Im Laufe der Jahre habe ich einige der von mir entwickelten Websites für Penetrationstests von Kunden eingereicht. In den meisten Fällen beziehen sich die Probleme, die bei der Rückkehr der Ergebnisse hervorgehoben werden, auf das Standardverhalten von ASP.Net, z. B. mögliche Cross-Site-Scripting-Angriffe, usw.
Gibt es gute Artikel, in denen standardmäßig Sicherheitslücken in einer ASP.Net-Anwendung vorhanden sind, und zweitens gibt es gute Checklisten, die bei der Vorbereitung einer Website im Voraus helfen?
Ich denke, dass die Checkliste sich durch die Zeit und ihre Theorie mit Erfahrung verändert. Ich überprüfe mein Protokoll und sehe immer neue Wege, wie sie versuchen, meine Website zu durchdringen.
Eine gute Seite mit vielen Artikeln zur Penetration : Ссылка
Einige der Wege, die versuchen, auf meinen Seiten einzudringen.
Um sie zu finden, überwache ich das Ereignis "Seite nicht gefunden". Natürlich wenn Seite gefunden dann dringen sie ein. Wie auch immer es mehr möglich ist, gescheiterte Versuche zu sehen und zu sehen, wonach sie suchen.
In diesen Tagen sehe ich auch viele Orakelangriffe . Ich finde sie und blockiere die vollständige IP des Angreifers mit diesem Code: CryptographicException: Padding ist ungültig und kann nicht entfernt werden, und die Validierung von viewstate MAC ist fehlgeschlagen
Ich befolge auch die Antworten auf diese Frage: Kann ein Hacker den Cookie eines Nutzers stehlen und sich mit diesem Namen auf einer Website anmelden?
Hauptpunkte: Verwenden Sie immer SSL-Verschlüsselung bei Login-Cookies (requireSSL = true) und platzieren Sie keine Rollen auf Cookies (cacheRolesInCookies = false).
Ich blockiere auch schwarz gelistete ips aus dem System / program / iis, aber in der Vergangenheit habe ich PeerGuardian benutzt. Auch dort finden Sie viele schlechte IP-Listen, die Sie im Voraus blockieren können. Meine einzige Notiz über diese schlechten IPs ist, dass ich sie nicht für immer blockiere, sondern nur für einige Tage. Die block of bad ips hilft mir auch bei den hundert Spam-Mails. Ссылка
Ich denke, dass es viele Wege gibt, auf denen Menschen denken und versuchen können, auf Ihrer Website einzudringen. Der Punkt ist, wie Sie sie vorhersagen und sie protokollieren können, bevor dies geschieht und immer einen besseren Mechanismus, um sie zu vermeiden. Wie gesagt, Ich überwache die Seite, die nicht gefunden wurde, und den inneren Fehler, den die Seiten verursachen. Diese beiden Methoden zeigen mir eine Menge Penetrationsversuche.
Wenn Sie Zugriff auf das Hochladen von Dateien, Bildern und anderen Inhalten haben, stellen Sie sicher, dass sie nicht im Upload-Verzeichnis ausgeführt werden können. Dies kann durch die Überprüfung der Erweiterung der Datei und durch das Deaktivieren der Ausführung von Programmen und Skripten in diesem Verzeichnis, vom Server selbst, aber auch durch das Einfügen einer web.config in das Upload-Verzeichnis mit:
geschehen %Vor%Lesen Sie einen Fall: Ich wurde gehackt. Evil aspx-Datei hochgeladen namens AspxSpy. Sie versuchen es immer noch. Hilf mir, sie zu fangen!
Checkliste:
Sicherheitsleitfaden für Webanwendungen / Checkliste
Außerdem stehen viele kostenlose Tools zum Testen der Sicherheit von Webanwendungen zur Verfügung. Sie können diese ausprobieren:
Ich möchte die gute Antwort von Aristos nicht mit einem Link maskieren, aber Google hat ein Codelab veröffentlicht, um mögliche Exploits von Webanwendungen zu zeigen: its (new) -called google-gruyere .
Es ist eher eine Lernmethode, um die möglichen Exploits zu verstehen, als eine Checkliste, aber das Inhaltsverzeichnis kann Ihnen dabei helfen Ihre Checkliste.
Hier sind einige Kategorien zu berücksichtigen:
Tags und Links asp.net penetration-testing