ASP.NET常见安全问题
ASP.NET常见安全问题
一、SQL语句漏洞
许多程序员在用sql语句进行用户密码验证时是通过一个类似这样的语句来实现的：
Sql="Select * from 用户表 where 姓名 = '" + name + "' and 密码 = '" + password + "'"
通过分析可以发现，上述语句存在着致命的漏洞。当我们在用户名称中输入下面的字符串时：test' or '1' = '1，然后口令随便输入，我们设为aaa。变量代换后，sql语句就变成了下面的字符串：
Sql="Select * from 用户表 where 姓名='test' or '1' = '1' and 密码 = 'aaa'
我们都知道select语句在判断查询条件时，遇到或（or）操作就会忽略下面的与（and）操作，而在上面的语句中1=1的值永远为true，这意味着无论在密码中输入什么值，均能通过上述的密码验证！
Select * from 用户表 where 姓名 = '合法的姓名' or '1' = '1' and 密码 = '' //无需密码
Select * from 用户表 where 姓名 = '' or '1'='1' and 密码 = '' or '1'='1' //无需用户名和密码
Select * from 用户表 where 姓名 = '合法的姓名' --' and 密码 = '' //无需密码
解决方法：
防止ASP.NET应用被SQL注入式攻击闯入并不是一件特别困难的事情，只要在利用表单输入的内容构造SQL命令之前，把所有输入内容过滤一番就可以了。过滤输入内容可以按多种方式进行：
1、检查用户输入的合法性，确信输入的内容只包含合法的数据。数据检查应当在客户端和服务器端都执行——之所以要执行服务器端验证，是为了弥补客户端验证机制脆弱的安全性。在客户端，攻击者完全有可能获得网页的源代码，修改验证合法性的脚本（或者直接删除脚本），然后将非法内容通过修改后的表单提交给服务器。
2、对于动态构造SQL查询的场合，可以使用下面的技术：
第一：替换单引号，即把所有单独出现的单引号改成两个单引号。
第二：删除用户输入内容中的所有连字符。
第三：对于用来执行查询的数据库帐户，限制其权限。用不同的用户帐户执行查询、插入、更新、删除操作。由于隔离了不同帐户可执行的操作，因而也就防止了原本用于执行SELECT命令的地方却被用于执行INSERT、UPDATE或DELETE命令。
3、用存储过程来执行所有的查询。SQL参数的传递方式将防止攻击者利用单引号和连字符实施攻击。此外，它还使得数据库权限可以限制到只允许特定的存储过程执行，所有的用户输入必须遵从被调用的存储过程的安全上下文，这�
相关文档：
关于控件图标的事，可没少瞎折腾，从前年想入手这方面开始，就没搞定过。N多大虾的贴子都翻烂了，也没找出个头绪来。其实最开始有次真给蒙出来了！不过后来改控件，也不知道改哪了。没了！于是满世界的CSDN、MSDN。。。。NB的人，NB的文章看了眼晕，打死也没有弄出来。昨天项目中遇到问题，看了一哥们的控件（WEBABCD：至今 ......
由于项目中多处需要对配置文件进行操作，如配置信息的读取、更改和写入，需要一个通用的类来对其进行操作和处理。这次的任务就是配置节的一些用法。
这次升级后的开发工具是基于VS2005的，分析了VS2005 新增的一些功能，它自带了一套配置文件中结点等的配置。目前的项目用的配 ......
原文 http://www.886s.com/blog/?p=96
随着Ajax的盛行，大家都去凑热闹，我们的项目也不例外。
看了一下现有的代码，对于一个操作抽取一个的页面，把参数接收，调用逻辑层的相关函数并返回相应的Json或者Xml，搜索了一下，工程中竟然有了360+个这种页面，这真是一种浪费！如果用反射，一个页面就可以搞定！节省了多� ......
1. 数据库访问性能优化
数据库的连接和关闭
访问数据库资源需要创建连接、打开连接和关闭连接几个操作。这些过程需要多次与数据库交换信息以通过身份验证，比较耗费服务器资源。ASP.NET中提供了连接池(Connection Pool)改善打开和关闭数据库对性能的影响。系统将用户的数据库连接放在连接池中，需要时取出，关闭时� ......
使用ASP.NET生成静态页面的方法有两种，第一种是使用C#在后台硬编码，第二种是读取模板文件，使用字符串替换的方法。第一种方法编码量大，
而且维护比较困难。我重点讲解第二种方法。第二种方法的基本思路是：使用DW之类的工具生成一个静态页面模板。读取该模板文件，然后对里面的特殊标记使用
真实的数据替换掉，并生成� ......
