原文发布时间为：2010-09-20 —— 来源于本人的百度文章 [由搬家工具导入]

原文：http://weblogs.asp.net/scottgu/archive/2010/09/18/important-asp-net-security-vulnerability.aspx

微软在9月17号中午正式对外公布了ASP.NET平台下的安全漏洞，即Microsoft Security Advisory (2416728)。

SecurityFocus上已将此漏洞定义成了"Design Error"，那么微软一开始的设计就是错误的，为什么这么说呢？且待我们慢慢来分析。

上午在园友辰的一篇博文：对ASP.NET的最新安全漏洞进一步跟进说明中也看到了对此问题的详细追踪，但上午也只是粗粗浏览，下午细看时总觉文中有些地方略显含糊，所以晚上也就顺带查了些资料，略有所得，不敢独享，遂成此文！

微软的态度

查看了许多微软官方的说明文档，总觉得这位大姑娘犯了错后总是显得扭扭捏捏，遮遮掩掩，当然对于这个比较大的安全漏洞，不管是出于商业角度的考虑还是对现有.NET架构网站的保护，我们都暂且不去谈论它，但我想攻防该有的一条策略就是：知己知彼，百战不殆！

首先，比较长的一篇文章就是ScottGu的这篇：Important: ASP.NET Security Vulnerability。

在这篇文章中，其主要谈及了此漏洞的影响，简单提及了一下此漏洞产生的原因，下面就是微软教科书式的解决方案了。

这个解决方案有两个注意点：

1：

If you are using ASP.NET 3.5 SP1 or ASP.NET 4.0 then you should follow the below steps to enable <customErrors> and map all errors to a single error page:

1) Edit your ASP.NET Application’s root Web.Config file. If the file doesn’t exist, then create one in the root directory of the application.

2) Create or modify the <customErrors> section of the web.config file to have the below settings. Note the use of redirectMode=”ResponseRewrite” with .NET 3.5 SP1 and .NET 4.0:

<configuration> <system.web> <customErrors mode="On" redirectMode="ResponseRewrite" defaultRedirect="~/error.aspx" /> </system.web></configuration>

3) You can then add an Error.aspx to your application that contains an appropriate error page of your choosing (containing whatever content you like). This file will be displayed anytime an error occurs within the web application.

4) We recommend adding the below code to the Page_Load() server event handler within the Error.aspx file to add a random, small sleep delay. This will help to further obfuscate errors.

2：在错误页面中添加的一段代码，我先贴出来，看了下面的分析，我想你就该理解那段代码什么意思了。

<%@ Page Language="C#" AutoEventWireup="true" %>
<%@ Import Namespace="System.Security.Cryptography" %>
<%@ Import Namespace="System.Threading" %>

<script runat="server">
   void Page_Load() {
      byte[] delay = new byte[1];
      RandomNumberGenerator prng = new RNGCryptoServiceProvider();

      prng.GetBytes(delay);
      Thread.Sleep((int)delay[0]);
       
      IDisposable disposable = prng as IDisposable;
      if (disposable != null) { disposable.Dispose(); }
    }
</script>

<html>
<head runat="server">
    <title>Error</title>
</head>
<body>
    <div>
        An error occurred while processing your request.
    </div>
</body>
</html>

当然，在这里你还可以看到一些类官方的讨论。

什么叫Padding Oracle

在ScottGu的文章中也提到了Padding Oracle，"......, there is a vulnerability in ASP.NET which acts as a padding oracle"。

首先得承认，padding和Oracle的确太迷惑人了，css+数据库，还挺挑战想象力的。

本人也想不出太好的中文翻译，就直译成了"附加断言"(oracle: 神谕、预言)，还望各位指正。

好了，我们来看看Padding Oracle到底是什么。

在ASP.NET中设计ViewState等加密字符串时，在加密算法中，当提交一个文本(ciphertext)去加密后，加密函数将返回是否成功，如返回valid或invalid。

那么攻击者使用不同的值去提交，并捕获返回的值，对每次返回的值进行分析，再纠正，重新提交，就这样解密出原文。那么需要多少次可以解密出到明文呢？答案是：128*N，N是这段密文的字节数，所以也就有了博友辰文章中提到的： 这个过程100%成功而且只需要30分钟。（当然：不会是100%成功的！）

原文是这样的：

The attack works under the assumption that the attackers can intercept padded messages encrypted in CBC mode, and have access to the aforementioned padding oracle. The result is that attackers can recover the plaintext corresponding to any block of ciphertext using an average of 128 * b oracle calls, where b is the number of bytes in a block.

理解有失偏颇的，提醒下。

那么在博友辰的文章中还提到了：这个问题不仅仅存在于asp.net,而且还有java等。

这个背景在于：在隐藏字段（如ViewState），cookies，请求参数中，当加密成BASE64字符串时都涉及到这个漏洞，而在一些Java框架，如JavaServer Face中也设计了ViewState的东西，所以才有了上面的结论。

如何攻击

其实此漏洞的利用在2002年的Eurocrypt会议中已经被提及过了，可以去BlackHat网站下载PDF查看，本人上文的许多分析也提炼自此文档。

Then we decode each Base64 string found. If the result looks random, and its length is a multiple of common block cipher sizes, i.e. 8, 16 or 32 bytes, then there’s a good chance that it is a ciphertext. We also look for common separators, i.e. --, | or :, which are often used to separate IV, ciphertext, or MAC. Then we replace a byte in the last block of the ciphertext by a random value, then send it back to the target, and see what changes in the response. If there is an error message, then there’s a high chance that this is a Padding Oracle.

此段英文就比较简单了，也很明了地说明了测试是否可破解的方法。

每次替换掉最后一个字节，并将新拼接的字符串提交加密，再记录返回结果，如果可以，那么再进一步解密出原文。

到这里，我们大概对此漏洞有了一个清晰的认识，欲深入分析请查看上面的PDF文档。

再回过来看ScottGu公布的解决方案，我的猜想是：

添加错误配置节，当攻击者第一次尝试破解时，被配置节强制跳转到错误页面，在错误页面中，如果发现提交过来的构造密码种子(我理解成了种子 :) )为1，那么就将其对象强行Dispose掉，那么攻击者也就没法继续下去了。

小结

那么微软将如何去修复此漏洞呢，修改加密机制，还是......，持续关注。

好了，我的分析就到这里，也很晚了，文章中欠妥的地方，欢迎拍砖，一起再讨论下！

ASP.NET的最新安全漏洞Important: ASP.NET Security Vulnerability的更多相关文章

  1. ewebeditor编辑器ASP/ASPX/PHP/JSP版本漏洞利用总结及解决方法

    这个编辑器按脚本分主要有4个版本,ASP/ASPX/PHP/JSP 每个版本都有可以利用的漏洞.判断网站是否使用了eWebEditor查看程序源代码,看看源码中是否存在类似”ewebeditor.as ...

  2. ASP.NET MVC最新特性

    问题: 既然我说对ASP.NET MVC很熟很懂,对新技术很感兴趣,那么问题是: 当前最新版MVC是什么?你用的哪个版本?相比前一个版本有什么新的特性? 解析: 在面试的时候,为了争取面试官的好感,显 ...

  3. ASP.NET Core 入门教程 10、ASP.NET Core 日志记录(NLog)入门

    一.前言 1.本教程主要内容 ASP.NET Core + 内置日志组件记录控制台日志 ASP.NET Core + NLog 按天记录本地日志 ASP.NET Core + NLog 将日志按自定义 ...

  4. C# -- HttpWebRequest 和 HttpWebResponse 的使用 C#编写扫雷游戏 使用IIS调试ASP.NET网站程序 WCF入门教程 ASP.Net Core开发(踩坑)指南 ASP.Net Core Razor+AdminLTE 小试牛刀 webservice创建、部署和调用 .net接收post请求并把数据转为字典格式

    C# -- HttpWebRequest 和 HttpWebResponse 的使用 C# -- HttpWebRequest 和 HttpWebResponse 的使用 结合使用HttpWebReq ...

  5. ASP.NET Core 配置 EF SQLite 支持 - ASP.NET Core 基础教程 - 简单教程，简单编程

    原文:ASP.NET Core 配置 EF SQLite 支持 - ASP.NET Core 基础教程 - 简单教程,简单编程 ASP.NET Core 配置 EF SQLite 支持 上一章节我有提 ...

  6. ASP.NET Core 配置 Entity Framework Core - ASP.NET Core 基础教程 - 简单教程，简单编程

    原文:ASP.NET Core 配置 Entity Framework Core - ASP.NET Core 基础教程 - 简单教程,简单编程 ASP.NET Core 配置 Entity Fram ...

  7. ASP.NET开发实战——（五）ASP.NET MVC & 分层

    上一篇文章简要说明了MVC所代表的含义并提供了详细的项目及其控制器.视图等内容的创建步骤,最终完成了一个简单ASP.NET MVC程序. 注:MVC与ASP.NET MVC不相等,MVC是一种开发模式 ...

  8. ASP.NET Core 性能对比评测（ASP.NET，Python，Java，NodeJS）

    前言 性能是我们日常生活中经常接触到的一个词语,更好的性能意味着能给我们带来更好的用户体检.比如我们在购买手机.显卡.CPU等的时候,可能会更加的关注于这样指标,所以本篇就来做一个性能评测. 性能也一 ...

  9. asp.net应用程序生命周期和asp.net网页的生命周期

    一.asp.net应用程序生命周期 asp.net应用程序生命周期以浏览器向web服务器(比如IIS服务器)发送请求为起点,先后经历web服务器下的ISAPI(Internet Server Appl ...

随机推荐

  1. Python_深浅拷贝

    深浅拷贝 ‘copy’和'='的区别:copy会开辟一个新的空间,而‘=’不会. 浅copy只会copy第一层,再里边的就进行共享了. 需要记住的是copy之后记住的是内存寻址地址,而浅copy时如果 ...

  2. vue axios请求频繁时取消上一次请求

    一.前言 在项目中经常有一些场景会连续发送多个请求,而异步会导致最后得到的结果不是我们想要的,并且对性能也有非常大的影响.例如一个搜索框,每输入一个字符都要发送一次请求,但输入过快的时候其实前面的请求 ...

  3. Centos7（Linux）下安装VMware12

    https://blog.csdn.net/u012605477/article/details/65627234

  4. Http状态码（了解）

    一些常见的http状态码 200 - OK,服务器成功返回网页     - Standard response for successful HTTP requests. 301 - Moved Pe ...

  5. 【Directory】文件操作（初识文件操作二）

    上篇我们说了关于文件的创建删除更改可以通过File这个类来完成.对于目录的操作其实File类也可以完成创建删除等相关的操作.用法跟文件的方法大致相同. 那么下面就一起来看一下关于目录相关的用法. 一, ...

  6. Android如何添加多张引导页

    摘要:项目需要添加多张引导页,所以在网上搜集了一些资料并整理好. Step1 添加一个GuideActivity. 其实这个引导页无非就是一个Activity,里面有一个ViewPager而已.多张图 ...

  7. 大数据面试（HR电话了解）

    1什么是HA集群? 所谓HA,即高可用(7*24小时不中断服务) HA集群是hadoop高可用集群,即有两个namenode,一个active,一个stanby,active的name挂掉之后,sta ...

  8. mysql之面试问题总结

    问题1.char 与varchar的区别? varchar是变长而char的长度是固定的.如果你的内容是固定的大小,char性能更好. char[4] 与varchar[4]   存储字母a a占一个 ...

  9. Windows Server 笔记（七）：Windows Server 2012 R2 NIC Teaming（NIC组）

    什么是NIC Teaming?         NIC Teaming 就是将两个或更多的网络适配器组合在一起,从而达到容错和带宽聚合作用.NIC Teaming 中的每个网络适配器都是物理存在的(虚 ...

  10. java并发之(4):Semaphore信号量、CounDownLatch计数锁存器和CyclicBarrier循环栅栏

    简介 java.util.concurrent包是Java 5的一个重大改进,java.util.concurrent包提供了多种线程间同步和通信的机制,比如Executors, Queues, Ti ...