程序開發中的幾個請不要相信

2024-07-21 01:22:46

字體：大中小

來源：轉載

供稿：網友

鏈接中的例子是一些腳本攻擊相關的內容，有時間的朋友可以點開看看。

1.不要相信Request.QueryString:

相信在asp時代，這個問題比較嚴重，不信，隨便到網絡上找幾個asp的企業站，找到這種url"view.asp?id=xxx",改成"view.asp?id=xxx or 1=1",相信你會看到不一樣的東西，到了.net，應該很少了，不過上次看到有人說CSDN爆過哦，簡單的解決方法是在取得數據時做數據類型驗證或轉換。比如:
int ViewID = 0;
if(int.TryParse(Request.QueryString["ID"], out ViewID)){
//...
}
2.不要相信maxlength:
有時候我們想客戶端輸入的某個值不超過一定的長度，這個時候可能就會用到input的maxlength，但maxlength能100%保證這個值的長度不超過maxlength嗎？

[Ctrl+A 全選注:引入外部Js需再刷新一下頁面才能執行]

顯然，maxlength是不可信的，簡單的解決辦法是后臺代碼驗證數據長度：
string UserName = Request.QueryString["UserName"];
if(!string.IsNullOrEmpty(UserName)&&UserName.length > x){
//...提示錯誤或截斷數據
}
3.不要相信Hidden:
有時候我們想把些信息保存到前臺頁面，然后再發送回來，但是我們又不想讓客戶看到這個信息，于是，我們把數據放到了hidden里面，那客戶提交數據時，hidden里的內容真的是我們放的內容嗎？

<!doctype html="" public=""><=4個字符呢？把下面的代碼復制到地址欄enter一下看；></textarea><!doctype html="" public=""><html xmlns="http://www.w3.org/1999/xhtml"><head> <title>改變Hidden的值</title> </head><body style="font-size:12px;line-height:25px;"> <img class="cke_hidden" data-cke-realelement="%3Cinput%20type%3D%22hidden%22%20id%3D%22Type%22%20name%3D%22Type%22%20value%3D%22Robot!%22%20%2F%3E" data-cke-real-node-type="1" alt="隱藏域" title="隱藏域" align="" src="data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==" data-cke-real-element-type="hiddenfield" /> 用戶名:<input type="text" id="UserName" name="UserName" /> <input type="submit" value="提交" /> <input type="button" value="查看Hidden" data-cke-pa-onclick="ShowValue();" /> 請先點擊"查看Hidden"查看原來的值.正常情況,客戶端提交給你的Type的值應該是"Robot!",但是你把下面的代碼復制到地址欄然后Enter一下,再點查看Hidden看看;<textarea style="width:600px;height:100px;line-height:20px;"> javascript:alert(window.c=function(){document.getElementById("Type").value = "我不是Robot!"}())</textarea> <//textarea>

</textarea>
[Ctrl+A 全選注:引入外部Js需再刷新一下頁面才能執行]

這個我一時也沒想到好的驗證方法，暫時也沒有特殊的需求說必須驗證。
4.不要相信客戶端驗證:

比如2和3中的問題，可能有的朋友覺得，我客戶端再加個驗證不就OK了嗎？可是，往往，客戶端驗證也是不安全的，首先，如果客戶端禁用腳本，那客戶端驗證是完全失效的，另外，在腳本有效的情況下，腳本驗證也是可以被篡改的。

<!doctype html="" public=""><!doctype html="" public=""><=4個字符呢？把下面的代碼復制到地址欄enter一下看；></textarea><!doctype html="" public=""></textarea><html xmlns="http://www.w3.org/1999/xhtml"><head> <title>覆蓋Submit驗證</title> </head><body style="font-size:12px;line-height:25px;"><form action="" method="post" data-cke-pa-onsubmit="return ValidateForm();">     <input type="text" id="UserName" name="UserName" /> <input type="submit" value="提交" /><br /></form> 正常情況,點提交按鈕會驗證用戶名不能為空,并彈出提示,但是你把下面的代碼復制到地址欄然后Enter一下,再點提交看看;<textarea style="width:600px;height:100px;line-height:20px;"> javascript:alert(window.c=function(){document.getElementsByTagName("form")[0].onsubmit=function(){alert("我是不會驗證數據的哦!");return true;}}())</textarea> <//textarea>

</textarea>
[Ctrl+A 全選注:引入外部Js需再刷新一下頁面才能執行]

以前QQ空間里可以通過這個方法免費使用黃鉆模板，不知道現在還有沒有。這個就沒有什么好的解決辦法，只能后臺再驗證一次。
5.不要相信編輯器:

有的時候，可能項目中要用到一些簡單的編輯器，于是，我們就找到了一些編輯器，把不需要的功能(比如：編輯源碼、插入圖片等)剔除掉，就成了個簡單的編輯器，那這樣的編輯器還會有什么問題嗎？

<!doctype html="" public=""><!doctype html="" public=""><!doctype html="" public=""><=4個字符呢？把下面的代碼復制到地址欄enter一下看；></textarea><!doctype html="" public=""></textarea></textarea><html xmlns="http://www.w3.org/1999/xhtml"><head> <title>無標題文檔</title> </head><body style="font-size:12px;line-height:25px;"> 真正的編輯器應該會有些加粗、傾斜什么的功能，我就不弄了，以最原始的iframe為例。<iframe frameborder="1" style="width:500px;height:200px;" id="sampleEditor"></iframe> 這個簡單的編輯器沒有查看源碼的功能，那客戶是不是真的就改變不了里面的內容了？ 請將下面的代碼復制到地址欄然后Enter；<textarea style="width:600px;height:100px;line-height:20px;"> javascript:alert(window.c=function(){document.getElementById("sampleEditor").contentWindow.document.body.innerHTML = '

</textarea>
[Ctrl+A 全選注:引入外部Js需再刷新一下頁面才能執行]

暫時也沒有什么好的解決辦法，以前找到過過濾script標簽的代碼，但似乎不太完美。
6.不要相信Cookie:
網站中不可避免的會使用到Cookie,但如果一不注意，小心你的Cookie成了別人的"Cookie"，
http://img.VeVb.com/online/demo0415/Cookie.asp
取Cookie和寫Cookie的js方法是在網上找到的，具體鏈接也找不到了。解決辦法，似乎是Cookie加密(當然，即使是加密了，也盡量不要把敏感數據放到Cookie中)，不知道各位高手還有沒有其它好辦法。
7.不要相信Request.UrlReferrer:
如果有朋友用這個來驗證請求，那么請注意了，這個東西也是不可信的。見代碼；
System.Net.HttpWebRequest request = System.Net.WebRequest.Create("http://www.gaoxiaoshuo.cn/") as System.Net.HttpWebRequest;
request.Referer = "http://www.gaoxiaoshuo.cn/";
...
那么，這個時候你取得的Urlreferrer會是http://www.gaoxiaoshuo.cn/，但這個請求卻是偽造的。
8.不要相信用戶：
用戶就是你潛在的威脅，客戶端的東西，永遠都不要輕信。
另，select標簽的內容也是不可信的，大家可以動手試試，隨便建個頁面，里面放個select，然后:

復制代碼代碼如下:

javascript:alert(window.c=function(){var s=document.getElementsByTagName("select")[0];for(var x = 0; x < 100; x++){s.options[x]=new Option("選項" + x, x)}}());

歡迎高手不吝賜教。示例代碼下載。

上一篇：在地址欄里顯示logo的實現方法

下一篇：Web通信分析工具 [推薦]