ASP.NET常见安全问题
ASP.NET常见安全问题
一、SQL语句漏洞
许多程序员在用sql语句进行用户密码验证时是通过一个类似这样的语句来实现的：
Sql="Select * from 用户表 where 姓名 = '" + name + "' and 密码 = '" + password + "'"
通过分析可以发现，上述语句存在着致命的漏洞。当我们在用户名称中输入下面的字符串时：test' or '1' = '1，然后口令随便输入，我们设为aaa。变量代换后，sql语句就变成了下面的字符串：
Sql="Select * from 用户表 where 姓名='test' or '1' = '1' and 密码 = 'aaa'
我们都知道select语句在判断查询条件时，遇到或（or）操作就会忽略下面的与（and）操作，而在上面的语句中1=1的值永远为true，这意味着无论在密码中输入什么值，均能通过上述的密码验证！
Select * from 用户表 where 姓名 = '合法的姓名' or '1' = '1' and 密码 = '' //无需密码
Select * from 用户表 where 姓名 = '' or '1'='1' and 密码 = '' or '1'='1' //无需用户名和密码
Select * from 用户表 where 姓名 = '合法的姓名' --' and 密码 = '' //无需密码
解决方法：
防止ASP.NET应用被SQL注入式攻击闯入并不是一件特别困难的事情，只要在利用表单输入的内容构造SQL命令之前，把所有输入内容过滤一番就可以了。过滤输入内容可以按多种方式进行：
1、检查用户输入的合法性，确信输入的内容只包含合法的数据。数据检查应当在客户端和服务器端都执行——之所以要执行服务器端验证，是为了弥补客户端验证机制脆弱的安全性。在客户端，攻击者完全有可能获得网页的源代码，修改验证合法性的脚本（或者直接删除脚本），然后将非法内容通过修改后的表单提交给服务器。
2、对于动态构造SQL查询的场合，可以使用下面的技术：
第一：替换单引号，即把所有单独出现的单引号改成两个单引号。
第二：删除用户输入内容中的所有连字符。
第三：对于用来执行查询的数据库帐户，限制其权限。用不同的用户帐户执行查询、插入、更新、删除操作。由于隔离了不同帐户可执行的操作，因而也就防止了原本用于执行SELECT命令的地方却被用于执行INSERT、UPDATE或DELETE命令。
3、用存储过程来执行所有的查询。SQL参数的传递方式将防止攻击者利用单引号和连字符实施攻击。此外，它还使得数据库权限可以限制到只允许特定的存储过程执行，所有的用户输入必须遵从被调用的存储过程的安全上下文，这�
相关文档：
http://www.cnblogs.com/TerryFeng/archive/2009/02/01/1382123.html
这很常用，搜索了一下博客园的“找找看”和谷歌，看到大部分都是转载于一两篇文章（而且来源还不是博客园），有的是简单的说一点无法运行，给初学者的调试和学习带来不方便，我在这里将jQuery Ajax 调用Aspx.Net WebService 的几个常用的方法 ......
初级的程序员或经验不足的程序员往往只意识到自己的程序是写给计算机的，而不会在意程序其实也是写给人的，或在意得不够、不全面。
写给机器的程序，往往追求的是运行正确、执行效率能满足要求。但程序员的任务仅仅就是把业务逻辑转成机器能编译的计算机语言吗?
其实，程序首先(注意，是首先)是写给人的。第一，程序是写� ......
单位有一台闲置的旧 IBM Netfinity 7000 的服务器，双 Pentium Pro 200 MHz CPU，512 MB 内存，一个 9.1 GB 和五个 4.5 GB 的 SCSI 硬盘。我想将其废物利用一下，于是：
1. 到 http://tw.releases.ubuntu.com/edgy/ 下载 PC (Intel x86) server install CD ，将下载得到的 ubuntu-6.10-server-i386.iso 文件刻录一张 ......
var j = jQuery.noConflict();
var prov="";
var city="";
var area="";
j(function(){
j.get("/Js/Message/address.xml",function(xml){
j("body").data("xml",xml);
......
公司原有一个局域网，经过多年的修修补补，已经创建了不少的内容，包括一些数据库查询报表、工作流等网站，这些网站有一些是用ASP.NET来开发的，并且用了很多年，积累了很多业务数据；现在公司想把局域网用WSS3.0来架设，这就面临到一个很棘手的问题，就是怎样来处理这些旧的网页。如果推倒重来，那么工作量将是非常吓人的� ......
