在Asp.net開如中，引發(fā)安全問題最多的大多來自于以下三個方面：
1.上傳
2.跨站
3.注入
上傳的安全問題不在本文討論范圍內(nèi)，這里只討論跨站與注入的問題，而這兩者都是基本可以通過過濾來處理的！把注入放在最后面是因為，SQL注入玩了這么多年，大家應(yīng)當(dāng)有了一定的防范，只要稍有點注意，能在asp.net上面玩下的注入還是相當(dāng)少的！注意這以下幾點。
1.所有的參數(shù)。如果是int類型的，請轉(zhuǎn)換成int再處理! 別拿裝箱與拆箱來說事!估計現(xiàn)在大家也不會把sql語句直接在web里面拼接了，起碼也要用上幾個類，中間的一些簡單的邏輯處理！類型轉(zhuǎn)換還是要涉及到的
2.盡量使用參數(shù)化查詢！
3.起碼要注意過濾單引號（其實如果使用參數(shù)化查詢，不過濾也沒事，不過我還是習(xí)慣性過濾）！
４.不要直接把錯誤赤裸裸的暴露給用戶！這點不僅僅是為了防范注入，同時也是一個用戶體驗問題！通過重寫OnError事件，再繼承，能很好的處理！
而相對于跨站，防洗耳范起來就麻煩多了，過濾一直是個很糾結(jié)的東西，過濾太嚴(yán)了，影響正常使用，沒過濾好，又引發(fā)安全問題！我把我剛寫的過濾類拿出來，也許其中還有沒有考慮到的地方，希望大家指點，
復(fù)制代碼 代碼如下:
public static string StringFilters(string input)
{
if (string.IsNullOrEmpty(input))
return input;
/*跨站攻擊過慮*/
input = input.Replace("#", "＃");//過濾# 攻擊方式#x6A#x61#x76#x61#x73#x63#x72#x69#x70#x74#x3A#x61#x6C#x65#x72#x74#x28#x27#x58#x53#x53#x27#x29
input = Regex.Replace(input, @"javascript:", "#74;aｖasｃript#58;", RegexOptions.IgnoreCase);//過濾JS 攻擊方式：javascript:alert('XSS');
input = Regex.Replace(input, @"vbscript:", "#86;#98;scｒiｐt#58;", RegexOptions.IgnoreCase);//過濾JS 攻擊方式：vbscript:msgbox('XSS');
input = Regex.Replace(input, @"j *a *v *a *s *c *r *i *p *t:", "#86;#98;scｒiｐt#58;", RegexOptions.IgnoreCase);//攻擊方式：java script:alert('XSS');
input = Regex.Replace(input, @"\/\*[sS]*\*\/", "!-- code -->", RegexOptions.IgnoreCase);
input = Regex.Replace(input, @"expression", "ｅxpreｓsiｏn", RegexOptions.IgnoreCase);
input = Regex.Replace(input, @"[\u0020]*style[^>]*>", "#83;#58;yle", RegexOptions.IgnoreCase);
input = Regex.Replace(input, @"[^>]*object[^>]*>", "#111;#98jec$58", RegexOptions.IgnoreCase);//攻擊方式 OBJECT TYPE="text/x-scriptlet" DATA="http://www.cnblog.cn">/OBJECT> 注意，這樣過濾后將無法使用FLASH
/*各種事件過濾*/
input = Regex.Replace(input, @"[^>]*[\u0020]+on[A-Za-z]{3,20}[\u0020]*=[\u0020]*[^>]*>", "Js Event", RegexOptions.IgnoreCase);//
input = input.Replace("'", "#39;");//單引號防止ＳＱＬ注入
input = Regex.Replace(input, @"script", "#83;#99;ript", RegexOptions.IgnoreCase);//防止腳本攻擊
input = Regex.Replace(input, @"frame", "#102;#114;ame", RegexOptions.IgnoreCase);//防止iframe 掛馬
input = Regex.Replace(input, @"form", "#102;#111;rm", RegexOptions.IgnoreCase);//禁止表單提交
input = Regex.Replace(input, @"meta", "#109;#101;ta", RegexOptions.IgnoreCase);//防止用使meta跳轉(zhuǎn)到非法網(wǎng)頁
return input;
}
補(bǔ)充一下，過濾千萬不要把字符串過慮成空，這樣同樣存在安全問題，必須過慮成另外一個字符串，比如過濾你好，那么用戶可以構(gòu)建這樣一個字符“你你好好”,通過Replace("你好","")之后，輸出的結(jié)果，我不說大家也知道！
另外，這里是考慮了支持ＨＴＭＬ的情況，所以沒有直接過慮尖括號！
您可能感興趣的文章:- asp.NET 臟字過濾算法 修改版
- asp.NET 臟字過濾算法
- ASP.NET過濾器的應(yīng)用方法介紹
- asp.net 過濾圖片標(biāo)簽的正則
- ASP.NET環(huán)境下為網(wǎng)站增加IP過濾功能
- ASP.NET過濾HTML標(biāo)簽只保留換行與空格的方法
- ASP.NET過濾HTML字符串方法總結(jié)
- ASP.NET中的URL過濾實現(xiàn)代碼
- asp.net 臟字典過濾問題 用正則表達(dá)式來過濾臟數(shù)據(jù)
- ASP.NET過濾類SqlFilter，防止SQL注入
- 高效.NET臟字過濾算法與應(yīng)用實例
