解决asp.net mvc发布到iis下安全问题

news2025/3/11 17:03:19

解决asp.net mvc发布到iis下安全问题

  • 环境信息
    • 1.The web/application server is leaking version information via the "Server" HTTP response
    • 2.确保您的Web服务器、应用程序服务器、负载均衡器等已配置为强制执行Strict-Transport-Security。
    • 3.在HTML提交表单中找不到反CSRF令牌。跨站点请求伪造是一种攻击，涉及迫使受害者在不知情或无意的情况下向目标目标发送HTTP请求，以便作为受害者执行操作。根本原因是应用程序功能以可重复的方式使用可预测的URL/表单操作。攻击的本质是CSRF利用了网站对用户的信任。相比之下，跨站脚本（XSS）利用了用户对网站的信任。与XSS一样，CSRF攻击不一定是跨站点的，但也可能是。跨站点请求伪造也称为CSRF、XSRF、一键攻击、会话骑行、混淆代理和海浪。CSRF攻击在许多情况下都是有效的，包括：*受害者在目标站点上有一个活动会话。*受害者在目标站点上通过HTTP身份验证进行身份验证。*受害者与目标站点位于同一本地网络上。CSRF主要用于使用受害者的权限对目标站点执行操作，但最近发现了通过访问响应来披露信息的技术。当目标站点易受XSS攻击时，信息泄露的风险会急剧增加，因为XSS可以用作CSRF的平台，允许攻击在同源策略的范围内进行。
    • 4.响应包含“仅内容安全策略报告”标头，这可能表示正在进行的实施工作，或在促进预生产到生产过程中的监督等。内容安全策略（CSP）是一个附加的安全层，有助于检测和缓解某些类型的攻击，包括跨站脚本（XSS）和数据注入攻击。这些攻击用于从数据盗窃到网站污损或分发恶意软件。CSP提供了一组标准HTTP标头，允许网站所有者声明允许浏览器在该页面上加载的已批准内容来源--涵盖的类型包括JavaScript、CSS、HTML框架、字体、图像和可嵌入对象
    • 5.The response does not include either Content-Security-Policy with 'frame-ancestors' directive or X-Frame-Options to protect against 'ClickJacking' attacks.
    • 6.反MIME嗅探标头X-Content-Type-Options未设置为“nosniff”。这允许旧版本的Internet Explorer和Chrome对响应正文执行MIME嗅探，从而可能导致响应正文被解释并显示为声明的内容类型以外的内容类型。当前（2014年初）和旧版本的Firefox将使用声明的内容类型（如果设置了），而不是执行MIME嗅探。
    • 7.web/应用程序服务器通过一个或多个“X-Powered-By”HTTP响应标头泄漏信息。访问此类信息可能有助于攻击者识别您的web应用程序所依赖的其他框架/组件，以及这些组件可能存在的漏洞。

环境信息

  • 服务器：Windwos Server 2016
  • 项目框架版本：.NET Framework 4.7.2

1.The web/application server is leaking version information via the “Server” HTTP response

  • 以下静态文件请求都携带了服务器信息

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

  • 为什么请求接口没有，那是因为在Global.asax.cs配置了
protected void Application_PreSendRequestHeaders(object sender, EventArgs e)
{
    var app = sender as HttpApplication;
    if (app == null || app.Context == null)
    {
        return;
    }

    // 移除Header中的Server
    app.Context.Response.Headers.Remove("Server");
}
  • 想要解决请求静态文件携带Server信息，可以使用使用 URL Rewrite 模块移除 Server 头，URL Rewrite 模块可以全局处理所有请求（包括静态文件）

1.安装文件下载地址：下载地址
在这里插入图片描述

2.配置web.config

<configuration>
  <system.webServer>
    <rewrite>
      <outboundRules>
        <rule name="Remove Server Header">
          <match serverVariable="RESPONSE_Server" pattern=".*" />
          <action type="Rewrite" value="" />
        </rule>
      </outboundRules>
    </rewrite>
  </system.webServer>
</configuration>

3.效果如下：
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

2.确保您的Web服务器、应用程序服务器、负载均衡器等已配置为强制执行Strict-Transport-Security。

  • iis响应头添加如下配置
Strict-Transport-Security：includeSubDomains

在这里插入图片描述

  • 效果：
    在这里插入图片描述

3.在HTML提交表单中找不到反CSRF令牌。跨站点请求伪造是一种攻击，涉及迫使受害者在不知情或无意的情况下向目标目标发送HTTP请求，以便作为受害者执行操作。根本原因是应用程序功能以可重复的方式使用可预测的URL/表单操作。攻击的本质是CSRF利用了网站对用户的信任。相比之下，跨站脚本（XSS）利用了用户对网站的信任。与XSS一样，CSRF攻击不一定是跨站点的，但也可能是。跨站点请求伪造也称为CSRF、XSRF、一键攻击、会话骑行、混淆代理和海浪。CSRF攻击在许多情况下都是有效的，包括：*受害者在目标站点上有一个活动会话。*受害者在目标站点上通过HTTP身份验证进行身份验证。*受害者与目标站点位于同一本地网络上。CSRF主要用于使用受害者的权限对目标站点执行操作，但最近发现了通过访问响应来披露信息的技术。当目标站点易受XSS攻击时，信息泄露的风险会急剧增加，因为XSS可以用作CSRF的平台，允许攻击在同源策略的范围内进行。

  • 创建令牌
public static class CsrfTokenHelper
{
   private const string SecretKey = ""; // 服务器端的密钥  

   public static string CreateCsrfToken(string user)
   {
       string token = $"{user}"; // 将会话ID和用户值组合起来  

       byte[] secretKeyBytes = Encoding.UTF8.GetBytes(SecretKey);
       byte[] tokenBytes = Encoding.UTF8.GetBytes(token);

       using (HMACSHA256 hmac = new HMACSHA256(secretKeyBytes))
       {
           byte[] hashBytes = hmac.ComputeHash(tokenBytes);
           string csrfToken = Convert.ToBase64String(hashBytes);
           return csrfToken;
       }
   }
}
  • 前端from请求中携带令牌
<input type="hidden" name="CSRFToken">
  • 添加一个验证令牌的过滤器
//解决(CSRF)安全问题,也就是from没有提供票据问题
public class CsrfTokenFilter : ActionFilterAttribute
{
    public override void OnActionExecuting(ActionExecutingContext context)
    {
        // 获取crsf_token
        string xsrf_token_headers = context.HttpContext.Request.Headers["XSRF-TOKEN"] == null ? "" : context.HttpContext.Request.Headers["XSRF-TOKEN"].ToString();
        string xsrf_token_froms = string.Empty;
        // 获取表单数据
        if (context.HttpContext.Request.Form.Count > 0)
        {
            FormCollection formCollection = new FormCollection(context.HttpContext.Request.Form);
            xsrf_token_froms = formCollection["CSRFToken"];
        }

        string newCsrfToken = CsrfTokenHelper.CreateCsrfToken(CurrentUser.UserAccount);
        if (xsrf_token_headers != newCsrfToken || xsrf_token_froms != newCsrfToken)
        {
            // 验证失败，抛出 401 Unauthorized 异常  
            context.Result = RedirectLogin("/Home/Error");
        }
        base.OnActionExecuting(context);
    }
}
  • 在接口中使用
[WithoutLocalization]
[CsrfTokenFilter]
public JsonResult xxxxx(FormCollection formCol)
{

}

4.响应包含“仅内容安全策略报告”标头，这可能表示正在进行的实施工作，或在促进预生产到生产过程中的监督等。内容安全策略（CSP）是一个附加的安全层，有助于检测和缓解某些类型的攻击，包括跨站脚本（XSS）和数据注入攻击。这些攻击用于从数据盗窃到网站污损或分发恶意软件。CSP提供了一组标准HTTP标头，允许网站所有者声明允许浏览器在该页面上加载的已批准内容来源–涵盖的类型包括JavaScript、CSS、HTML框架、字体、图像和可嵌入对象

  • 这个问题太恶心了,要是写了内联样式、行内样式、引入脚本文件了，配置了之后各种问题，解决文档
https://www.w3.org/TR/CSP/
https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP
  • web.config配置
<system.webServer>
  <httpProtocol>
    <customHeaders>
      <!--解决Header中没有csp-->
      <add name="Content-Security-Policy" value="default-src 'self';
           script-src 'self' 'unsafe-inline' 'unsafe-eval'; 
           font-src 'self' 'unsafe-inline' 'unsafe-eval' data: http://localhost:*;
           img-src 'self' data: blob: http://localhost:*; 
           style-src 'self' 'unsafe-inline';" />
      <!--允许请求的http 动作-->
    </customHeaders>
  </httpProtocol>
</system.webServer>

5.The response does not include either Content-Security-Policy with ‘frame-ancestors’ directive or X-Frame-Options to protect against ‘ClickJacking’ attacks.

<system.webServer>
  <httpProtocol>
    <customHeaders>
      <add name="X-Frame-Options" value="SAMEORIGIN" />
    </customHeaders>
  </httpProtocol>
</system.webServer>

6.反MIME嗅探标头X-Content-Type-Options未设置为“nosniff”。这允许旧版本的Internet Explorer和Chrome对响应正文执行MIME嗅探，从而可能导致响应正文被解释并显示为声明的内容类型以外的内容类型。当前（2014年初）和旧版本的Firefox将使用声明的内容类型（如果设置了），而不是执行MIME嗅探。

<system.webServer>
  <httpProtocol>
    <customHeaders>
      <add name="X-Content-Type-Options" value="nosniff"/>
    </customHeaders>
  </httpProtocol>
</system.webServer>

7.web/应用程序服务器通过一个或多个“X-Powered-By”HTTP响应标头泄漏信息。访问此类信息可能有助于攻击者识别您的web应用程序所依赖的其他框架/组件，以及这些组件可能存在的漏洞。

  • 携带服务器信息截图
    在这里插入图片描述
  • 打开iis下的HTTP响应标头，干掉X-Powered-By
    在这里插入图片描述
  • 调整后的效果
    在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2313308.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

CSS-基础选择器，字体属性，文本属性介绍

CSS-基础选择器，字体属性，文本属性介绍

一、CSS 简介 CSS 是层叠样式表 ( Cascading Style Sheets ) 的简称. 有时我们也会称之为 CSS 样式表或级联样式表&#xff61; CSS 是也是一种标记语言 CSS 主要用于设置 HTML 页面中的文本内容(字体&#xff64;大小&#xff64;对齐方式等)&#xff64;图片的外形(宽高&a…
阅读更多...
vtkDepthSortPolyData 根据相机视图方向对多边形数据进行排序

vtkDepthSortPolyData 根据相机视图方向对多边形数据进行排序

1. 作用 在 3D 渲染中&#xff0c;透明对象的渲染顺序非常重要。如果透明对象的渲染顺序不正确&#xff0c;可能会导致错误的视觉效果&#xff08;例如&#xff0c;远处的透明对象遮挡了近处的透明对象&#xff09;。vtkDepthSortPolyData 通过对多边形数据进行深度排序&#…
阅读更多...
【MySQL_04】数据库基本操作（用户管理--配置文件--远程连接--数据库信息查看、创建、删除）

【MySQL_04】数据库基本操作（用户管理--配置文件--远程连接--数据库信息查看、创建、删除）

文章目录 一、MySQL 用户管理1.1 用户管理1.11 mysql.user表详解1.12 添加用户1.13 修改用户权限1.14 删除用户1.15 密码问题 二、MySQL 配置文件2.1 配置文件位置2.2 配置文件结构2.3 常用配置参数 三、MySQL远程连接四、数据库的查看、创建、删除4.1 查看数据库4.2 创建、删除…
阅读更多...
牛客网刷题(5)（HTML之元素＜input＞、表格＜table＞与描述列表＜dl＞、元素＜label＞）

牛客网刷题(5)（HTML之元素＜input＞、表格＜table＞与描述列表＜dl＞、元素＜label＞）

目录 一、哪种输入类型定义滑块控件&#xff1f;元素&#xff08;input&#xff09; &#xff08;1&#xff09;官方解析。 &#xff08;2&#xff09;总结。 &#xff08;3&#xff09;牛客大佬总结。 &#xff08;4&#xff09;HTML5——元素&#xff08;input&#xff09;的…
阅读更多...
IDEA（十一）调整新版本的工具栏显示Git操作（pull、commit、push、revert等）

IDEA（十一）调整新版本的工具栏显示Git操作（pull、commit、push、revert等）

目录 一、背景二、操作步骤2.1 开启新 UI 样式2.2 设置 Tool Window 工具栏 一、背景 好久没有更新 IDEA 了&#xff0c;更新之后发现 IDEA 的工具栏消失了。一番操作之后&#xff0c;终于把 IDEA 的工具栏的设置调整好了&#xff0c;在此进行记录调整步骤&#xff0c;供大家学…
阅读更多...
C++编程：进阶阶段—4.2对象

C++编程：进阶阶段—4.2对象

目录 4.2 对象特征 4.2.1 构造函数和析构函数 4.2.2 构造函数的分类 4.2.3 拷贝函数调用时机 4.2.4 构造函数调用规则 4.2.5 深拷贝与浅拷贝 4.2.6 初始化列表 4.2.7 类对象作为类成员 4.2.8 静态成员 4.2.9 成员变量和成员函数的存储 4.2.10 this指针 4.2.11 空指针…
阅读更多...
TensorFlow.js 全面解析：在浏览器中构建机器学习应用

TensorFlow.js 全面解析：在浏览器中构建机器学习应用

TensorFlow.js 全面解析&#xff1a;在浏览器中构建机器学习应用 前些天发现了一个巨牛的人工智能学习网站&#xff0c;通俗易懂&#xff0c;风趣幽默&#xff0c;可以分享一下给大家。点击跳转到网站。 https://www.captainbed.cn/ccc 文章目录 TensorFlow.js 全面解析&#x…
阅读更多...
CI/CD—Jenkins配置Poll SCM触发自动构建

CI/CD—Jenkins配置Poll SCM触发自动构建

Poll SCM简介 在 Jenkins 等持续集成工具中&#xff0c;“Poll SCM” 是一种用于轮询软件配置管理&#xff08;SCM&#xff09;系统以检查代码变更的机制&#xff0c;以下是对它的详细介绍&#xff1a; 作用 “Poll SCM” 允许 Jenkins 定期检查指定的 SCM 系统&#xff08;如 …
阅读更多...
AI与SEO关键词智能解析

AI与SEO关键词智能解析

内容概要 人工智能技术正重塑搜索引擎优化的底层逻辑&#xff0c;其核心突破体现在关键词解析维度的结构性升级。通过机器学习算法对海量搜索数据的动态学习&#xff0c;AI不仅能够识别传统TF-IDF模型中的高频词汇&#xff0c;更能捕捉语义网络中隐含的关联特征。下表展示了传…
阅读更多...
STM32之BKP

STM32之BKP

VBAT备用电源。接的时候和主电源共地&#xff0c;正极接在一起&#xff0c;中间连接一个100nf的电容。BKP是RAM存储器。 四组VDD都要接到3.3V的电源上&#xff0c;要使用备用电池&#xff0c;就把电池正极接到VBAT&#xff0c;负极跟主电源共地。 TEMPER引脚先加一个默认的上拉…
阅读更多...
c++的基础排序算法

c++的基础排序算法

一、快速排序 1. 选择基准值&#xff08;Pivot&#xff09; 作用 &#xff1a;从数组中选择一个元素作为基准&#xff08;Pivot&#xff09;&#xff0c;用于划分数组。常见选择方式 &#xff1a; 固定选择最后一个元素&#xff08;如示例代码&#xff09;。随机选择&#xf…
阅读更多...
基于Spring3的抽奖系统

基于Spring3的抽奖系统

注&#xff1a;项目git仓库地址&#xff1a;demo.lottery 小五Z/Spring items - 码云 - 开源中国 目录 注&#xff1a;项目git仓库地址&#xff1a;demo.lottery 小五Z/Spring items - 码云 - 开源中国 项目具体代码可参考仓库源码&#xff0c;本文只讲解重点代码逻辑 一…
阅读更多...
基于qiime2的16S数据分析全流程：从导入数据到下游分析一条龙

基于qiime2的16S数据分析全流程：从导入数据到下游分析一条龙

目录 创建metadata 把数据导入qiime2 去除引物序列 双端合并 &#xff08;dada2不需要&#xff09; 质控 &#xff08;dada2不需要&#xff09; 使用deblur获得特征序列 使用dada2生成代表序列与特征表 物种鉴定 可视化物种鉴定结果 构建进化树&#xff08;ITS一般不构建进化树…
阅读更多...
【Linux系统编程】基本IO函数

【Linux系统编程】基本IO函数

目录 1、open 函数2、create 函数3、write 函数4、read 函数5、lseek 函数6、access 函数7、unlink 函数8、remove 函数9、fcntl 函数写锁互斥锁示例读锁共享锁示例 1、open 函数 头文件 #include<sys/types.h> #include<sys/stat.h>#include<fcntl.h>…
阅读更多...
Deepseek应用技巧-chatbox搭建前端问答

Deepseek应用技巧-chatbox搭建前端问答

目标&#xff1a;书接上回&#xff0c;由于本地私有化部署了deepseek的大模型&#xff0c;那怎么能够投入生产呢&#xff0c;那就必须有一个前端的应用界面&#xff0c;好在已经有很多的前人已经帮我们把前段应用给搭建好了&#xff0c;我们使用就可以啦&#xff0c;今天我们就…
阅读更多...
OpenAI API模型ChatGPT各模型功能对比，o1、o1Pro、GPT-4o、GPT-4.5调用次数限制附ChatGPT订阅教程

OpenAI API模型ChatGPT各模型功能对比，o1、o1Pro、GPT-4o、GPT-4.5调用次数限制附ChatGPT订阅教程

本文包含OpenAI API模型对比页面以及ChatGPT各模型功能对比表 - 截至2025最新整理数据&#xff1a;包含模型分类及描述&#xff1b;调用次数限制&#xff1b; 包含模型的类型有&#xff1a; Chat 模型&#xff08;如 GPT-4o、GPT-4.5、GPT-4&#xff09;专注于对话&#xff0c…
阅读更多...
Fast DDS Security--秘钥交换

Fast DDS Security--秘钥交换

Fast DDS Security模块中默认使用Diffie-Hellman算法进行秘钥交换。Diffie-Hellman 算法&#xff08;简称 DH 算法&#xff09;是一个非常重要的加密协议&#xff0c;用于在不安全的通信通道中安全地交换密钥。该算法通过利用数学中的离散对数问题来生成共享密钥&#xff0c;使…
阅读更多...
从0开始的操作系统手搓教程33：挂载我们的文件系统

从0开始的操作系统手搓教程33：挂载我们的文件系统

目录 代码实现 添加到初始化上 上电看现象 挂载分区可能是一些朋友不理解的——实际上挂载就是将我们的文件系统封装好了的设备&#xff08;硬盘啊&#xff0c;SD卡啊&#xff0c;U盘啊等等&#xff09;&#xff0c;挂到我们的默认分区路径下。这样我们就能访问到了&#xff…
阅读更多...
基于muduo+mysql+jsoncpp的简易HTTPWebServer

基于muduo+mysql+jsoncpp的简易HTTPWebServer

一、项目介绍 本项目基于C语言、陈硕老师的muduo网络库、mysql数据库以及jsoncpp&#xff0c;服务器监听两个端口&#xff0c;一个端口用于处理http请求&#xff0c;另一个端口用于处理发送来的json数据。 此项目在实现时&#xff0c;识别出车牌后打包为json数据发送给后端服务…
阅读更多...
【Go学习实战】03-2-博客查询及登录

【Go学习实战】03-2-博客查询及登录

【Go学习实战】03-2-博客查询及登录 读取数据库数据初始化数据库首页真实数据分类查询分类查询测试 文章查询文章查询测试 分类文章列表测试 登录功能登录页面登录接口获取json参数登录失败测试 md5加密jwt工具 登录成功测试 文章详情测试 读取数据库数据 因为我们之前的数据都…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023