多年来，我开发的一些网站提交给客户进行渗透测试。大多数情况下，结果返回时突出显示的问题与 ASP .Net 的默认行为有关，例如可能的跨站点脚本攻击等。
是否有任何关于 ASP .Net 应用程序默认存在漏洞的好文章，其次是否有任何可以帮助提前准备网站的好清单？
【问题讨论】：
标签： asp.net penetration-testing
我认为检查表会随着时间的推移而变化，其理论与经验相结合。我总是检查我的日志文件并查看他们尝试渗透我网站的新方法 - 例如扫描“不存在”的文件，或尝试运行随机查询。
一个有许多关于渗透的文章的好页面： http://www.cgisecurity.com/pentest.html
试图渗透到我的网站的一些方式。
为了找到它们，我监视“找不到页面”事件。当然，如果找到页面，则它们会渗透。看到失败的尝试并查看他们正在寻找的内容是多么有可能。
这些天我也看到很多预言机攻击。我找到他们并使用以下代码阻止攻击者的完整 IP：CryptographicException: Padding is invalid and cannot be removed and Validation of viewstate MAC failed
我也关注这个问题的答案：Can some hacker steal the cookie from a user and login with that name on a web site?
要点：始终对登录 cookie 使用 ssl 加密（requireSSL=true），不要在 cookie 上放置角色（cacheRolesInCookies=false）。
我还阻止来自系统/程序/iis 内部的黑名单 ip，但过去我使用过 PeerGuardian。您还可以在那里找到许多可以提前阻止的不良 ip 列表。我对这些不良 ip 的唯一说明是我不会永远阻止它们，而只会阻止它们几天。坏 ips 块也帮助我处理数百封垃圾邮件。 http://phoenixlabs.org/pg2/
我认为人们可以通过多种方式思考并尝试渗透到您的网站上。关键是如何预测它们并在此之前记录它们，并始终制定更好的机制来避免它们。正如我所说，我监控页面未找到，以及页面抛出的内部错误。这两种方法向我展示了很多渗透尝试。
如果您有权上传文件、图像和其他内容，请确保它们不能在上传目录中运行。这可以通过仔细检查文件的扩展名以及从服务器本身禁用该目录上的程序和脚本的运行来完成，也可以通过在上传目录上放置一个 web.config 来完成：
<configuration>
<system.web>
<authorization>
<deny users="*" />
</authorization>
</system.web>
</configuration>
阅读一个案例： I've been hacked. Evil aspx file uploaded called AspxSpy. They're still trying. Help me trap them‼
【讨论】：
不想用链接掩盖 Aristos 的好答案，但 Google 发布了一个代码实验室来展示可能的 Web 应用程序漏洞：它的（新）称为google-gruyere。
它更像是一种了解可能漏洞的学习方式，而不是清单，但table of content 可以帮助您完成清单。
以下是一些需要考虑的类别：
【讨论】：
清单：
Web Application Security Guide/Checklist
此外，还有许多免费工具可用于测试 Web 应用程序的安全性，您可以试试这些：
【讨论】：