從安全的角度上講，相對于自身的前一版本，asp.net已經(jīng)表現(xiàn)出很大的改進(jìn)。使用這一新的開發(fā)平臺，程序員可以很容易地設(shè)計用戶輸入驗證，同時，這一平臺增加了很多特性，比如鎖住程序功能等。除此之外，.net運行時間能夠支持垃圾收集和安全字符串的功能，這些都能預(yù)防外部的各種攻擊。一個合適安全的.net程序不僅能夠阻止外部攻擊，并且能夠最大程度地減少各種形式的垃圾。

但是，不管asp.net具有多么完善的功能，在安全問題上它也不是完美無缺。安全分析專家h.d. moore，也就是四月份的cansecwest研討會上的asp.net部分的three fairly major security holes(三個主要安全突破口)的作者，他說，這些強(qiáng)大的功能特性將會毫無價值，除非開發(fā)人員經(jīng)常使用它們。moore建議使用以下簡單的安全技巧，以保護(hù)你的asp.net程序。

使用一些簡單的設(shè)置控制

作為一種通用規(guī)則，請不要隨便將任何信息放置在網(wǎng)絡(luò)，因為這些信息將成為黑客攻擊的線索。除非是一些與isapi處理程序相映射的文件擴(kuò)展名，比如文件擴(kuò)展名為：.aspx， .cs，及.vb。相反，以.txt, .csv, 及.xml的文件將不會自我保護(hù)，任何訪問網(wǎng)站的人都可以訪問這些文件。

在發(fā)布任何一個新的程序之前，一定要確認(rèn)將支持跟蹤和調(diào)試的功能去掉，并注意將web.config文件中的customerrors標(biāo)簽不要設(shè)置為“off”。這些安全措施有助于防止信息暴露到程序外面，特別是當(dāng)程序發(fā)生錯誤的時候，這些信息包括：文件名，路徑，以及可能的源代碼等。

同時，在發(fā)布新程序之前，一定要清除程序的相關(guān)路徑。請確認(rèn)去掉visual studio項目和程序路徑中的臨時文件。與isapi訪問過濾器不相映射的.sln和.slo文件將有可能從因特網(wǎng)上被看到，因為有些人可以猜想到程序的名稱，這樣就有可能導(dǎo)致巨大的攻擊。

避免使用cookieless會議管理

moore在評論中指出，asp.net的其中一個顯著缺點是在程序中使用了"cookie-less session management"(cookie-less會議管理)方案而出現(xiàn)的"hijack"(搶劫)攻擊。這一方案將會議標(biāo)識符嵌入到每一個url，讓服務(wù)器能夠識別每一個客戶。這樣就有可能出現(xiàn)問題：當(dāng)使用這一功能的服務(wù)器收到一個不認(rèn)識但合法的會議標(biāo)識符，它就會生成一個可以參加的會議，這樣一個“聰明的”黑客就會充分利用這一破綻，冒充合法用戶，合法會議標(biāo)識符，就可以訪問系統(tǒng)內(nèi)容。

這是一個陰險的攻擊，moore說到，因為url不會覺得用戶可疑，只有會議id是可以偽造的。他建議開發(fā)人員盡可能地避免使用cookieless會議管理，直到微軟把這一缺陷去掉。

“躲在砂盒(sandbox)里”

有時候.net運行時間管理環(huán)境也會遭到如緩沖溢出的攻擊，moore指出，這是由于諸如使用stateserver類而導(dǎo)致的問題，隨意調(diào)用這些管理不良的類有時候會為黑客提供攻擊的線索。

moore說道，開發(fā)人員應(yīng)該盡可能地只限于使用.net管理"sandbox" api函數(shù)，因為調(diào)用任何管理不良的類都有存在很大風(fēng)險。然而，有時候你也可以使用一些特別的功能，如下面所示的技巧。

驗證，驗證，驗證

盡管推出很多優(yōu)異的功能，一些傳統(tǒng)的特性還是深受應(yīng)用，比如用戶輸入的驗證。開發(fā)人員應(yīng)該充分的利用強(qiáng)大的validator(驗證器)功能。這一功能可以從system.web.ui.validator擴(kuò)展而來。如果你從未聽說過.net's validators，你自己可以閱讀這方面的內(nèi)容。

使用數(shù)據(jù)匹配功能

當(dāng)在一個數(shù)據(jù)庫程序中使用數(shù)字域時，在使用變量之前一定要確定將變量與合適的數(shù)據(jù)類型匹配起來。這樣做可以預(yù)防產(chǎn)生sql內(nèi)部攻擊，特別是當(dāng)用戶將一些非數(shù)字變量輸入數(shù)據(jù)庫時產(chǎn)生的異常。更重要的是，這樣做可以生成警報，或?qū)懭肴罩?，這很象是一個小型的非法闖入偵查系統(tǒng)。

更進(jìn)一步的措施

如果你要在操作系統(tǒng)中安裝一個網(wǎng)絡(luò)程序，你最好充分利用web.config文件中的設(shè)置來運行程序，這樣才能確保不同的用戶驗證。除此之外，你可以利用網(wǎng)絡(luò)服務(wù)管理器來設(shè)置程序的信任級別，這樣可以提高程序的安全性。