ASP.. NET表单身份验证漏洞
本文关键字：漏洞 身份验证 表单 NET ASP | 更新日期: 2023-09-27 18:08:53
我正在阅读这个问题，当我被@Slauma对@reach4thelasers所写的选择答案的链接回应(包括在这里)所震惊时。这是一篇关于如何破解ASP的博文。. NET的表单认证完全开放，并且在大约半小时的时间内收集远程机器密钥。
有一些对博客文章的回应，提到这只有在你不做一些具体的事情时才有可能，但我不清楚这些具体的事情是什么(关于自定义错误页面的事情，但视频似乎没有击中任何错误页面)。它还提到MS有避免这类攻击的建议，但没有链接到建议。
所以，首先，有人能清楚地解释什么是必要的，当开发ASP。. NET表单身份验证系统，以防止像上面提到的那样的利用?
其次，在ASP中还有其他众所周知的漏洞吗?. NET形式的身份验证，某种最佳实践(即不实现默认)将减轻或防止?我正在建立一个有财务数据的公共网站，所以这是我非常关心的。
这个问题很久以前就解决了:http://technet.microsoft.com/en-us/security/bulletin/MS10-070
Scott Gu当时写过http://weblogs.asp.net/scottgu/archive/2010/09/28/asp-net-security-update-now-available.aspx
这个问题涵盖了一些问题的影响，它是脆弱的ASP填充oracle
我想说的是，框架中的补丁和升级比将生产应用留在旧框架、旧补丁级别要危险得多，这是大型组织的变更控制委员会相反看到的。他们通常害怕这些补丁。