- Rongsen.Com.Cn 版权所有 2008-2010 京ICP备08007000号 京公海网安备11010802026356号 朝阳网安编号:110105199号
- 北京黑客防线网安工作室-黑客防线网安服务器维护基地为您提供专业的
服务器维护
,企业网站维护
,网站维护
服务 - （建议采用1024×768分辨率，以达到最佳视觉效果） Powered by 黑客防线网安 ©2009-2010 www.rongsen.com.cn
A.NET优化:Sql注入和Html注入的黑帽SEO(1)
作者：黑客防线网安ASP维护基地 来源：黑客防线网安ASP维护基地 浏览次数：0 |
黑客防线网安网讯： 黑帽（black hat）SEO主要是指采取“不怎么道德”（暂时就这么形容吧！）的方式进行搜索引擎优化。1. 注入攻击，包括Sql注入和Html注入。我经常能看到对Sql注入防范的谈论，但对于Html注...
黑帽（black hat）SEO主要是指采取“不怎么道德”（暂时就这么形容吧�。┑姆绞浇�搜索引擎优化。
1. 注入攻击，包括Sql注入和Html注入。我经常能看到对Sql注入防范的谈论，但对于Html注入，很多人并没有引起足够的重视。为了展示Html注入的效果，我们模仿了一个常见的留言本功能。
首先，在页面声明中添加两个属性设置EnableEventValidation=“false” ValidateRequest=“false” ，这很关键，读者可以试一下如果不这样设置会有什么效果。
<%@ Page Language="C#" AutoEventWireup="true" CodeFile="Default.aspx.cs" Inherits="_Default" EnableEventValidation="false" ValidateRequest="false" %>
然后，前台页面和后台代码段分别如下：
<asp:TextBox ID="txtInput" runat="server" Height="95px" Width="405px" TextMode="MultiLine"></asp:TextBox>
<asp:Button ID="btnSubmit" runat="server" Text="Simple Submit"
onclick="btnSubmit_Click" />
<asp:Label ID="lblShow" runat="server"></asp:Label>
protected void btnSubmit_Click(object sender, EventArgs e)
{
this.lblShow.Text = this.txtInput.Text;
}
程序很简单，将用户输入的内容再显示出来而已。运行代码，然后输入我们的恶意代码，提交。
<p>Sanitizing <img src=""INVALID-IMAGE" onerror='location.href="http://too.much.spam/"'>!</p>
我们会发现页面自动跳转到http://too.much.spam/页面！这就是所谓的“Html注入”。当page页面render到客户端后，浏览器会按一个普通的html页面进行解析；当解析到上面的js代码时……
为了避免这种入侵，在asp.net中，我们最简单的处理方式就是对输入的内容进行“Html编码”。将后台代码改为：
protected void btnSubmit_Click(object sender, EventArgs e)
{
this.lblShow.Text = this.Server.HtmlEncode(this.txtInput.Text);
}
现在我们再运行代码，发现源代码被原样输出显示在页面，并没有运行。为什么呢？查看输出页面的源代码：
<span id="lblShow"><p>Sanitizing <img src=""INVALID-IMAGE" onerror='location.href="http://too.much.spam/"'>!</p></span>
整理后，我们发现如下的映射转换：
< -- < (less than)
> -- > (greater than)
" -- " (quota)
所以js无法执行，但在页面显示时，我们确能看到“原汁原味”的js内容。
但问题并没有结束，现实世界中，输入的内容除了恶意代码以外，还可能有如下的内容：
<span style=" color:blue">黑帽</span>（black hat）SEO主要是指采取<span style=" color:blue">“不怎么道德”</span>（暂时就这么形容吧！）的方式进行搜索引擎优化。
我们希望显示蓝色的文字，但经过编码后，显然无法达到我们的效果。为此，我们还需要进行更精确的过滤。这也是为什么之前我们要设置EnableEventValidation=“false” ValidateRequest=“false”的现实原因。
其实我最先想到的方案是：首先对整个内容进行编码，然后把我们允许使用的html标签再替换回来。这样是相当保险的，但是在具体的操作中，遇到了很多问题，这个郁闷啊~~~（如果有谁有这种实现的实现代码，千万要拿出来大家分享一下呀）。
我先介绍另一种方案：
首先要取出标签，如，<span style=“ color:blue”>、</span>和<script >，我们的替换范围仅局限于标签 < > 之间的内容。
然后获取所有的标签名称、属性的名称和值，如果有禁止出现的内容，就替换掉。可能的恶意代码形式如下所示：
标签的名称： <script </script
标签里的属性：<span onclick
属性的值：<img onerror=“javascript:'
黑客防线网安服务器维护方案本篇连接：http://www.rongsen.com.cn/show-14033-1.html
新闻栏目
| 我要申请本站：N点 | 黑客防线官网 | |
| 专业服务器维护及网站维护手工安全搭建环境，网站安全加固服务。黑客防线网安服务器维护基地招商进行中！QQ:29769479 |