这个新的 ASP.NET 安全漏洞有多严重，我该如何解决

我该怎么保护自己？

[Update 2010-09-29]

Microsoft security bulletin

KB Article with reference to the fix

ScottGu有下载链接

[Update 2010-09-25]

在我们等待修复的同时，昨天ScottGu postet an update介绍了如何通过自定义URLScan规则添加额外的步骤来保护您的站点.

此外，在错误页面中添加一个随机时间睡眠，以防止攻击者获得额外的攻击信息.

在网上.配置

<configuration>
 <location allowOverride="false">
   <system.web>
     <customErrors mode="On" defaultRedirect="~/error.html" />
   </system.web>
 </location>
</configuration>

这会将任何错误重定向到一个带有200状态代码的自定义页面.这样，攻击者就无法查看错误代码或错误信息，以获取进一步攻击所需的信息.

设置customErrors mode="RemoteOnly"也是安全的，因为这将重定向"真实"客户端.只有从localhost浏览才会显示内部.净错误.

重要的一点是确保所有错误都被配置为返回相同的错误页面.这需要在<customErrors>部分显式设置defaultRedirect属性，并确保未设置每个状态代码.

这关系到什么？

如果攻击者成功利用上述漏洞，他/她可以从您的web应用程序中下载内部文件.通常是网络.config是一个目标，可能包含敏感信息，例如数据库连接字符串中的登录信息，甚至是指向自动安装的sql express数据库的链接，而您不希望有人获取该数据库.但如果你遵循最佳实践，你可以使用Protected Configuration来加密你网站上的所有敏感数据.配置.

参考链接

阅读微软官方关于http://www.microsoft.com/technet/security/advisory/2416728.mspx漏洞的 comments .具体来说，是关于这个问题的实施细节的"变通"部分.

还有一些关于ScottGu's博客的信息，包括一个script来寻找易受攻击的ASP.Net应用在您的web服务器上.

有关"理解甲骨文攻击"的解释，请阅读@sri's answer.

对文章的 comments :

Rizzo和Duong对ASP实施的攻击.NET应用程序要求加密

如果填充无效，发送者收到的错误消息将向他提供有关站点解密过程工作方式的一些信息.

为了使攻击有效，必须满足以下条件:

• 您的应用程序必须提供有关填充无效的错误消息.
• 必须有人篡改你加密的cookie或viewstate

所以，如果你在应用程序中返回人类可读的错误消息，比如"Something went wrong, please try again"条，那么你应该非常安全.阅读一些关于这篇文章的 comments 也能提供有价值的信息.

• 在加密的cookie中存储会话id
• 以会话状态存储真实数据(持久化在数据库中)
• 当用户信息出错时，在返回错误之前添加随机等待，因此无法计时

这样，被劫持的cookie只能用于检索最有可能不再存在或无效的会话.

看看Ekoparty会议上实际呈现的内容会很有趣，但现在我并不太担心这个漏洞.