目的:

對輸入的字串長度,范圍,格式和類型進行約束.
在開發asp.net程序時使用請求驗證防止注入攻擊.
使用asp.net驗證控件進行輸入驗證.
對不安全的輸出編碼.
使用命令參數集模式防止注入攻擊.
防止錯誤的詳細信息被返回到客戶端.

　　概述 :

　　你應該在程序中驗證所有的不信任輸入.你應該假定所有的用戶輸入都是非法的.用戶可以在應用程序中提供表單字段,查詢字串,客戶端cookies和瀏覽器環境值比如用戶代理字串和ip地址等.

　　弱輸入校驗通常為注入攻擊提供了機會.下面是常見的利用弱輸入校驗或無輸入校驗進行攻擊的手段.

sql 注入(sql injection). 如果你使用用戶的輸入值來動態構造sql語句,那么數據庫可能執行攻擊性的有害sql語句.

跨站腳本(cross-site scripting). 跨站腳本攻擊利用網頁驗證漏洞注入客戶端腳本.接下來這些代碼被發送到受信任的客戶端電腦上并被瀏覽器解釋執行.因為這些代碼來自受信任的站點,所以瀏覽器無法得知這些代碼是有害的.

未授權的文件訪問(unauthorized file access).如果你的代碼從調用者那里接受輸入,惡意用戶可以看到你對文件的操作過程從而訪問那些受保護的文件或者使用你的代碼注入非法數據.

　　注意 : 注入攻擊可通過使用http或https secure socket layer(ssl) 連接. 傳輸加密技術不能用來防御攻擊.

　　通常的輸入驗證方法總結如下.你應在所有的需要通過網絡輸入的地方進行驗證,比如文本框和其它表單輸入字段, 查詢字串參數,cookies,服務器端變量和網絡方法參數.注意,過濾策略應該是只允許正確的輸入然后拒絕非法輸入.這是因為定義正確的輸入策略比過濾所有的非法輸入要容易,那通常很難包括所有的非法輸入.

　　通入如下幾個方面驗證輸入內容:

約束.驗證是否輸入的是正確的類型,字符長度,格式和范圍.可以應用asp.net驗證控件來約束服務器控件輸入.約束其它來源的輸入可以使用正則表達式和自定義的驗證規則.

拒絕.檢測已知的有害數據輸入并拒絕.

過濾.有時候你會希望過濾掉用戶輸入中那些有安全隱患的那些部分.例如,你的程序允許自由格式的輸入,比如備注字段,你會允許特定的安全html標記象＜b＞,＜i＞及其它的html標記.

　　步驟提要

　　通過以下步驟保護你的asp.net程序不受注入式攻擊危害 :

第一步.使用asp.net請求驗證.
第二步.約束輸入.
第三步.對不安全的輸出進行編碼.
第四步.對sql查詢語句使用命令參數.
第五步.驗證asp.net的出錯信息沒有泄漏至客戶端.

　　下面的章節將對這些步驟進行詳細討論.

　　第一步.使用asp.net請求驗證.

　　默認地,asp.net 1.1和2.0請求驗證會對送至服務器的數據檢測是否含有html標記元素和保留字符.這可以防止用戶向程序中輸入腳本.請求驗證會對照一個有潛在威脅的字符串列表進行匹配,如果發現異常它會拋出一個httprequestvalidationexception類型的異常.

　　你可以在你的web.config文件中的＜pages＞元素中加入validaterequest="false" 或在單獨的頁面的@pages元素里面設置validaterequest = "false"來禁用此項功能.

　　如果你想禁用請求驗證功能,你可以僅在需要的頁面禁用它.比如你在程序頁面上包含一個可接受html格式輸入的字段.

　　確定在machine.config文件中請求驗證功能被打開.
　
　　請求驗證功能在asp.net中被默認啟用.你可以在machine.config.comments文件中看到如下的默認設置.

＜pages validaterequest = "true" ... /＞

　　確認你沒有修改你的服務器的machine.config和應用程序的web.config文件里的默認設置.

　　測試asp.net請求驗證

　　你可以測試請求驗證的作用.創建一個asp.net頁面通過設置validaterequest = "fasle"禁用請求驗證,代碼如下 :

＜%@ language="c#" validaterequest="false" %＞
＜html＞
 ＜script runat="server"＞
 void btnsubmit_click(object sender, eventargs e)
 

{
 
//
if validaterequest is false, then 'hello' is displayed
 
//
if validaterequest is true, then asp.net returns an exception

 response.write(txtstring.text);
 }
 ＜/script＞
 ＜body＞
 ＜form id="form1" runat="server"＞
 ＜asp:textbox id="txtstring" runat="server"
 text="＜script＞alert('hello');＜/script＞" /＞
 ＜asp:button id="btnsubmit" runat="server" onclick="btnsubmit_click"
 text="submit" /＞
 ＜/form＞
 ＜/body＞
＜/html＞

　　當你運行頁面的時候,"hello"被顯示在一個消息框中,因為在txtstring中的腳本被執行并被客戶端的瀏覽器處理.

　　如果你設置validaterequest = "true" 或者移除validaterequest頁面屬性,asp.net請求驗證會拒絕腳本輸入并拋出一個象下面這樣的錯誤信息.
　　a potentially dangerous request.form value was detected from the client (txtstring="＜script＞alert('hello").

　　注意 不要僅僅依賴請求驗證功能,而只是把它作為自定驗證的輔導手段.
　　第二步.約束輸入

　　要約束輸入通過如下方法 :

使用服務器端的輸入驗證.不要依賴于客戶端的驗證,因為它很容易就被繞過.使用客戶端驗證是為了減少頁面返住次數提升性能,改進用戶體驗.
驗證輸入的長度,范圍,格式和類型.確保輸入內容是符合要求的正確內容.
使用強數據類型.為數字類型的輸入指定如integer或者double的類型.為字符輸入指定為string數據類型.為日期時間輸入指定datetime類型.

　　要驗證表單里面的html控件輸入字段,在服務器端代碼中進行驗證,使用regex正則表達式類型可以幫助約束字符輸入.下面的章節介紹如何約束普通輸入類型的變量.

　　驗證字符串字段

要驗證字符串字段,如姓名,地址,傳真,生份證號碼,使用正則表達式.
約束可接受的字符范圍.
啟動格式規則.例如,基于模式的字段如稅號,郵編,郵遞區號需要規定的字符模式.
驗證長度.

　　使用正則表達式驗證控件(regularexpresionvalidator)

　　要使用則表達式驗證控件需要設置待驗證的控件名(controltovalidate),驗證表達式(validationexpression)和出錯提示(errormessage).相關的屬性設置請看下面的代碼示例.

＜form id="webform" method="post" runat="server"＞
 ＜asp:textbox id="txtname" runat="server"＞＜/asp:textbox＞
 ＜asp:regularexpressionvalidator id="nameregex" runat="server"
 controltovalidate="txtname"
 validationexpression="^[a-za-z'./s]{1,40}$"
 errormessage="invalid name"＞
 ＜/asp:regularexpressionvalidator＞
＜/form＞

　　在上面的代碼中,正則表達式被用于限定輸入的名字為字母(允許大寫字母和小寫字母),空格,單名省略號象o'dell和句點.此外,輸入的字符長度被限定在40個字符.

　　注意 正則表達式驗證控件(regularexpressionvalidator)會自動加入脫字符(^)和美元符號($)作為開始和結束的分隔符.如果你沒有在自定義的表達式中加入他們那么最好加入.加入分隔符只是為了讓你的表達式得到想要的那部分數據內容.

　　使用正則表達式類(regex class)

　　如果你沒有使用服務器端的控件(意味著你不能使用驗證控件),或者你需要其它的輸入字段源而非表單字段(比如查詢字串參數和cookies),那么你可以使用正則表達式類(regex class).

　　使用正則表達式類

加入使用using前綴的語句導入system.text.regularexpressions命名空間.
確認正則表達式包含"^"和"$"(字串開始處,字串結束處).
調用regex類的ismatch方法,下面是代碼示例.
//
instance method:

regex reg = new regex(@"^[a-za-z'./s]{1,40}$");
response.write(reg.ismatch(txtname.text));
//
static method:

if (!regex.ismatch(txtname.text,@"^[a-za-z'./s]{1,40}$"))

{
 
//
name does not match expression

}

　　如果你不能把經常使用的正則表達式緩存起來,你應該使用ismatch靜態方法來改進性能防止不必要的對象創建過程.

　　驗證數字字段

　　在大多數情況下,應該驗證數字的輸入和范圍.使用服務器控件驗證數字字段的輸入和范圍,使用rangevalidator控件.rangevalidator支持貨幣,日期,整型,雙精度和字符串類型的數據.

　　使用rangevalidator控件需要設置需要驗證的控件名(controltovalidate),類型（type),最小值(minimumvalue),最大值(maximumvalue),和出錯提示信息（errormessage)屬性．下面是代碼示例 :

＜asp:rangevalidator
 id="rangevalidator1"
 runat="server"
 errormessage="invalid range. number must be between 0 and 255."
 controltovalidate="rangeinput"
 maximumvalue="255"
 minimumvalue="0" type="integer" /＞

　　如果你沒使用服務器控件，你可以將輸入值轉化成整型再進行驗證來完成對數字的范圍驗證．例如，要驗證一個整數是否合法，使用asp.net2.0提供的新方法int32.tryparse將輸入值轉化為system.int32的變量類型.這個方法會在轉換失敗時返回false.

int32 i;
if (int32.tryparse(txtinput.text, out i) == false)

{
 
//
conversion failed

}

　　如果你使用早先的asp.net版本,可以在try/catch語句塊中 使用int32.parse或者convert.toint32方法并可以在轉換失敗時處理拋出的formatexception錯誤.

　　下面的示例代碼演示了如何驗證來自html文本框的整數類型的類型和范圍.

＜%@ page language="c#" %＞
＜script runat="server"＞
 void page_load(object sender, eventargs e)
 

{
 if (request.requesttype == "post")
 

{
 int i;
 if (int32.tryparse(request.f
orm["integertxt"], out i) == true)
 
{
 
//
tryparse returns true if the conversion succeeds

 if ((0 ＜= i && i ＜= 255) == true)
 

{
 response.write("input data is valid.");
 }
 else
 response.write("input data is out of range");
 }
 else
 response.write("input data is not an integer");
 }
 }
 
＜/script＞

＜html＞
 ＜body＞
 ＜form id="form1" action="numericinput.aspx" method="post"＞
 ＜div＞
 enter an integer between 0 and 255:
 ＜input name="integertxt" type="text" /＞
 ＜input name="submit" type="submit" value="submit" /＞
 ＜/div＞
 ＜/form＞
 ＜/body＞
＜/html＞

　　驗證日期字段

　　你需要驗證日期字段是否是正確的類型.在大多數情況下,你也需要驗證它們的范圍,如驗證它們是否是將來或是過去的時間.如果你使用服務器控件來捕獲一個日期輸入值,同時你希望這個值在一個特定的范圍內,你可以使用范圍驗證控件(rangevalidator)并設置它允許的類型為date類型.這個控件允許你指定一個特殊的時間段通過設置起始的時刻.如果你需要以今天的時間作為參照來驗證,比如驗證一個時間是在將來還是過去,你可以使用customvalidator驗證控件。

　　使用customvalidator控件來驗證一個日期需要設置controltovalidate和errormessage屬性,在onservervalidate事件中指定一個自定義的驗證邏輯方法.下面是示例代碼.

＜%@ page language="c#" %＞
＜script runat="server"＞
 void validatedateinfuture(object source, servervalidateeventargs args)
 

{
 datetime dt;

 
//
check for valid date and that the date is in the future

 if ((datetime.tryparse(args.value, out dt) == false) ||
 (dt ＜= datetime.today))
 

{
 args.isvalid = false;
 }
 }

＜/script＞

＜html＞
 ＜body＞
 ＜form id="form1" runat="server"＞
 ＜div＞
 ＜asp:label id="label1" runat="server"
 text="future date:"＞＜/asp:label＞
 ＜asp:textbox id="futuredatetxt" runat="server"＞＜/asp:textbox＞
 ＜asp:customvalidator
 id="customvalidator1" runat="server"
 errormessage="invalid date. enter a date in the future."
 controltovalidate="futuredatetxt"
 onservervalidate="validatedateinfuture"＞
 ＜/asp:customvalidator＞
 ＜br /＞
 ＜asp:button id="submitbtn" runat="server" text="submit" /＞
 ＜/div＞
 ＜/form＞
 ＜/body＞
＜/html＞

　　注意 上面的代碼使用的方法datetime.tryparse是asp.net2.0提供的新方法.

　　過濾自由文本字段

　　過濾輸入，你需要使不安全的輸入不被當作代碼來對待.例如,你的程序使用戶不能讀取共享數據庫內的數據,你首先需要過濾數據使它們在輸出的時候沒有危險.使用httputility.htmlencode方法先對輸入值進行編碼.

　　允許有限的輸入html代碼

在@ page頁面元素內加以下字段validaterequest = "false"禁用asp.net請求驗證
使用htmlencode方法對輸入的字符串進行編碼
使用stringbuilder對象,調用它的replace方法對字符中的html進行替換
　　下面的代碼給出了這種辦法的示例.此頁面設置validaterequest = "fasle"禁用了asp.net請求驗證.它的html編碼為了顯示簡單的文本格式允許使用＜b＞和＜i＞標記.

＜%@ page language="c#" validaterequest="false"%＞
＜script runat="server"＞
 void submitbtn_click(object sender, eventargs e)
 

{
 
//
encode the string input

 stringbuilder sb = new stringbuilder(
 httputility.htmlencode(htmlinputtxt.text));
 
//
selectively allow and ＜i＞

 sb.replace("<b>", "＜b＞");
 sb.replace("</b>", "");
 sb.replace("<i>", "＜i＞");
 sb.replace("</i>", "");
 response.write(sb.tostring());
 }
＜/script＞
＜html＞
 ＜body＞
 ＜form id="form1" runat="server"＞
 ＜div＞
 ＜asp:textbox id="htmlinputtxt" runat="server"
 textmode="multiline" width="318px"
 height="168px"＞＜/asp:textbox＞
 ＜asp:button id="submitbtn" runat="server"
 text="submit" onclick="submitbtn_click" /＞
 ＜/div＞
 ＜/form＞
 ＜/body＞
＜/html＞

　　驗證查詢字串的值

　　驗證查詢字串的長度,范圍,格式和類型.通常,你使用一個合并的正則表達式來完成以下任務:

約束輸入值
設置明確的范圍檢查條件
指定輸入的類型并將它轉換成asp.net平臺下的類型,處理任何由類型轉換引發的異常下面的代碼示例演示了使用regex類驗證由查詢字串傳遞過來的名字字符串

void page_load(object sender, eventargs e)

{
 if (!system.text.regularexpressions.regex.ismatch(
 request.querystring["name"], @"^[a-za-z'./s]{1,40}$"))
 response.write("invalid name parameter");
 else
 response.write("name is " + request.querystring["name"]);
}

　　驗證cookie值

　　象查詢字串這樣被保存在cookie里面的值很容易被用戶修改.同樣地驗證這些值的長度,范圍,格式和類型.

　　驗證文件和url地址

　　如果你的程序允許輸入文件名,文件地址或者文件存放路徑,你需要驗證它們的格式是否正確并且根據你的程序實際情況它指向一個有效的位置.如果此步驗證失敗,你的程序可能會被錯誤地要求訪問文件.

　　驗證文件路徑

　　為了避免你的程序被用戶利用來訪問文件,防止接受用戶編寫代碼輸入的文件或者文件路徑.例如 :

如果你接受輸入文件名,使用system.io.path.getfilename方法來取得文件的全稱
如果你不得不接受輸入文件路徑,使用system.io.path.getfullpath來取得完整的文件路徑

　　使用mappath方法防止跨應用程序的映射

　　如果你使用mappath方法在服務器上映射一個提供的虛擬目錄到一個物理目錄,使用request.mappath方法的一個帶bool參數的重載版本來防止跨應用程序的映射.下面是此項技術的示例代碼 :

try

{
 string mappedpath = request.mappath( inputpath.text,
 request.applicationpath, false);
}
catch (httpexception)

{
 
//
cross-application mapping attempted

}

　　最終的false參數將會防止跨應用程序的映射.這意味著用戶不允許使用＂．．＂這樣的語法提供一個不在你所指定的虛擬目錄里面的非法路徑．

　　如果你使用服務器控件，你可以使用control.mappathsecure方法獲取虛擬目錄對應的實際目錄地址．

　　control.mappathsecure方法在訪問一個非授權的文件時拋出一個httpexception的異常．需要更多信息，請參看.net framework文檔中的control.mappathsecure方法介紹．

　　使用代碼訪問安全機制限制文件輸入輸出

　　管理員可以通過設置程序使它的可信度為＂中＂來限制程序向它所在的虛擬目錄讀寫文件的能力．.net代碼安全機制可以保證程序在它所在的虛擬目錄之外沒有任何的文件訪問權利.

　　要設置一個應用程序的信任度為"中",可以在web.config或者machine.config文件中加入:

＜trust level = "medium" /＞

　　驗證url

　　你可以用象下面的這樣的正則表達式來對url進行特征匹配.

^(?:http|https|ftp)://[a-za-z0-9/./-]+(?:/:/d{1,5})?(?:[a-za-z0-9/./;/:/@/&/=/+/$/,/?/]|%u[0-9a-fa-f]{4}|%[0-9a-fa-f]{2})*$

　　這只是約束輸入的格式,不驗證它是否在應用程序可接受的范圍內.你應該驗證它是否在你的程序的上下文中有效.例如,您的應用程序是否跟你指定的服務器進行通訊?

　　第三步.對不安全代碼進行編碼

　　如果您輸入文本輸入到一個網頁,使用httputility.htmlencode方法對它進行編碼.如果這些文來自于用戶輸入,數據庫或者一個本地文件,請確保總是這樣做.

　　同樣地,如果您書寫的url里面包含不安全的字符因為他們來自于用戶輸入內容,數據庫等,使用httputility.urlencode方法進行編碼.

　　為了防止存儲數據前編碼可能會使存儲的數據受到破壞,請確保在將它們顯示出來時盡可能后面的步驟將它們編碼.

　　使用htmlencode對不安全的輸出編碼

　　htmlencode對html標記置換成特殊含文的字符串來表示這些符號而又讓瀏覽器不把它們當作html標記來解釋處理.比如."＜"被置換成< " (冒號) 被替換成" 這些標記被顯示成無害的文本.

＜%@ page language="c#" validaterequest="false" %＞

＜script runat="server"＞
 void submitbtn_click(object sender, eventargs e)
 {
 response.write(httputility.htmlencode(inputtxt.text));
 }
＜/script＞

＜html xmlns="http://www.w3.org/1999/xhtml" ＞
 ＜body＞
 ＜form id="form1" runat="server"＞
 ＜div＞
 ＜asp:textbox id="inputtxt" runat="server"
 textmode="multiline" width="382px" height="152px"＞
 ＜/asp:textbox＞
 ＜asp:button id="submitbtn" runat="server" text="submit"
 onclick="submitbtn_click" /＞
 ＜/div＞
 ＜/form＞
 ＜/body＞
＜/html＞

　　查看html編碼的效果,請建立一個虛擬目錄將前述的文件放進去,運行此頁面,在文本框中輸入一些html代碼,點擊提交按鈕.例如,下面的輸入被當作普通文本來顯示.

run script and say hello ＜script＞alert('hello');＜/script＞

　　如果你移除調用htmlencode方法,簡單地輸入文本的內容,瀏覽器會執行代碼并彈出一個提示框.

　　使用urlencode 方法對不安全的url地址進行編碼

　　如果你需要獲取有用戶輸入部分的url參數,這可能帶來一定的安全風險,使用httputility.urlencode方法對這個地址字符串編碼.

httputility.urlencode(urlstring);

　　第四步.對sql語句使用命令參數方式.

　　為了避免注入式攻擊請使用sql的參數方式.參數(parameters)集合提供類型檢測和長度檢測.如果你使用參數集合,輸入的內容將被當作文本值來對待,數據庫不會執行包含在其中的代碼.使用參數集方式的一個額外的好處是,你可以嚴格限定輸入的類型和長度.如果輸入型超出范圍將會觸發異常.

　　當調用一個存儲過程時使用參數集

　　下面的代碼片段演示了在調用存儲過程時使用參數集的例子.

sqldataadapter mycommand = new sqldataadapter("authorlogin",
 myconnection);
mycommand.selectcommand.commandtype = commandtype.storedprocedure;
sqlparameter parm = mycommand.selectcommand.parameters.add(
 "@loginid", sqldbtype.varchar, 11);
parm.value = login.text;

　　在創建你自己的sql語句時使用參數集.

　　如果你不能使用存儲過程,你仍然可以使用參數集,請看下面的代碼.

sqldataadapter mycommand = new sqldataadapter(
"select au_lname, au_fname from authors where au_id = @au_id", myconnection);
sqlparameter parm = mycommand.selectcommand.parameters.add(
 "@au_id" ,sqldbtype.varchar, 11);
parm.value = login.text;

　　如果需要獲取更多的如果防止sql注入攻擊的信息請參看how to : protect from sql injection in asp.net

　　第五步.驗證asp.net的錯誤信息沒有被返回到客戶端

　　你可以使用＜customerrors＞元素來配置客戶端,一般的錯誤信息應該被程序錯誤檢測機制返回到客戶端.

　　請確認已經更改web.config中的mode屬性為"remoteonly",下面是示例.

＜customerrors mode = "remoteonly"＞

　　安在裝了一個asp.net 的程序之后，你可以按照如下設定指定客戶端的錯誤信息頁面。

＜customerrors mode = "on" defaultredirect = "yourerrorpage.htm"＞