员可以通过设置程序使它的可信度为＂中＂来限制程序向它所在的虚拟目录读写文件的能力．.NET代码安全机制可以保证程序在它所在的虚拟目录之外没有任何的文件访问权利.

　　要设置一个应用程序的信任度为”中”,可以在Web.config或者Machine.config文件中加入:

＜trust level = “Medium” /＞

　　验证URL

　　你可以用象下面的这样的正则表达式来对URL进行特征匹配.

^(?:http|https|ftp)://[a-zA-Z0-9\.\-]+(?:\:\d{1,5})?(?:[A-Za-z0-9\.\;\:\@\&\=\+\$\,\?/]|%u[0-9A-Fa-f]{4}|%[0-9A-Fa-f]{2})*$

　　这只是约束输入的格式,不验证它是否在应用程序可接受的范围内.你应该验证它是否在你的程序的上下文中有效.例如,您的应用程序是否跟你指定的服务器进行通讯?

　　第三步.对不安全代码进行编码

　　如果您输入文本输入到一个网页,使用HttpUtility.HtmlEncode方法对它进行编码.如果这些文来自于用户输入,数据库或者一个本地文件,请确保总是这样做.

　　同样地,如果您书写的URL里面包含不安全的字符因为他们来自于用户输入内容,数据库等,使用HttpUtility.UrlEncode方法进行编码.

　　为了防止存储数据前编码可能会使存储的数据受到破坏,请确保在将它们显示出来时尽可能后面的步骤将它们编码.

　　使用HtmlEncode对不安全的输出编码

　　HtmlEncode对HTML标记置换成特殊含文的字符串来表示这些符号而又让浏览器不把它们当作HTML标记来解释处理.比如.”＜”被置换成< ” (冒号) 被替换成" 这些标记被显示成无害的文本.

＜%@ Page Language=”C#” ValidateRequest=”false” %＞

＜script runat=”server”＞
void submitBtn_Click(object sender, EventArgs e)
{
Response.Write(HttpUtility.HtmlEncode(inputTxt.Text));
}
＜/script＞

＜html xmlns=”http://www.w3.org/1999/xhtml” ＞
＜body＞
＜form id=”form1″ runat=”server”＞
＜div＞
＜asp:TextBox ID=”inputTxt” Runat=”server”
TextMode=”MultiLine” Width=”382px” Height=”152px”＞
＜/asp:TextBox＞
＜asp:Button ID=”submitBtn” Runat=”server” Text=”Submit”
OnClick=”submitBtn_Click” /＞
＜/div＞
＜/form＞
＜/body＞
＜/html＞

　　查看HTML编码的效果,请建立一个虚拟目录将前述的文件放进去,运行此页面,在文本框中输入一些HTML代码,点击提交按钮.例如,下面的输入被当作普通文本来显示.

Run script and say hello ＜script＞alert(‘hello’);＜/script＞

　　如果你移除调用HtmlEncode方法,简单地输入文本的内容,浏览器会执行代码并弹出一个提示框.

　　使用UrlEncode 方法对不安全的URL地址进行编码

　　如果你需要获取有用户输入部分的URL参数,这可能带来一定的安全风险,使用HttpUtility.UrlEncode方法对这个地址字符串编码.

HttpUtility.UrlEncode(urlString);

　　第四步.对SQL语句使用命令参数方式.

　　为了避免注入式攻击请使用SQL的参数方式.参数(Parameters)集合提供类型检测和长度检测.如果你使用参数集合,输入的内容将被当作文本值来对待,数据库不会执行包含在其中的代码.使用参数集方式的一个额外的好处是,你可以严格限定输入的类型和长度.如果输入型超出范围将会触发异常.

#p#副标题#e#

　　当调用一个存储过程时使用参数集

　　下面的代码片段演示了在调用存储过程时使用参数集的例子.

SqlDataAdapter myCommand = new SqlDataAdapter(“AuthorLogin”,
myConnection);
myCommand.SelectCommand.CommandType = CommandType.StoredProcedure;
SqlParameter parm = myCommand.SelectCommand.Parameters.Add(
“@LoginId”, SqlDbType.VarChar, 11);
parm.Value = Login.Text;

　　在创建你自己的SQL语句时使用参数集.

　　如果你不能使用存储过程,你仍然可以使用参数集,请看下面的代码.

SqlDataAdapter myCommand = new SqlDataAdapter(
“SELECT au_lname, au_fname FROM Authors WHERE au_id = @au_id”, myConnection);
SQLParameter parm = myCommand.SelectCommand.Parameters.Add(
“@au_id” ,SqlDbType.VarChar, 11);
Parm.Value = Login.Text;

　　如果需要获取更多的如果防止SQL注入攻击的信息请参看How to : Protect From SQL Injection in ASP.NET

　　第五步.验证ASP.NET的错误信息没有被返回到客户端

　　你可以使用＜customErrors＞元素来配置客户端,一般的错误信息应该被程序错误检测机制返回到客户端.

　　请确认已经更改web.config中的mode属性为”remoteOnly”,下面是示例.

＜customErrors mode = “remoteOnly”＞

　　安在装了一个ASP.NET 的程序之后，你可以按照如下设定指定客户端的错误信息页面。

＜customErrors mode = “on” defaultRedirect = “YourErrorPage.htm”＞