ASP.NET Form Authentication安全漏洞及对策
2004-10-09 16:38
453 查看
在NT-Bugtraq的邮件列表上首先报告的Security bug in .NET Forms Authentication适用于ASP.NET 1.0 (RTM, SP1, SP2, SP3)和ASP.NET 1.1 (RTM, SP1).
<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />
当Form Authentication被使用时,匿名用户在试图访问被保护的页面如http://localhost/WebApplication2/secret.aspx时会被redirect到登录网页如http://localhost/WebApplication2/login.aspx?ReturnUrl=%2fWebApplication2%2fsecret.aspx.
但是如果使用Mozilla,匿名用户可以这样未经认证就访问被保护的页面:http://localhost/WebApplication2/secret.aspx;对IE,可以使用%5C达到类似的效果:http://localhost/WebApplication2%5Csecret.aspx
微软在10月5日发布了What You Should Know About a Reported Vulnerability in Microsoft ASP.NET网页以提供针对此安全漏洞的对策。当前的对策主要是如KB887459所描述的那样在Global.asax或其Code-Behind中在Application_BeginRequest中增加检查
显然每个Application都需要有这样的检查以应对此安全漏洞。微软还会提供其他的对策,请关注What You Should Know About a Reported Vulnerability in Microsoft ASP.NET网页更新。
对ASP.NET 2.0 Beta1,并没有此漏洞而是得到404错误。
<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />
当Form Authentication被使用时,匿名用户在试图访问被保护的页面如http://localhost/WebApplication2/secret.aspx时会被redirect到登录网页如http://localhost/WebApplication2/login.aspx?ReturnUrl=%2fWebApplication2%2fsecret.aspx.
但是如果使用Mozilla,匿名用户可以这样未经认证就访问被保护的页面:http://localhost/WebApplication2/secret.aspx;对IE,可以使用%5C达到类似的效果:http://localhost/WebApplication2%5Csecret.aspx
微软在10月5日发布了What You Should Know About a Reported Vulnerability in Microsoft ASP.NET网页以提供针对此安全漏洞的对策。当前的对策主要是如KB887459所描述的那样在Global.asax或其Code-Behind中在Application_BeginRequest中增加检查
显然每个Application都需要有这样的检查以应对此安全漏洞。微软还会提供其他的对策,请关注What You Should Know About a Reported Vulnerability in Microsoft ASP.NET网页更新。
对ASP.NET 2.0 Beta1,并没有此漏洞而是得到404错误。
相关文章推荐
- 在ASP.NET 2.0中操作数据之十二:在GridView控件中使用TemplateField
- Asp.Net 重定向必须要知道的一些资料
- 用 Asp.Net 建立一个在线 RSS 新闻聚合器的方法
- 用Ole Automation实现Delphi和AutoCad之间的数据交换
- 我的应聘总结!
- Microsoft Visual Studio .NET 2003制作安装程序
- 如何用VB获得机器的MAC地址
- Struts tags (2) ----Bean(1)
- ofbiz(open for business),银弹?人狼?
- 一个画图类,类似ms_chart的线图,适用于科学仿真数据分析(二)
- 一个画图类,类似ms_chart的线图,适用于科学仿真数据分析(一)
- 学ASP.NET学什么?
- 使用 .NET 框架将现有代码作为 Web 服务提供
- 移植到 Windows 2000 和 COM+
- 用VB和MTS开发多层数据库应用系统
- 用ASP备份数据库
- 微软的常用资源列表
- TreeView学习笔记
- 如何加载数据库驱动到JBuilder的驱动列表
- jNs 在 ASP.NET MVC 项目中的应用