漏洞分类及判定方法

使用存储过程（存储过程中不要使用动态sql拼语句）

使用Linq, EF等框架来写（不要使用里面的直接拼sql语句的方式）

通过System.Diagnostics.Process来实现调用外部程序

à

//Employee[UserName/text()=’aaron’ or 1=1 or ‘a’ =’a’ and password/text()=’password’]

这个和典型的sql注入一样，呵呵

Declare variable $userName as xs: string external;

Declare variable $password as xs: string external;

// Employee[UserName/text()=$userName and password/text()=$password]

à

{‘user’: ‘usera’, ‘sex’, ‘bo’y’}

这样会导致js报错

Mvc下，使用JSONResult来生成json数据

如果还有个cookie，name为：p1, value: c

则，最终asp.net获取这个参数的value为：a,b,c

这个和业务逻辑有很大的关系

相关的缓存要clear

额外的cookie也要被clear

比如获取客户端用户在某网站的所有cookie，这样恶意用户就能实现session劫持等更进一步的攻击

对输出到客户端的数据也要过滤特殊字符

Html, js, url三大领域过滤方法不同，需要区别对待

Server.HtmlEncode;

Server.HtmlDecode;

Server.UrlEncode;

Server.UrlDecode;

Server.UrlPathEncode;

Js函数如下

escape,encodeURI,encodeURIComponent的使用参考goody9807的这篇文章：

http://www.cnblogs.com/goody9807/archive/2009/01/16/1376913.html

http://www.cnblogs.com/moozi/archive/2010/03/04/1677904.html

是一个更智能的过滤系统，具体使用参考Syed的这篇文章：

http://blogs.msdn.com/b/syedab/archive/2009/07/08/preventing-cross-site-scripting-attacks-using-microsoft-anti-xss-security-runtime-engine.aspx

<%: Html%>à会进行转换

[AllowHtml]tag

尽量不改动默认的ValidateRequest属性

//根据数据库中的entity id生成UI客户端用于显示的字符串id，这个字符串id类似于散列值，不容易猜测，但是能被还原

String GenerateUIID(string/int/guid)

//根据UI客户端ID还原成原始的entity id,具体类型由T决定

String FromUIID(string)

”>产品A

Page_Load中

this.productId= IndirectReference.FromUIID(Request.QueryString[“productId”]);

信用卡账号等需要加密后再存储到数据库中（可逆的加密方式）

HttpOnly

Secure

具体页面中的按钮也是这样的处理方式，隐藏不要禁用（就是用户不能操作的，就不要让用户看到，省的麻烦）

在最终页面中要加入权限判断代码，这样即便直接输入了某url，由于还会在page中检查权限，因此还是安全的

2.给主要业务函数贴上tag

[PrincipalPermission(SecurityAction.Demand, Role = "Admin")]

public void RemoveUserFromRole(string userName, string role)

{

Roles.RemoveUserFromRole(userName, role);

}

自定义ViewState

默认的ViewState是没有加密的，很容易被看到具体的value，如通过这个工具就能看到：ViewStateDecoder，urlà http://download.csdn.net/detail/skt90u/3974340

可以通过给ViewState自定义来缓解那么一点点，但是没办法提升到像加入token那样的力度，代码很简单：

this.ViewStateUserKey=Convert.ToString(Session[“UserID”])

如上代码即可实现对ViewState的加密，会根据this.ViewStateUserKey的value对每个ViewState进行Salt类似的加密

[ValidateAntiForgeryToken]

public ActionResult Login(Usr usr)

{

return View();

}

在aspx模版或者Razor 模版中的form中增加如下代码：

<%=Html.AntiForgeryToken() %>

具体的方式参考这篇文章：http://www.cnblogs.com/leleroyn/archive/2010/12/30/1921544.html

Void Config(List whitelist)

bool IsRedirectable(string newUrl)

If(!RedirectForwardDispatcher.IsRedirectable(returnUrl))

{

Throw exception(“Unvalidated Redirects and Forwards”);

}