Jak chronić się przed naruszeniem ciągu zapytania?

Question

Hii,

Mam ciąg kwerendy typu "http://project/page1.aspx?userID=5". Operacja nie zostanie wykonana, jeśli parametr "ID użytkownika" został zmieniony ręcznie. Jak to jest możliwe?

Answer 1

hii wszystkim, dziękuję za pomoc ... i mam pewne rozwiązanie różnicowe z innych stron. nie wiem, że to najlepsze rozwiązanie. to jest kodowanie wartości za pomocą algorytmu szyfrowania i deszyfrowania ... Przykładowy kod został napisany w ten sposób ...

<a href='Page1.aspx?UserID=<%= HttpUtility.UrlEncode(TamperProofStringEncode("5","F44fggjj")) %>'> 
     Click Here</a> <!--Created one anchor tag and call the function for TamperProofStringEncode--> 

---

    
private string TamperProofStringEncode(string value, string key) 
{ 
      System.Security.Cryptography.MACTripleDES mac3des = new System.Security.Cryptography.MACTripleDES(); 
      System.Security.Cryptography.MD5CryptoServiceProvider md5 = new System.Security.Cryptography.MD5CryptoServiceProvider(); 
      mac3des.Key = md5.ComputeHash(System.Text.Encoding.UTF8.GetBytes(key)); 
      return Convert.ToBase64String(System.Text.Encoding.UTF8.GetBytes(value)) + "-" + Convert.ToBase64String(mac3des.ComputeHash(System.Text.Encoding.UTF8.GetBytes(value))); 
     } 
 

---

w obciążeniu stronie 'Strona1' nazywamy algorytm dekodowania do dekodowania ciąg kwerendy

try 
     { 
      string DataString = TamperProofStringDecode(Request.QueryString["UserID"], "F44fggjj"); 
      Response.Write(DataString); 
     } 
     catch (Exception ex) 
     { 
      Response.Write(ex.Message); 
     } 

---

private string TamperProofStringDecode(string value, string key) 
    { 
     string dataValue = ""; 
     string calcHash = ""; 
     string storedHash = ""; 

     System.Security.Cryptography.MACTripleDES mac3des = new System.Security.Cryptography.MACTripleDES(); 
     System.Security.Cryptography.MD5CryptoServiceProvider md5 = new System.Security.Cryptography.MD5CryptoServiceProvider(); 
     mac3des.Key = md5.ComputeHash(System.Text.Encoding.UTF8.GetBytes(key)); 

     try 
     { 
      dataValue = System.Text.Encoding.UTF8.GetString(Convert.FromBase64String(value.Split('-')[0])); 
      storedHash = System.Text.Encoding.UTF8.GetString(Convert.FromBase64String(value.Split('-')[1])); 
      calcHash = System.Text.Encoding.UTF8.GetString(mac3des.ComputeHash(System.Text.Encoding.UTF8.GetBytes(dataValue))); 

      if (storedHash != calcHash) 
      { 
       //'Data was corrupted 
       throw new ArgumentException("Hash value does not match"); 
       // 'This error is immediately caught below 

      } 
     } 
     catch (Exception ex) 
     { 
      throw new ArgumentException("Invalid TamperProofString"); 
     } 

     return dataValue; 

    } 

Answer 2

Nie można stwierdzić, czy została zmieniona ręcznie. Jeśli używasz ciągów zapytań, to musisz się upewnić, że nie ma znaczenia, czy zostanie zmieniony. na przykład jeśli używasz go do pokazania użytkownikowi jego danych konta, musisz sprawdzić, kto jest wybranym użytkownikiem, jest bieżącym użytkownikiem i wyświetlać komunikat o błędzie zamiast danych użytkownika, jeśli tak nie jest.

Answer 3

To brzmi jak dziwne wymaganie. Czy próbujesz wdrożyć jakieś rodzime zabezpieczenia? Jeśli tak, naprawdę nie powinieneś.

W każdym razie jednym ze sposobów, w jaki można to zrobić, byłoby pobranie całego adresu URL http://project/page1.aspx?userID=5 i obliczenie jego md5 sum. Następnie dodajesz sumę md5 do końcowego adresu URL, na przykład http://project/page1.aspx?userID=5&checksum=YOURCALCULATEDMD5SUM. Następnie w page1.aspx musisz sprawdzić, czy parametr checksum jest poprawny.

Jednak takie podejście jest dość naiwne i nie musiałoby długo czekać, aby ktokolwiek mógł znaleźć algorytm, którego używałeś. Gdyby tak było, mogliby "łatwo" zmienić identyfikator użytkownika i obliczyć sumę md5. Bardziej niezawodnym rozwiązaniem byłoby takie, w którym suma kontrolna została zaszyfrowana za pomocą klucza, do którego tylko Ty miałeś dostęp. Ale znowu muszę zakwestionować twój motyw, aby to zrobić, ponieważ istnieją inne rozwiązania bezpieczeństwa, które są znacznie lepsze.

Answer 4

Cóż - to zależy :)

Jedną z możliwości jest umieszczenie userID do zmiennej sesji. Użytkownik nie może zobaczyć ani edytować wartości.

Jeśli masz inne środki w celu wykrycia, czy wartość jest nieważny (czyli nie istnieje lub nie może być dla tego użytkownika (który można zidentyfikować poprzez jakiś inny sposób) lub tym podobne) można uciec z walidacji wpisz się za kod.

Jednak, jak zapewne wiesz, nie możesz uniemożliwić użytkownikowi zmiany ciągu zapytania.

Answer 5

Nie możesz.

Wszystko w żądaniu HTTP (w tym adres URL, ciąg zapytania, pliki cookie, ...) znajduje się pod kontrolą klienta i jest łatwe do sfałszowania.

Dlatego ważne jest, aby umieścić na białej liście prawidłowe treści, ponieważ klient może dowolnie dodawać wszystko, co mu się podoba, oprócz tego, co chcesz otrzymać.

Answer 6

Jeśli użytkownik może zmienić rekord 5, ale na przykład nie może zarejestrować 7, należy to wymusić po stronie serwera. Aby to zrobić, musisz być w stanie zidentyfikować użytkownika, wymagając loginu i dając mu unikalny klucz sesji, który jest przechowywany w ciasteczku przeglądarki lub jako inny parametr w ciągu zapytania adresu URL.

Istnieją liczne pakunki/moduły/biblioteki w językach człowieka do czynienia z uwierzytelniania i sesji w rozsądny sposób - rolka jesteś właścicielem na własne ryzyko :)

Answer 7

Moim ulubionym jest t podążał. Używa modułu HTTP do przezroczystego kodowania i dekodowania kwerendy z wyraźnym celem polegającym na zapobieganiu manipulowaniu kwerendą.

http://www.mvps.org/emorcillo/en/code/aspnet/qse.shtml

Jest to idealne rozwiązanie, gdy sesja nie jest rozwiązaniem!

Answer 8

Oto kolejna opcja, że ​​znalazłem bardzo przydatne dla moich wymagań:

4 Guys From Rolla - Passing Tamper-Proof QueryString Parameters