Ik ' weet dat dit een Een nogal controversieel standpunt., Ik zou mijn eigen achtergrond moeten verklaren als een voorloper van mijn afkeer van dit.. In de slechte oude tijden was ik penetratietester, , Ik leidde mijn eigen kleine bedrijf dat deze dienst aan een aantal klanten gaf. Dus,, naarmate de tijd vooruitging en ik me meer bezighield met het schrijven van toepassingen dan ze te breken Ik ' ben me altijd bewust geweest dat toepassingsveiligheidssystemen niet inherent getrouwd moeten worden, maar dat er minder kans is dat ze fouten hebben dan sommige ads,-, "hoc implementation" of ,, dat fouten potentieel ernstiger kunnen zijn, want het is bijna zeker dat ze binnen een zeer korte tijdsspanne algemeen bekend en gebruikt zullen worden. Dat is een deel van het probleem dat ik heb met ValidateRequest, het biedt een schroefje, een sleutelweg voor de lazy ontwikkelaar . OKM SK4 het is bruikbaar~, het blokkeert elke inkomende html~'~ zoals verzoekinformatie MSC8 en zal daarom veel XSS-aanvallen blokkeren. fouten zijn hier al gevonden. En het patch is niet duidelijk. / makkelijk te vinden. SQL Injection-aanvallen, Buffer Overflow-aanvallen en allerlei andere (including zo'n juwelen als eenvoudige achterdeuren, Koekie Hijacking En zoiets als)..

Mijn punt is:,, volgens mij, ,, de verantwoordelijkheid voor toepassingsveiligheid ligt bij de ontwikkelaar. -, ze moeten begrijpen en plannen voor de gevolgen van hun keuzes in toepassingsontwerp." Michael Howard writes Secure Code [V.S.] - leren waar de kwetsbaarheidsfactoren in je toepassing kunnen zitten en er een oplossing voor vinden. Kortom, niet vertrouwen op dingen als ValidateRequest als je enige verdedigingskanaal. Wat het doet? En wat het niet doet?

Bijvoorbeeld, wat doe je als je alleen bepaalde tags via wil krijgen en niet andere? Zoiets als dit.Ik schreef dit een tijdje geleden.

Hoe dan ook, aansigten zijn altijd welkom - hoeveel toepassingsveiligheid je aan het raamwerk moet delegateren | - | heeft iemand anders zijn eigen kleine |' | veiligheid | МSK4 | speelgoed uitgevonden dat ze gebruiken om gebruiker-invoer te valideren

UPDATE: Vergeet om te vermelden, als je nog steeds op IIS bent M SK3 check dan zeker uit. IISLockdown - moet je dit hebben geïnstalleerd, het zal je helpen om een groot aantal beveiligingsgolven te vermijden Kijk eens naar dit. om ontwikkelingsproblemen te voorkomen...