ValidateRequest

跨站点脚本 (XSS) 对于很多经验丰富的 Web 研发人员来说是老朋友了，他在 1999 年左右就已出现了。简单地说，XSS 利用代码中的漏洞来将黑客的可执行代码引入另一个用户的浏览器会话中。假如被执行，注入的代码能够执行多种不同的操作 ? 获取 Cookie 并将一个副本上载到黑客控制的 Web 站点，监控用户的 Web 会话并转发数据，修改被黑的页的行为和外观以使其提供错误的信息，甚至使自己变为持续性的，这样用户下一次返回该页时，欺诈代码会再次运行。请在 TechNet 文章 Cross-site Scripting Overview 中周详阅读有关 XSS 攻击的基础知识。

代码中的哪些漏洞导致 XSS 攻击成为可能？

XSS 利用的是动态生成 HTML 页、但并不验证回显到页的输入的 Web 应用程式。这里的输入 是指查询字符串、Cookie 和表单域的内容。假如这些内容在未经适当性能检查的情况下出现在网络上，就存在黑客对其进行操作以在客户端浏览器中执行恶意脚本的风险。（前面提到的一次单击攻击其实是 XSS 的一种新近变种。）典型的 XSS 攻击会导致不抱怀疑的用户点击一条诱惑性链接，而该链接中嵌入了转义的脚本代码。欺诈代码将被发送到一个存在漏洞且会毫不怀疑地输出他的页。以下是可能发生的情况的一个示例：

Click to claim your prize 

用户单击一个看上去明显安全的链接，最终导致将一些脚本代码传递到存在漏洞的页，这些代码首先获取用户电脑上的任何 Cookie，然后将他们发送到黑客的 Web 站点。

请务必注意，XSS 不是个特定于供给商的问题，因此并不一定会利用 Internet Explorer 中的漏洞。他影响现在市场上的任何 Web 服务器和浏览器。更应注意的是，没有哪一个修补程式能够修复这一问题。您完万能够保护自己的页免受 XSS 攻击，方法是应用特定的措施和合理的编码实践。此外，请注意，攻击者并无需用户单击链接就能够发起攻击。

要防御 XSS，您必须从根本上确定哪些输入是有效的，然后拒绝任何其他输入。您能够在一本书中读到抵御 XSS 攻击的周详检查表，该书在 Microsoft 属于必读范围 ? Writing Secure Code，作者是 Michael Howard 和 David LeBlanc。特别地，我建议您仔细阅读第 13 章。

阻止阴险的 XSS 攻击的主要方法是向您的输入（任何类型的输入数据）添加一个设计合理、有效的验证层。例如，某些情况下即使是原本无害的颜色（RGB 三色）也会将不受控制的脚本直接带入页中。

在 ASP.NET 1.1 中，@Page 指令上的 ValidateRequest 属性被打开后，将检查以确定用户没有在查询字符串、Cookie 或表单域中发送有潜在危险性的 HTML 标记。假如检测到这种情况，将引发异常并中止该请求。该属性默认情况下是打开的；您无需进行任何操作就能够得到保护。假如您想允许 HTML 标记通过，必须主动禁用该属性。

<%@ Page ValidateRequest="false" %> 

ValidateRequest不是 万能的药方，无法替代有效的验证层。请阅读此处以获取大量有关该功能的基础原理的宝贵信息。他基本上通过应用一个正则表达式来捕获一些可能有害的序列。

注 ValidateRequest 功能原本是有缺陷的，因此您需要应用一个修补程式他才能按预期工作。这样的重要信息常常不为人们所注意。奇怪的是，我发现我的其中一台电脑仍受该缺陷的影响。试试看！

没有任何关闭 ValidateRequest 的理由。您能够禁用他，但必须有很好的理由；其中一条这样的理由可能是用户需要能够将某些 HTML 张贴到站点，以便得到更好的格式配置选项。这种情况下，您应当限制所允许的 HTML 标记（

、、、
、
、
）的数目，并编写一个正则表达式，以确保不会允许或接受任何其他内容。

以下是一些有助于防止 ASP.NET 遭受 XSS 攻击的其他提示： 



•

使用 HttpUtility.HtmlEncode 将危险的符号转换为他们的 HTML 表示形式。 

•

使用双引号而不是单引号，这是因为 HTML 编码仅转义双引号。 

•

强制一个代码页以限制能够使用的字符数。 
总之，使用但是不要完全信任 ValidateRequest 属性，不要太过懒惰。花些时间，从根本上理解 XSS 这样的安全威胁，并规划以一个关键点为中央的防御策略：任何的用户输入都是危险的。 

数据库角度
SQL 注入是另一种广为人知的攻击类型，他利用的是使用未筛选的用户输入来形成数据库命令的应用程式。假如应用程式兴高采烈地使用用户键入表单域中的内容来创建 SQL 命令字符串，就会将您暴露在这一风险下：恶意用户只需访问该页并输入欺诈参数，就能够修改查询的性质。您能够在此处了解更多有关 SQL 注入的信息。 
要阻止 SQL 注入攻击，有许多方法。以下介绍最常见的技巧。 



•

确保用户输入属于适当的类型，并遵循预期的模式（邮政编码、身份证号，电子邮件等）。假如预期来自文本框的数字，请在用户输入无法转换为数字的内容时阻止该请求。 

•

使用参数化的查询，使用存储过程更好。 

•

使用 SQL Server 权限来限制各个用户能够对数据库执行的操作。例如，您可能需要禁用 xp_cmdshell 或将该操作的权限仅限于管理员。 
假如使用存储过程，能够显著降低发生这种攻击的可能性。实际上，有了存储过程，您就无需动态地撰写 SQL 字符串。此外，SQL Server 中将验证任何参数是否具备指定的类型。虽然光是这些并不是百分百安全的技巧，但是加上验证的话，将足以提高安全性。 
更为重要的是，应确保只有经过授权的用户才能够执行可能具备严重后果的操作，如删除表。这需要认真仔细地设计应用程式的中间层。好的技巧（不光是为了安全性）应把焦点集中在角色上。应当将用户分组为各种角色，并为各个角色定义一个包含一组最少的权限的帐户。 
几周前，Wintellect Web 站点受到一种很复杂的 SQL 注入的攻击。那位黑客试图创建并启动一个 FTP 脚本来下载一个可能是恶意的可执行程式。幸运的是，这次攻击失败了。或，其实是强用户验证，使用存储过程和使用 SQL Server 权限，导致了攻击未能成功？
总而言之，您应当遵循这些指南，以避免被注入有害的 SQL 代码： 



•

使用尽可能少的权限运行，永远不以“sa”身份执行代码。 

•

将访问限制给内置的存储过程。 

•

最好选择使用 SQL 参数化查询。 

•

不通过字符串串连来生成语句，不回显数据库错误。 

隐藏域 
在传统的 ASP 中，隐藏域是唯一一种在请求之间保持数据的方法。您需要在下一个请求中检索的任何数据都被打包到隐藏的  域中，并执行回程。假如有人在客户端上修改了该域中存储的值，会怎样？只要文本是明文的，服务器端环境就无法测知这一情况。ASP.NET 中，页和各个控件的 ViewState 属性有两个用途。一方面，ViewState 是跨请求保持状态的方法；另一方面，ViewState 使您能够在受保护的、不易篡改的隐藏域中存储自定义值。 
如图 2 所示，视图状态被附加了一个哈希值，对于每条请求，都会检查该值，以检测是否发生了篡改。除少数几种情况外，没有任何理由要在 ASP.NET 中使用隐藏域。视图状态能够以安全得多的方式实现相同的功能。前面开门见山地讲到过，在明文的隐藏域中存储敏感的值（如价格或信用卡周详信息），相当于对黑客张开大门；视图状态甚至能够使这种不好的做法比以前更为安全，因为视图状态具备数据保护机制。但是，请牢记，视图状态能够防止篡改，但是并不能确保保密性，除非使用加密 ? 存储在视图状态中的信用卡周详信息无论怎样都有风险。
在 ASP.NET 中，哪些情况下使用隐藏域是可接受的？当您生成需要将数据发送回服务器的自定义控件时。例如，假定您要创建一个支持重派列顺序的新 DataGrid 控件。您需要在回发中将新的顺序发送回服务器。假如不将这些信息存储到隐藏域中，又能够存储到哪里？ 
假如隐藏域为读/写域，即预期客户端会写入他，没什么办法能够完全制止黑客攻击。您能够尝试哈希或加密该文本，但这并不能让您合理地确信不会遭受黑客攻击。此时，最好的防御就是让隐藏域包含惰性和无害的信息。
此外，应当注意 ASP.NET 公开了一个鲜为人知的类，可用于编码和哈希任何序列化的对象.该类为 LosFormatter，ViewState 实现用于创建回程到客户端的编码文本正是同一个类。
private string EncodeText(string text) {
  StringWriter writer = new StringWriter();
  LosFormatter formatter = new LosFormatter();
  formatter.Serialize(writer, text);
  return writer.ToString();
}

前面的代码片段演示了怎样使用 LosFormatter 来创建类似视图状态的内容，对其编码并进行哈希。

电子邮件和垃圾邮件
在本文结尾，请让我指出，最常见的攻击中至少有两种（经典的 XSS 和一次单击）通常是通过诱使不抱怀疑的受害者单击诱惑性和欺骗性的链接来发起的。很多时候我们都能够在自己的收件箱中发现这样的链接，虽然有反垃圾邮件过滤器。几美元就能够买到大量电子邮件地址。用来生成这种列表的其中一种主要的技巧就是扫描 Web 站点上的公共页，查找并获取任何看上去像电子邮件的内容。 
假如页上显示了电子邮件地址，很可能或早或晚这个地址都会被自动 Web 程式捕获。真的吗？当然，这要看该电子邮件是怎样显示的。假如硬编码他，您输定了。假如采用其他表示形式（如 dino-at-microsoft-dot-com），是否能够骗过自动 Web 程式不太清楚，但能让任何阅读您的页并想建立合法联系的人光火，倒是一定的。 
总体说来，您应当确定一种方法，将电子邮件动态地生成为 mailto 链接。Marco Bellinaso 编写的一个免费组件恰好能够完成这项工作。您能够从 DotNet2TheMax Web 站点获得该组件的全部源代码。 

小结
有人怀疑 Web 可能是任何运行时环境中敌意最盛的吗？根源在于谁都能够访问 Web 站点，并尝试向他传递好的或坏的数据。但是，创建不接受用户输入的 Web 应用程式，又有什么意义呢？ 
我们还是直面现实吧：无论您的防火墙怎样强大，无论您怎样频繁地应用可用的修补程式，只要您运行的 Web 应用程式先天包含缺陷，攻击者迟早都能够通过主通道，也就是端口 80，直接进入您的系统的最核心部分。 
ASP.NET 应用程式和其他 Web 应用程式相较，既不更易受攻击，也不更安全。安全性和漏洞同样根植于编码实践、实际经验和团队合作。假如网络不安全，那么任何应用程式都不安全；类似地，无论网络怎样安全，管理怎样精良，假如应用程式存在缺陷，攻击者总是能够得手。
ASP.NET 的好处是提供了一些好的工具，只需少量工作，就能够将安全标准提升到能够接受的级别。当然，这并不是 足够高的级别。不应纯粹以来 ASP.NET 的内置解决方案，同样也不应忽视他们。尽可能多地了解常见的攻击。 
本文提供了内置功能的带注释的列表，连同一些有关攻击和防御的背景知识。用来检测传出的攻击的技巧是另一回事，可能需要一篇专门的文章来进行介绍。